113-H3C无线控制器云简网络VPN典型配置举例(V7)
本章节下载: 113-H3C无线控制器云简网络VPN典型配置举例(V7) (802.01 KB)
H3C无线控制器云简网络VPN典型配置举例
Copyright © 2023 新华三技术有限公司 版权所有,保留一切权利。
非经本公司书面许可,任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部,并不得以任何形式传播。
除新华三技术有限公司的商标外,本手册中出现的其它公司的商标、产品标识及商品名称,由各自权利人拥有。
本文档中的信息可能变动,恕不另行通知。
4.1 云简VPN场景(中心VPN和分支VPN必须是云简网络纳管设备)
4.2 标准IPsec场景(中心VPN为未纳管设备,分支VPN为纳管设备)
4.3 标准IPsec场景(中心VPN为纳管设备,分支VPN为未纳管设备)
云简网络VPN依托云平台,采用Hub-Spoke方式建立VPN专属隧道,保证在线业务的安全性。
· 中心-Hub设备:数据中心或者企业总部局域网的接入设备,作为VPN分支的中心的终结设备。建议同一组网中,将所有Hub设备加入一个场景。目前云简网络同一个组网支持两个Hub设备。
· 分支-Spoke设备:各个分支的接入设备,为VPN的发起设备。建议同一组网中,将网络位置类似的Spoke设备加入同一个场景。
· VPN域:云简网络VPN提供在同一个用户视图可共享的VPN域,此VPN域由Hub设备设定,固定的Tunnel地址范围、预置共享密钥、域优先级、IKE安全提议参数、IPsec策略模式以及算法,一旦设定不能修改。
· 云简VPN场景:为已纳管的H3C设备之间建立VPN隧道,可配置中心-Hub设备、分支-Spoke设备。
· 标准IPsec场景:为未纳管的设备(包含第三方设备)和已纳管的设备之间建立VPN隧道,可配置中心-Hub设备、分支-Spoke设备。
图1 云简网络VPN组网结构
登录云简网络并进入网络管理页面后,在左侧导航栏中选择“配置 > AC > 网络 > VPN配置”,进入VPN配置页面。
点击“VPN监控”页签,进入VPN监控页面查看VPN隧道信息,以单个VPN隧道为单位显示。VPN隧道建立在两台设备之间,只要VPN隧道的任意一端在选定分支(或场所)内,就能加载该VPN隧道。
· 点击页面左上角的<刷新>按钮可更新当前VPN隧道信息。
· 点击VPN隧道信息右侧的详情按钮,可以显示VPN隧道详情。
· 点击VPN隧道信息右侧的重置VPN按钮,重新协商IKE提议和IPsec策略。
· 点击VPN隧道信息右侧的链路质量按钮,可以以图表方式查看隧道的链路速率、丢包率、时延和抖动信息
· VPN状态显示为绿色表示正常、红色表示异常。
图2 VPN监控
图3 VPN详情
图4 链路质量
本文档适用于使用Comware软件版本的无线控制器产品,不严格与具体软硬件版本对应,如果使用过程中与产品实际情况有差异,请参考相关产品手册,或以设备实际情况为准。
本文档中的配置均是在实验室环境下进行的配置和验证,配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置,为了保证配置效果,请确认现有配置和以下举例中的配置不冲突。
本文档假设您已了解ADVPN、IPsec相关特性。
· 目前仅WX2510H、WX2540H、WX2560H、WX3508H、WX3510H、WX3520H、LSUM1WCME0、EWPXM1WCME0、LSQM1WCMX20、LSUM1WCMX20RT、LSQM1WCMX40、LSUM1WCMX40RT、EWPXM2WCMD0F和EWPXM1MAC0F支持本特性。
· Hub和Spoke需处于网关所在位置,私网网段的DHCP等相关配置不支持通过云简网络自动下发,需按照实际组网需求完成私网配置。
在Hub和Spoke之间建立一条VPN隧道,对Host A所在的子网(11.1.1.0/24)与Host B所在的子网(10.1.2.0/24)之间的数据流进行安全保护。
图5 云简VPN场景
(1) 点击“中心VPN”页签,然后点击<增加(云简VPN场景)>按钮,进入“增加中心VPN”页面;
(2) 增加中心VPN,配置如下:
¡ 出接口选择公网接口,连接WAN则选WAN口,否则选择对应VLAN接口;
¡ 输入WAN口IP地址或者对应VLAN接口IP地址;
¡ 输入与现有不重复的VPN域名(此处是创建);
¡ 输入与现有不重复的tunnel地址范围;
¡ 输入需要通信的私网地址段,多个地址段需要用逗号隔开;
¡ 其它参数可采用缺省配置;
¡ 点击<保存>按钮保存VPN配置,点击<应用>按钮,保存并向设备下发VPN配置。
图6 增加中心VPN
(1) 点击“分支VPN”页签,然后点击<增加(云简VPN场景)>按钮,进入“增加分支VPN”页面;
(2) 增加分支VPN,配置如下:
¡ 出接口选择公网接口,连接WAN则选WAN口,否则选择对应VLAN接口;
¡ 选择需要建立隧道的中心VPN的VPN域;
¡ 选择需要通信的私网地址段;
¡ 其它参数可采用缺省配置;
¡ 点击<保存>按钮保存VPN配置,点击<应用>按钮,保存并向设备下发VPN配置。
图7 增加分支VPN
中心VPN和分支VPN私网地址段可以相互ping通。
在Hub和Spoke之间建立一条VPN隧道,对Host A所在的子网(3.3.3.0/24)与Host B所在的子网(11.1.1.0/24)之间的数据流进行安全保护。
图8 云简VPN场景
(1) 点击“中心VPN”页签,然后点击<增加(标准IPsec场景)>按钮,进入“增加中心VPN”页面;
(2) 点击“第三方设备”页签,配置如下:
¡ 设备名称;
¡ 预共享密钥AE80DBE4494433EC;
¡ 公网地址;
¡ VPN域为test99;
¡ 中心FQDN为test999;
¡ 其它参数可采用缺省配置;
