摘要

HUAWEI服务器防火墙同一案例情景下配备IPSec隧道施工组网方案图型　　　　组网方案要求如下图所示，总公司根据FW_A与Internet联接，子公司根据FW_B与Internet联接。FW_A和FW_B中间根据IPSec方法创建安全性通讯隧道施工。为了更好地防止FW_A上的IPSec业务流程遭受该服务器防火墙上别的业务流程的危害，公司客户规定在FW_A上新创建一个VPN案例，并将IPSec…

正文

HUAWEI服务器防火墙同一案例情景下配备IPSec隧道施工

组网方案图型

组网方案要求

如下图所示，总公司根据FW_A与Internet联接，子公司根据FW_B与Internet联接。FW_A和FW_B中间根据IPSec方法创建安全性通讯隧道施工。为了更好地防止FW_A上的IPSec业务流程遭受该服务器防火墙上别的业务流程的危害，公司客户规定在FW_A上新创建一个VPN案例，并将IPSec隧道施工独立配备到该VPN案例下，以做到业务流程防护的目地。

配备构思

依据用户需求，配备构思以下：

1.在FW_A上新创建一个VPN案例（vpn1）。
2.配备VPN案例下的路由器。
3.配备VPN案例下的IPSec对策有关主要参数。

　　配备IKE对等体时，必须特定IPSec与VPN案例的关联关联，详细配备FW_A中的流程。

操作流程

1.配备FW_A（总公司）。

　　1.1 配备VPN案例vpn1。

<sysname> system-view
[sysname] sysname FW_A
[FW_A] ip vpn-instance vpn1
[FW_A-vpn-instance-vpn1] route-distinguisher 100:1
[FW_A-vpn-instance-vpn1] quit

　　1.2 配备插口IP地址，并将插口添加安全性地区。

　　　1.2.1 配备GigabitEthernet 1/0/1的IP地址。

[FW_A] interface GigabitEthernet 1/0/1
[FW_A-GigabitEthernet1/0/1] ip binding vpn-instance vpn1
[FW_A-GigabitEthernet1/0/1] ip address 10.1.1.1 24
[FW_A-GigabitEthernet1/0/1] quit

　　　1.2.2 配备GigabitEthernet 1/0/2的IP地址。

[FW_A] interface GigabitEthernet 1/0/2
[FW_A-GigabitEthernet1/0/2] ip binding vpn-instance vpn1
[FW_A-GigabitEthernet1/0/2] ip address 1.1.3.1 24
[FW_A-GigabitEthernet1/0/2] quit

　　　1.2.3 配备GigabitEthernet 1/0/1加入Trust安全性地区。

[FW_A] firewall zone trust
[FW_A-zone-trust] add interface GigabitEthernet 1/0/1
[FW_A-zone-trust] quit

　　　1.2.4 配备GigabitEthernet 1/0/2添加Untrust安全性地区。

[FW_A] firewall zone untrust
[FW_A-zone-untrust] add interface GigabitEthernet 1/0/2
[FW_A-zone-untrust] quit

　　1.3.配备到FW_B的静态路由，假定下一跳详细地址为1.1.3.2。该路由器用以具体指导FW_A分享总公司浏览支系的报文格式。

[FW_A] ip route-static vpn-instance vpn1 1.1.5.0 24 1.1.3.2
[FW_A] ip route-static vpn-instance vpn1 10.1.2.0 24 1.1.3.2

　　1.4.配备域间安全设置。

　　　1.4.1 配备Trust域与Untrust域的分享对策，容许封裝前和解封后的报文格式能根据FW_A。

[FW_A] security-policy
[FW_A-policy-security] rule name 1
[FW_A-policy-security-rule-1] source-zone untrust
[FW_A-policy-security-rule-1] destination-zone trust
[FW_A-policy-security-rule-1] source-address 10.1.2.0 24
[FW_A-policy-security-rule-1] destination-address 10.1.1.0 24
[FW_A-policy-security-rule-1] action permit
[FW_A-policy-security-rule-1] quit
[FW_A-policy-security] rule name 2
[FW_A-policy-security-rule-2] source-zone trust
[FW_A-policy-security-rule-2] destination-zone untrust
[FW_A-policy-security-rule-2] source-address 10.1.1.0 24
[FW_A-policy-security-rule-2] destination-address 10.1.2.0 24
[FW_A-policy-security-rule-2] action permit
[FW_A-policy-security-rule-2] quit

