- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
01-IPsec VPN典型配置举例
本章节下载 (636.69 KB)
目 录
本文档分别介绍路由器采用主模式和野蛮模式建立IPsec VPN的配置方法。
· 主模式：适用于企业和分支路由器外网均有固定公网IP地址的场景。
· 野蛮模式：适用于企业和分支路由器其中一端外网无固定公网IP地址（例如以DHCP方式连接Internet）的场景。
请根据您的实际组网，参考主模式配置举例或野蛮模式配置举例进行配置。
本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请参考以设备实际情况为准。
本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。
本文档假设您已了解IPsec VPN特性。
本配置举例是在ER3200G3路由器的Release 0140版本上进行配置和验证的。
如图1所示，Router A为企业总部网关，Router B为企业分支网关，Router A和Router B的外网接口模式均为单WAN模式，且以固定地址方式连接Internet。分支与总部通过公网建立通信。
出于安全因素，需要对企业分支与总部之间相互访问的数据流进行安全保护，因此需要在Router A和Router B之间建立一条IPsec隧道。具体要求如下：
· 两端通过预共享秘钥（123456TESTplat&!）进行认证。
· IKE协商采用的加密算法为3DES-CBC，认证算法为MD5。
· IPsec隧道的封装模式为隧道模式，安全协议为ESP。
图1 IPsec VPN（主模式）典型配置组网图
采用如下的配置思路：
(1) 完成WAN和LAN的基本配置
a. 配置Router A和Router B的WAN接口IP地址和网关地址等参数。
b. 修改Router A和Router B的VLAN1接口缺省IP地址。
(2) 添加IPsec策略
由于Router A和Router B的WAN接口均以固定公网IP地址连接Internet，因此IPsec策略中的IKE协商模式选择主模式。
· 修改VLAN1接口的IP地址后，会导致Web管理界面登录异常，需要使用修改后的IP地址重新登录Web管理界面，才能进行接下来的配置。
· 若您的组网是双WAN或多WAN接入时，需要在Router上需配置一条静态路由，将访问对端内网的流量指向IPsec策略中所选用的WAN接口。本例中Router A和Router B均为单WAN接入，设备自动生成一条缺省路由，将所有流量指向出接口的网关，所以本例中该步骤可省略。
· IPsec隧道两端设备的预共享秘钥、安全协议、加密/认证算法以及封装模式需保持一致。
# 将VLAN1接口的IP地址修改为10.1.1.1/24。配置步骤如下：
(1) 在设备Web管理界面导航栏中选择“网络设置 > LAN配置”，进入LAN配置页面。
(2) 单击“VLAN配置”页签，进入VLAN配置页面。
(3) 单击VLAN1对应的操作列编辑图标，进入修改VLAN配置页面。
(4) 在“接口IP地址”配置项处，输入10.1.1.1。
(5) 在“子网掩码”配置项处，输入255.255.255.0。
(6) 其它配置项均保持默认情况即可，单击<确定>按钮保存配置。
图2 修改VLAN配置
# 本例中Router A外网的接口模式选择单WAN模式，WAN接口的连接模式为固定地址。配置步骤如下：
(1) 在设备Web管理界面导航栏中选择“网络设置 > 外网配置”，进入外网配置页面。
(2) 在“配置接口模式”页签下选择单WAN模式，单击<应用>按钮使得配置生效。
(3) 单击“WAN配置”页签，进入WAN配置页面。
(4) 单击WAN1对应的操作列编辑图标，进入修改WAN配置页面。
(5) 在“连接模式”配置项处，选择固定地址。
(6) 在“IP地址”配置相处，输入2.2.2.1。
(7) 在“子网掩码”配置项处，输入255.255.255.0。
(8) 在“网关地址”配置项处，输入2.2.2.254。
(9) 其它配置项均保持默认情况即可，单击<确定>按钮保存配置。
图3 配置WAN场景
图4 修改WAN配置
# Router A的IPsec策略中的组网方式选择中心节点，IKE协商模式选择主模式。配置步骤如下：
(1) 在设备Web管理界面导航栏中选择“虚拟专网（VPN） > IPsec VPN”，进入IPsec策略配置页面。
(2) 单击<添加>按钮，进入添加IPsec策略页面，配置如下参数：
¡ 名称：输入map1
¡ 接口：选择WAN1
¡ 组网方式：选择中心节点
¡ 预共享密钥：输入123456TESTplat&!
