您好，配置IPSEC

兩台防火牆采用公網固定地址方式搭建IPSEC VPN配置案例（主模式WEB配置）

1 配置需求及說明

1.1  適用的產品係列

本案例適用於軟件平台為Comware V7係列防火牆：F100-X-G2、F1000-X-G2、F100-X-WiNet、F1000-AK、F10X0等。

注：本案例是在F100-C-G2的Version 7.1.064, Release 9510P08版本上進行配置和驗證的。

1.2  配置需求及實現的效果

總部和分部各有一台防火牆部署在互聯網出口，因業務需要兩端內網需要通過VPN相互訪問。IP地址及接口規劃如下表所示：

2 組網圖

3 配置步驟

3.1  兩端防火牆上網配置

防火牆上網配置請參考“2.3.2 防火牆外網使用固定IP地址上網配置方法”進行配置，本文隻針對IPSEC VPN配置進行介紹。

3.2  總部側IPSEC VPN策略配置

#在“網絡”>“VPN”>“策略”中點擊新建。

#在“基本配置”中“接口”選擇接入外網的1/0/3接口，“優先級”設置為1（優先級代表了策略匹配順序，當存在多條VPN隧道時需要對各VPN隧道優先級進行設置），“認證方式”選擇域共享密鑰，建立VPN兩端隧道的域共享密鑰必須一致。對端ID設置對IP地址即分公司公網地址，本端ID默認為本端公網接口IP地址。在保護的數據流中添加源為總部內網網段192.168.10.0/24，目的IP地址為分部內網網段192.168.20.0/24。

3.3  總部側配置安全策略，放通IPSEC感興趣流的數據策略

 #在“策略”>“安全策略”>點擊“新建”，“源IP地址”中點擊“添加IPV4地址對象組”

#配置對象組名稱為“192.168.20.0”，點擊“添加”，對象地址為192.168.20.0網段，為分支內網段地址

#在“策略”>“安全策略”>點擊“新建”，“目的IP地址”中點擊“添加IPV4地址對象組”

#配置對象組名稱為“192.168.10.0”，點擊“添加”，對象地址為192.168.10.0網段，為總部內網網段地址

 #最後確認一下“源IP地址”為對端內網所在對象組，“目的IP地址”為本端內網地址所在對象組，確定即可

3.4  總部側配置安全策略，放通Untrust到Local，和Local到Utrust的策略，用於建立IPSEC 隧道

3.5  分部側IPSEC VPN策略配置

#在“網絡”>“VPN”>“策略”中點擊新建。

#在“基本配置”中“接口”選擇接入外網的1/0/3接口，“優先級”設置為1（優先級代表了策略匹配順序，當存在多條VPN隧道時需要對各VPN隧道優先級進行設置），“認證方式”選擇域共享密鑰，建立VPN兩端隧道的域共享密鑰必須一致。對端ID設置對IP地址即分公司公網地址，本端ID默認為本端公網接口IP地址。在保護的數據流中添加源為分部內網網段192.168.20.0/24，目的IP地址為總部內網網段192.168.10.0/24。

3.6  分部側安全策略和總部的配置方法類似，隻需將IPSEC的感興趣流的源和目的IP反過來寫即可。

3.7  測試VPN是否連通

在總部或者分部內網中任意找一台電腦訪問對端網絡資源。

舉例：在總支側電腦ping分部側電腦，IPSEC初始建立時會丟1-2個包，建立後通信正常。

3.8  查看IPSEC監控信息

在“網絡”>“VPN”>“IPsec”>“監控”中查看對到信息，如果有隧道信息就說明VPN已經正常建立，如果沒有隧道信息就說明VPN未建立成功。

3.9  保存配置

在設備右上角選擇“保存”選項，點擊“是”完成配置。

4 注意事項

4.1  外網接口配置動態地址轉換導致VPN無法建立問題

在配置IPSEC VPN時需要注意外網口配置地址轉換時一定要排除掉VPN的感興趣流，因為NAT轉換在接口出方向優先於IPSEC策略，如果不修改會導致數據先經過NAT地址轉換後無法匹配興趣流。

在“對象”>“ACL”>“IPv4”中點擊新建按鈕。

#在“類型”中選擇高級ACL，ACL編號輸入3999。

#以總部防火牆為例，動作選擇拒絕，IP協議類型選擇拒絕，匹配條件匹配總部側內網到分部側內網的網段（在分部側防火牆匹配條件取反）後點擊確定添加下一條策略。

#不需要改變此頁麵配置，可以直接點擊確定按鈕。當有多個網段訪問VPN的需求時，需要先添加拒絕的策略，再添加全部允許的策略。

#在“策略”>“NAT”>“NAT動態轉換”>“策略配置”中點擊新建按鈕。接口選擇外網接口，ACL選擇之前創建的3999，轉換後地址選擇接口IP地址。

注意：如果配置策略中已經存在動態轉換策略，請在此策略的基礎上添加或者更換ACL選項。該操作可能導致斷網請謹慎操作。

4.2  保存配置

在設備右上角選擇“保存”選項，點擊“是”完成配置。