　　　1.4.2 配备Local域与Untrust域的本地策略，容许IKE商议报文格式能一切正常根据FW_A。

[FW_A-policy-security] rule name 3
[FW_A-policy-security-rule-3] source-zone local
[FW_A-policy-security-rule-3] destination-zone untrust
[FW_A-policy-security-rule-3] source-address 1.1.3.1 32
[FW_A-policy-security-rule-3] destination-address 1.1.5.1 32
[FW_A-policy-security-rule-3] action permit
[FW_A-policy-security-rule-3] quit
[FW_A-policy-security] rule name 4
[FW_A-policy-security-rule-4] source-zone untrust
[FW_A-policy-security-rule-4] destination-zone local
[FW_A-policy-security-rule-4] source-address 1.1.5.1 32
[FW_A-policy-security-rule-4] destination-address 1.1.3.1 32
[FW_A-policy-security-rule-4] action permit
[FW_A-policy-security-rule-4] quit
[FW_A-policy-security] quit

　　1.5.配备IPSec。

　　　1.5.1 配备密钥管理目录，界定必须维护的数据流分析，并与VPN案例关联。

[FW_A] acl 3000 vpn-instance vpn1
[FW_A-acl-adv-3000] rule 5 permit ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255
[FW_A-acl-adv-3000] quit

　　　1.5.2 配备IPSec安全性建议。

[FW_A] ipsec proposal tran1
[FW_A-ipsec-proposal-tran1] transform esp
[FW_A-ipsec-proposal-tran1] encapsulation-mode tunnel
[FW_A-ipsec-proposal-tran1] esp authentication-algorithm sha2-256
[FW_A-ipsec-proposal-tran1] esp encryption-algorithm aes-256
[FW_A-ipsec-proposal-tran1] quit

　　　1.5.3 建立IKE安全性建议，默认设置主要参数可无需配备。

[FW_A] ike proposal 1
[FW_A-ike-proposal-1] dh group14
[FW_A-ike-proposal-1] quit

　　　1.5.4 配备IKE peer。

[FW_A] ike peer b
[FW_A-ike-peer-b] ike-proposal 1
[FW_A-ike-peer-b] pre-shared-key Key123
[FW_A-ike-peer-b] remote-address vpn-instance vpn1 1.1.5.1
[FW_A-ike-peer-b] sa binding vpn-instance vpn1
[FW_A-ike-peer-b] quit

　　　1.5.5 配备非模版方法的IPSec安全设置。

[FW_A] ipsec policy map1 1 isakmp
[FW_A-ipsec-policy-isakmp-map1-1] ike-peer b
[FW_A-ipsec-policy-isakmp-map1-1] proposal tran1
[FW_A-ipsec-policy-isakmp-map1-1] security acl 3000
[FW_A-ipsec-policy-isakmp-map1-1] quit

　　　1.5.6 在插口GigabitEthernet 1/0/2上运用IPSec安全设置。

[FW_A] interface GigabitEthernet 1/0/2
[FW_A-GigabitEthernet1/0/2] ipsec policy map1
[FW_A-GigabitEthernet1/0/2] quit

2.配备FW_B（支系）。

　　2.1 配备插口IP地址，并将插口添加安全性地区。

　　　2.1.1 配备GigabitEthernet 1/0/1的IP地址。

<sysname> system-view
[sysname] sysname FW_B
[FW_B] interface GigabitEthernet 1/0/1
[FW_B-GigabitEthernet1/0/1] ip address 10.1.2.1 24
[FW_B-GigabitEthernet1/0/1] quit