图5 配置IPsec策略
(3) 单击<显示高级配置>按钮，进入IKE配置页面，配置如下参数：
¡ IKE版本：选择V1
¡ 协商模式：选择主模式
¡ 本端身份类型：选择IP地址，输入2.2.2.1
¡ 对等体存活检测（DPD）：选择开启，探测时间和超时时间保持缺省配置即可（该功能缺省是关闭状态，建议您开启此功能，使设备能够及时获悉IPsec隧道的可用情况）
¡ 算法组合：选择自定义
¡ 认证算法：选择MD5
¡ 加密算法：选择3DES-CBC
¡ 其它参数保持缺省配置即可。
图6 IKE配置
(4) 单击“IPsec配置”页签，进入IPsec配置页面，配置如下参数：
¡ 算法组合：选择自定义
¡ 安全协议：选择ESP
¡ ESP认证算法：选择MD5
¡ ESP加密算法：选择3DES-CBC
¡ 封装模式：选择隧道模式
¡ 触发模式：选择流量触发
¡ 其它参数保持缺省配置即可
(5) 单击<返回基本设置>按钮，再单击<确定>按钮，完成配置。
图7 IPsec配置
# 将VLAN1接口的IP地址修改为10.1.2.1/24。配置步骤如下：
(1) 在设备Web管理界面导航栏中选择“网络设置 > LAN配置”，进入LAN配置页面。
(2) 单击“VLAN配置”页签，进入VLAN配置页面。
(3) 单击VLAN1对应的操作列编辑图标，进入修改VLAN配置页面。
(4) 在“接口IP地址”配置项处，输入10.1.2.1。
(5) 在“子网掩码”配置项处，输入255.255.255.0。
(6) 其它配置项均保持默认配置即可，单击<确定>按钮保存配置。
图8 修改LAN配置
# 本例中Router B外网的接口模式选择单WAN模式，WAN接口的连接模式为固定地址。配置步骤如下：
(1) 在设备Web管理界面导航栏中选择“网络设置 > 外网配置”，进入外网配置页面。
(2) 在“配置接口模式”页签下选择单WAN模式，单击<应用>按钮使得配置生效。
(3) 单击“WAN配置”页签，进入WAN配置页面。
(4) 单击WAN1对应的操作列编辑图标，进入修改WAN配置页面。
(5) 在“连接模式”配置项处，选择固定地址。
(6) 在“IP地址”配置相处，输入2.2.3.1。
(7) 在“子网掩码”配置项处，输入255.255.255.0。
(8) 在“网关地址”配置项处，输入2.2.3.254。
(9) 其它配置项均保持默认情况即可，单击<确定>按钮保存配置。
图9 修改WAN配置
图10 修改WAN配置
# Router B的IPsec策略中的组网方式选择分支节点，IKE协商模式选择主模式。配置步骤如下：
(1) 在设备Web管理界面导航栏中选择“虚拟专网（VPN） > IPsec VPN”，进入IPsec策略配置页面。
(2) 单击<添加>按钮，进入添加IPsec策略页面，配置如下参数：
¡ 名称：输入map1
¡ 接口：选择WAN1
¡ 组网方式：选择分支节点
¡ 对端网关地址：输入2.2.2.1
¡ 预共享密钥：输入123456TESTplat&!