¡ 点击<保存>按钮保存配置。
图9 中心VPN第三方设备
(3) 中心VPN为未纳管设备,命令行配置如下:(其它厂商的第三方设备请使用相关功能对应的配置)
interface Vlan-interface1
ip address 192.168.106.40 255.255.255.0
ipsec apply policy test99
ipsec transform-set test99
esp encryption-algorithm aes-cbc-256
esp authentication-algorithm md5
ipsec policy-template test99 1
transform-set test99
ike-profile 0000CloudNetIpsecSceneProfile
reverse-route dynamic
ipsec policy test99 1 isakmp template test99
ike profile 0000CloudNetIpsecSceneProfile
keychain 0000CloudNetIpsecSceneKeyChain
dpd interval 10 retry 3 periodic
exchange-mode aggressive
local-identity fqdn test999
match remote identity domain test99
proposal 25530
ike proposal 25530
encryption-algorithm aes-cbc-256
ike keychain 0000CloudNetIpsecSceneKeyChain
pre-shared-key address 0.0.0.0 0.0.0.0 key simple AE80DBE4494433EC
(1) 点击“分支VPN”页签,然后点击<增加(标准IPsec场景)>按钮,进入“增加分支VPN”页面;
(2) 点击“已纳管设备”页签,配置如下:
¡ 设备名称和出接口;
¡ VPN域为test99;
¡ 分支FQDN为test99;
¡ VPN保护的业务流量为11.1.1.0/24子网和3.3.3.0/24子网的流量;
¡ 其它参数可采用缺省配置;
¡ 点击<保存>按钮保存VPN配置,点击<应用>按钮,保存并向设备下发VPN配置。
图10 分支VPN已纳管设备
VPN保护的业务流量两端可以互相ping通,配置成功。
在Hub和Spoke之间建立一条VPN隧道,对Host A所在的子网(11.1.1.0/24)与Host B所在的子网(8.8.8.0/24)之间的数据流进行安全保护。
图11 云简VPN场景
(1) 点击“中心VPN”页签,然后点击<增加(标准IPsec场景)>按钮,进入“增加中心VPN”页面;
(2) 点击“已纳管设备”页签,配置如下:
¡ 设备名称和出接口;
¡ 公网地址;
¡ VPN域为test56(注意区分大小写);
¡ 中心FQDN为test556(注意区分大小写);
¡ 预共享密钥:AE80DBE4494433EC;
¡ 其它参数可采用缺省配置;
¡ 点击<保存>按钮保存VPN配置,点击<应用>按钮,保存并向设备下发VPN配置。
图12 中心VPN已纳管设备
(1) 点击“分支VPN”页签,然后点击<增加(标准IPsec场景)>按钮,进入“增加分支VPN”页面;
(2) 点击“第三方设备”页签,配置如下:
¡ 设备名称;
¡ VPN域为test56;
¡ 分支FQDN为test556;
¡ 点击<保存>按钮保存配置。
图13 分支VPN第三方设备
(3) 分支VPN为未纳管设备,命令行配置如下:(其它厂商的第三方设备请使用相关功能对应的配置)
interface Tunnel10000 mode ipsec
ip address 112.0.0.50 255.255.255.0
source GigabitEthernet1/0/5
destination 192.168.106.193
tunnel protection ipsec profile test56 acl name cloudNet-test56
ip route-static 11.1.1.0 24 Tunnel10000
acl advanced name cloudNet-test56
rule 0 permit ip source 8.8.8.0 0.0.0.255 destination 11.1.1.0 0.0.0.255
ipsec transform-set test56
esp encryption-algorithm aes-cbc-256
esp authentication-algorithm md5
ipsec profile test56 isakmp
transform-set test56
ike-profile test56
ike profile test56
keychain 0000CloudNetIpsecSceneKeyChain
dpd interval 10 retry 3 periodic
exchange-mode aggressive
local-identity fqdn test556.test56
proposal 18513
ike proposal 18513
encryption-algorithm aes-cbc-256
ike keychain 0000CloudNetIpsecSceneKeyChain
pre-shared-key address 192.168.106.193 255.255.255.255 key simple AE80DBE4494433EC
中心VPN和分支VPN私网网段可以相互ping通,配置成功。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!