　　　2.1.2 配备GigabitEthernet 1/0/2的IP地址。

[FW_B] interface GigabitEthernet 1/0/2
[FW_B-GigabitEthernet1/0/2] ip address 1.1.5.1 24
[FW_B-GigabitEthernet1/0/2] quit

　　　2.1.3 配备GigabitEthernet 1/0/1加入Trust安全性地区。

[FW_B] firewall zone trust
[FW_B-zone-trust] add interface GigabitEthernet 1/0/1
[FW_B-zone-trust] quit

　　　2.1.4 配备GigabitEthernet 1/0/2添加Untrust安全性地区

[FW_B] firewall zone untrust
[FW_B-zone-untrust] add interface GigabitEthernet 1/0/2
[FW_B-zone-untrust] quit

　　2.2 配备到FW_A的静态路由，假定下一跳详细地址为1.1.5.2。该路由器用以具体指导FW_B分享支系发往总公司的报文格式。

[FW_B] ip route-static 10.1.1.0 24 1.1.5.2
[FW_B] ip route-static 1.1.3.0 24 1.1.5.2

　　2.3 配备域间安全设置。

　　　2.3.1 配备Trust域与Untrust域的分享对策，容许封裝前和解封后的报文格式能根据FW_B。

[FW_B] security-policy
[FW_B-policy-security] rule name 1
[FW_B-policy-security-rule-1] source-zone untrust
[FW_B-policy-security-rule-1] destination-zone trust
[FW_B-policy-security-rule-1] source-address 10.1.1.0 24
[FW_B-policy-security-rule-1] destination-address 10.1.2.0 24
[FW_B-policy-security-rule-1] action permit
[FW_B-policy-security-rule-1] quit
[FW_B-policy-security] rule name 2
[FW_B-policy-security-rule-2] source-zone trust
[FW_B-policy-security-rule-2] destination-zone untrust
[FW_B-policy-security-rule-2] source-address 10.1.2.0 24
[FW_B-policy-security-rule-2] destination-address 10.1.1.0 24
[FW_B-policy-security-rule-2] action permit
[FW_B-policy-security-rule-2] quit

　　　2.3.2 配备Local域与Untrust域的本地策略，容许IKE商议报文格式能一切正常根据FW_B。

[FW_B-policy-security] rule name 3
[FW_B-policy-security-rule-3] source-zone local
[FW_B-policy-security-rule-3] destination-zone untrust
[FW_B-policy-security-rule-3] source-address 1.1.5.1 32
[FW_B-policy-security-rule-3] destination-address 1.1.3.1 32
[FW_B-policy-security-rule-3] action permit
[FW_B-policy-security-rule-3] quit
[FW_B-policy-security] rule name 4
[FW_B-policy-security-rule-4] source-zone untrust
[FW_B-policy-security-rule-4] destination-zone local
[FW_B-policy-security-rule-4] source-address 1.1.3.1 32
[FW_B-policy-security-rule-4] destination-address 1.1.5.1 32
[FW_B-policy-security-rule-4] action permit
[FW_B-policy-security-rule-4] quit
[FW_B-policy-security] quit

　　2.4 配备IPSec。

　　　2.4.1 配备密钥管理目录，界定必须维护的数据流分析。

[FW_B] acl 3000
[FW_B-acl-adv-3000] rule 5 permit ip source 10.1.2.0 0.0.0.255 destination 10.1.1.0 0.0.0.255
[FW_B-acl-adv-3000] quit

　　　2.4.2 配备IPSec安全性建议。

[FW_B] ipsec proposal tran1
[FW_B-ipsec-proposal-tran1] transform esp
[FW_B-ipsec-proposal-tran1] encapsulation-mode tunnel
[FW_B-ipsec-proposal-tran1] esp authentication-algorithm sha2-256
[FW_B-ipsec-proposal-tran1] esp encryption-algorithm aes-256
[FW_B-ipsec-proposal-tran1] quit

　　　2.4.3 建立IKE安全性建议，默认设置主要参数可无需配备。

[FW_B] ike proposal 1
[FW_B-ike-proposal-1] dh group14
[FW_B-ike-proposal-1] quit