¡ 保护措施流：受保护协议选择IP，本端受保护网段/掩码输入10.1.2.0/24，对端受保护网段/掩码输入10.1.1.0/24，单击<+>按钮，完成保护流的添加。
图11 配置IPsec策略
(3) 单击<显示高级配置>按钮，进入IKE配置页面，配置如下参数：
¡ IKE版本：选择V1
¡ 协商模式：选择主模式
¡ 本端身份类型：选择IP地址，输入2.2.3.1
¡ 对端身份类型：选择IP地址，输入2.2.2.1
¡ 对等体存活检测（DPD）：选择开启，探测时间和超时时间保持缺省配置即可
¡ 算法组合：选择自定义
¡ 认证算法：选择MD5
¡ 加密算法：选择3DES-CBC
¡ 其它参数保持缺省配置即可。
图12 IKE配置
(4) 单击“IPsec配置”页签，进入IPsec配置页面，配置如下参数：
¡ 算法组合：选择自定义
¡ 安全协议：选择ESP
¡ ESP认证算法：选择MD5
¡ ESP加密算法：选择3DES-CBC
¡ 封装模式：选择隧道模式
¡ 触发模式：选择流量触发
¡ 其它参数保持缺省配置即可
(5) 单击<返回基本设置>按钮，再单击<确定>按钮，完成配置。
图13 IPsec配置
(1) 用Host A主机ping Host B主机IP地址，可以ping通。
C:\Users\abc>ping 10.1.2.2
Ping 10.1.2.2 (10.1.2.2): 56 data bytes, press CTRL_C to break
56 bytes from 10.1.2.2: icmp_seq=0 ttl=254 time=2.137 ms
56 bytes from 10.1.2.2: icmp_seq=1 ttl=254 time=2.051 ms
56 bytes from 10.1.2.2: icmp_seq=2 ttl=254 time=1.996 ms
56 bytes from 10.1.2.2: icmp_seq=3 ttl=254 time=1.963 ms
56 bytes from 10.1.2.2: icmp_seq=4 ttl=254 time=1.991 ms
--- Ping statistics for 10.1.2.2 ---
5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss
round-trip min/avg/max/std-dev = 1.963/2.028/2.137/0.062 ms
C:\Users\abc>
(2) 完成上述配置后，在设备Web管理界面选择“虚拟专网(VPN) > IPsec VPN”，单击“监控信息”页签，进入监控信息页面，可以看到建立成功的IPsec隧道信息，状态列显示为UP，说明配置验证成功。
如图14所示，Router A为企业总部网关，外网接口模式为单WAN模式且以固定地址方式连接Internet。Router B为企业分支网关，外网接口模式为单WAN模式且以DHCP方式连接Internet。分支与总部通过公网建立通信。
出于安全因素，需要对总部子网与分支组子网之间相互访问的流量进行安全保护，因此需要在Router A和Router B之间建立一条IPsec隧道，具体要求如下：
· 两端通过预共享秘钥（123456TESTplat&!）进行认证。
· IKE协商采用的加密算法为3DES-CBC，认证算法为MD5。
· IPsec隧道的封装模式为隧道模式，安全协议为ESP。
图14 IPsec VPN（野蛮模式）典型配置组网图
采用如下的配置思路：
(1) 完成WAN和LAN的基本配置
a. 配置Router A和Router B的WAN接口连接Internet。
b. 修改Router A和Router B的VLAN1接口缺省IP地址。
(2) 添加IPsec策略
由于Router B的WAN接口采用DHCP方式获取地址，因此IPsec策略中的IKE协商模式选择野蛮模式。
· 修改VLAN1接口的IP地址后，会导致Web管理界面登录异常，需要使用修改后的IP地址重新登录Web管理界面，才能进行接下来的配置。
