H3C MSR 20-20 IPsec VPN 配置

galdys發表於2011-08-12
 兩端做ipsec vpn的前提條件：有一端必須是公網靜態IP。兩端是動態的情況下vpn隧道的可靠性依託於第三方策略伺服器，現在華為的裝置不支援。
MSR2020的配置：
#IKE本端名稱
ike local-name center
#ipsec policy要引用的ACL
acl number 3002
rule 5 permit ip source 192.168.5.0 0.0.0.255 destination 192.168.0.0 0.0.0.255
rule 15 deny ip
#配置IKE安全提議，如果兩端裝置型號相同可以採用預設值；若兩端裝置不同必須搞清楚裝置所採用的驗證演算法、加密演算法和身份驗證方式，比如說LZ就必須搞清804HV預設的這些引數
ike proposal 1
authentication-algorithm md5
encryption-algorithm des-cbc
authentication-method pre-share
#配置IKE對等體，設定協商模式為野蠻，預共享金鑰為明文密碼，ID型別為名稱，對端裝置的名稱。NAT穿越也在此處配置。注意：只有野蠻模式下ID型別才能設為名稱
ike peer 1
exchange-mode aggressive
pre-shared-key simple 123456
id-type name
remote-name fenbu
#配置IPSEC安全提議，注意此處的引數兩端裝置同樣要相同，分別是安全協議、esp驗證演算法、esp加密演算法、ipsec報文的封裝模式
ipsec proposal 1
transform esp
esp authentication-algorithm md5
esp encryption-algorithm des
encapsulation-mode tunnel
#配置ipsec安全策略，引用acl、IKE PEER、安全提議
ipsec policy p1 1 isakmp
security acl 3002
ike-peer 1
proposal 1
#
interface Ethernet0/0
port link-mode route
ip address x.x.x.x 255.255.255.0
ipsec policy p1
#
interface Ethernet0/1
port link-mode route
ip address 192.168.5.1 255.255.255.0
#
ip route-static 0.0.0.0 0.0.0.0 x.x.x.y
在兩端裝置相同的情況下，很多引數可以省略，因為相同廠家的裝置預設引數是相同的；如果兩端裝置廠家不一樣，就需要搞清預設的具體引數，引數不同極有可能導致vpn隧道協商不起來。
MSR2020除了做VPN功能外，極有可能需要做NAT，那麼在NAT轉換的過程中，NAT引用的ACL需要把ipsec報文給踢出去，所以NAT引用的acl第一條：rule  deny ip source 192.168.5.0 0.0.0.255 destination 192.168.0.0 0.0.0.255一定要做；或者在介面下配置：ipsec no-nat-process，這2個效果是一樣的。
總之，不同廠家的裝置對聯很麻煩，如果條件允許LZ還是買成一樣的吧，那樣配置起來也比較方便，出了問題也好排查。

相關文章