　　　2.4.4 配备IKE peer。

[FW_B] ike peer a
[FW_B-ike-peer-a] ike-proposal 1
[FW_B-ike-peer-a] pre-shared-key Key123
[FW_B-ike-peer-a] remote-address 1.1.3.1
[FW_B-ike-peer-a] quit

　　　2.4.5 配备非模版方法的IPSec安全设置。

[FW_B] ipsec policy map1 1 isakmp
[FW_B-ipsec-policy-isakmp-map1-1] ike-peer a
[FW_B-ipsec-policy-isakmp-map1-1] proposal tran1
[FW_B-ipsec-policy-isakmp-map1-1] security acl 3000
[FW_B-ipsec-policy-isakmp-map1-1] quit

　　　2.4.6 在插口GigabitEthernet 1/0/2上运用IPSec安全设置。

[FW_B] interface GigabitEthernet 1/0/2
[FW_B-GigabitEthernet1/0/2] ipsec policy map1
[FW_B-GigabitEthernet1/0/2] quit

結果认证

1.配备取得成功后，总公司下的客户能够与支系下的客户互相浏览。各自在FW_A、FW_B实行display ike sa、display ipsec sa brief会表明网站安全检测的创建状况。以FW_A为例子，发生下列表明表明IKE网站安全检测、IPSec网站安全检测创建取得成功。

<FW_A> display ike sa
IKE SA information :   
    Conn-ID     Peer            VPN   Flag(s)  Phase  RemoteType  RemoteID
  -----------------------------------------------------------------------------
    10          1.1.5.1:500     vpn1  RD|ST|A  V2:2   IP          1.1.5.1
    9           1.1.5.1:500     vpn1  RD|ST|A  V2:1   IP          1.1.5.1

  Number of IKE SA : 2 
  -------------------------------------------------------------------------------
  Flag Description:                                                             
  RD--READY   ST--STAYALIVE   RL--REPLACED   FD--FADING   TO--TIMEOUT           
  HRT--HEARTBEAT   LKG--LAST KNOWN GOOD SEQ NO.   BCK--BACKED UP                
  M--ACTIVE   S--STANDBY   A--ALONE  NEG--NEGOTIATING 
<FW_A> display ipsec sa brief
Current ipsec sa num:2

Spu board slot 1, cpu 0 ipsec sa information:                                   
Number of SAs:4                                                              
    Src address   Dst address      SPI        VPN   Protocol     Algorithm       
------------------------------------------------------------------------------- 
    1.1.5.1         1.1.3.1       4001819557  vpn1    ESP      E:AES-256 A:SHA2-256-128
    1.1.3.1         1.1.5.1       3923280450  vpn1    ESP      E:AES-256 A:SHA2-256-128

关注不迷路

扫码下方二维码，关注宇凡盒子公众号，免费获取最新技术内幕！

温馨提示：如果您访问和下载本站资源，表示您已同意只将下载文件用于研究、学习而非其他用途。

文章版权声明 1、本网站名称：宇凡盒子
2、本站文章未经许可，禁止转载！
3、如果文章内容介绍中无特别注明，本网站压缩包解压需要密码统一是：yufanbox.com
4、本站仅供资源信息交流学习，不保证资源的可用及完整性，不提供安装使用及技术服务。点此了解
5、如果您发现本站分享的资源侵犯了您的权益，请及时通知我们，我们会在接到通知后及时处理！提交入口

华为防火墙配置IPSec隧道

摘要

正文

HUAWEI服务器防火墙同一案例情景下配备IPSec隧道施工

关注不迷路

评论0

在线客服

升级VIP

夜间模式

返回顶部

站点公告

华为防火墙配置IPSec隧道

摘要

正文

HUAWEI服务器防火墙同一案例情景下配备IPSec隧道施工

关注不迷路

大家在看

评论0

在线客服

升级VIP

夜间模式

返回顶部

站点公告

社交账号快速登录

社交账号快速登录