· 若您的组网是双WAN或多WAN接入时，需要在Router上需配置一条静态路由，将访问对端内网的流量指向IPsec策略中所选用的WAN接口。本例中Router A和Router B均为单WAN接入，设备自动生成一条缺省路由，将所有流量指向出接口的网关，所以本例中该步骤可省略。
· IPsec隧道两端设备的预共享秘钥、安全协议、加密/认证算法以及封装模式需保持一致。
# 将VLAN1接口的IP地址修改为10.1.1.1/24。配置步骤如下：
(1) 在设备Web管理界面导航栏中选择“网络设置 > LAN配置”，进入LAN配置页面。
(2) 单击“VLAN配置”页签，进入VLAN配置页面。
(3) 单击VLAN1对应的操作列编辑图标，进入修改VLAN配置页面。
(4) 在“接口IP地址”配置项处，输入10.1.1.1。
(5) 在“子网掩码”配置项处，输入255.255.255.0。
(6) 其它配置项均保持默认情况即可，单击<确定>按钮保存配置。
图15 修改VLAN配置
# 本例中Router A外网的接口模式选择单WAN模式，WAN接口的连接模式为固定地址。配置步骤如下：
(1) 在设备Web管理界面导航栏中选择“网络设置 > 外网配置”，进入外网配置页面。
(2) 在“配置接口模式”页签下选择单WAN模式，单击<应用>按钮使得配置生效。
(3) 单击“WAN配置”页签，进入WAN配置页面。
(4) 单击WAN1对应的操作列编辑图标，进入修改WAN配置页面。
(5) 在“连接模式”配置项处，选择固定地址。
(6) 在“IP地址”配置相处，输入2.2.2.1。
(7) 在“子网掩码”配置项处，输入255.255.255.0。
(8) 在“网关地址”配置项处，输入2.2.2.254。
(9) 其它配置项均保持默认情况即可，单击<确定>按钮保存配置。
图16 配置WAN场景
图17 修改WAN配置
# IPsec策略中的组网方式选择中心节点，IKE协商模式选择野蛮模式。配置步骤如下：
(1) 在设备Web管理界面导航栏中选择“虚拟专网（VPN） > IPsec VPN”，进入IPsec策略配置页面。
(2) 单击<添加>按钮，进入添加IPsec策略页面，配置如下参数：
¡ 名称：输入map1
¡ 接口：选择WAN1
¡ 组网方式：选择中心节点
¡ 预共享密钥：输入123456TESTplat&!
图18 配置IPsec策略
(3) 单击<显示高级配置>按钮，进入IKE配置页面，配置如下参数：
¡ IKE版本：选择V1
¡ 协商模式：选择野蛮模式
¡ 本端身份类型：选择FQDN，输入www.test.com（自定义即可）
¡ 对等体存活检测（DPD）：选择开启，探测时间和超时时间保持缺省配置即可（该功能缺省是关闭状态，建议您开启此功能，使设备能够及时获悉IPsec隧道的可用情况。）
¡ 算法组合：选择自定义
¡ 认证算法：选择MD5
¡ 加密算法：选择3DES-CBC
¡ 其它参数保持缺省配置即可。
图19 IKE配置
(4) 单击“IPsec配置”页签，进入IPsec配置页面，配置如下参数：
¡ 算法组合：选择自定义
¡ 安全协议：选择ESP
¡ ESP认证算法：选择MD5
¡ ESP加密算法：选择3DES-CBC
¡ 封装模式：选择隧道模式
¡ 触发模式：选择流量触发
¡ 其它参数保持缺省配置即可
(5) 单击<返回基本设置>按钮，再单击<确定>按钮，完成配置。
# 将VLAN1接口的IP地址修改为10.1.2.1/24。配置步骤如下：
(1) 在设备Web管理界面导航栏中选择“网络设置 > LAN配置”，进入LAN配置页面。
(2) 单击“VLAN配置”页签，进入VLAN配置页面。
(3) 单击VLAN1对应的操作列编辑图标，进入修改VLAN配置页面。
(4) 在“接口IP地址”配置项处，输入10.1.2.1。
(5) 在“子网掩码”配置项处，输入255.255.255.0。
(6) 其它配置项均保持默认配置即可，单击<确定>按钮保存配置。
图21 修改VLAN配置
# 本例中Router B外网的接口模式选择单WAN模式，WAN接口的连接模式为DHCP。配置步骤如下：
(1) 在设备Web管理界面导航栏中选择“网络设置 > 外网配置”，进入外网配置页面。
(2) 在“配置接口模式”页签下选择单WAN模式，单击<应用>按钮使得配置生效。
(3) 单击“WAN配置”页签，进入WAN配置页面。
(4) 单击WAN1对应的操作列编辑图标，进入修改WAN配置页面。
(5) 在“连接模式”配置项处，选择DHCP。
(6) 在“DNS1”配置项处，输入114.114.114.114。
(7) 在“DNS2”配置项处，输入223.5.5.5。
(8) 其它配置项均保持默认情况即可，单击<确定>按钮保存配置。
图22 配置WAN场景
图23 修改WAN配置
# IPsec策略中的组网方式选择分支节点，IKE协商模式选择野蛮模式。配置步骤如下：
(1) 在设备Web管理界面导航栏中选择“虚拟专网（VPN） > IPsec VPN”，进入IPsec策略配置页面。
(2) 单击<添加>按钮，进入添加IPsec策略页面，配置如下参数
¡ 名称：输入map1
¡ 接口：选择WAN1
¡ 组网方式：选择分支节点
¡ 对端网关地址：输入2.2.2.1
¡ 预共享密钥：输入123456TESTplat&!
¡ 保护措施流：受保护协议选择IP，本端受保护网段/掩码输入10.1.2.0/24，对端受保护网段/掩码输入10.1.1.0/24，单击<+>按钮，完成保护流的添加。
图24 配置IPsec策略
(3) 单击<显示高级配置>按钮，进入IKE配置页面，配置如下参数：
¡ IKE版本：选择V1
¡ 协商模式：选择野蛮模式
¡ 本端身份类型：选择FQDN，输入www.test1.com（自定义）
¡ 对端身份类型：选择FQDN，输入www.test.com
¡ 对等体存活检测（DPD）：选择开启，探测时间和超时时间保持缺省配置即可
¡ 算法组合：选择自定义
¡ 认证算法：选择MD5
¡ 加密算法：选择3DES-CBC
¡ 其它参数保持缺省配置即可
图25 IKE配置
(4) 单击“IPsec配置”页签，进入IPsec配置页面，配置如下参数：
¡ 算法组合：选择自定义
¡ 安全协议：选择ESP
¡ ESP认证算法：选择MD5
¡ ESP加密算法：选择3DES-CBC
¡ 封装模式：选择隧道模式
¡ 触发模式：选择流量触发
¡ 其它参数保持缺省配置即可
(5) 单击<返回基本设置>按钮，再单击<确定>按钮，完成配置。
图26 IPsec配置
(1) 用Host A主机ping Host B主机IP地址，可以ping通。
C:\Users\abc>ping 10.1.2.2
Ping 10.1.2.2 (10.1.2.2): 56 data bytes, press CTRL_C to break
56 bytes from 10.1.2.2: icmp_seq=0 ttl=254 time=2.137 ms
56 bytes from 10.1.2.2: icmp_seq=1 ttl=254 time=2.051 ms
56 bytes from 10.1.2.2: icmp_seq=2 ttl=254 time=1.996 ms
56 bytes from 10.1.2.2: icmp_seq=3 ttl=254 time=1.963 ms
56 bytes from 10.1.2.2: icmp_seq=4 ttl=254 time=1.991 ms
--- Ping statistics for 10.1.2.2 ---
5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss
round-trip min/avg/max/std-dev = 1.963/2.028/2.137/0.062 ms
C:\Users\abc>
(2) 完成上述配置后，在设备Web管理界面选择“虚拟专网(VPN) > IPsec VPN”，单击“监控信息”页签，进入监控信息页面，可以看到建立成功的IPsec隧道信息，状态列显示为UP，说明配置验证成功。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
