分享一个防火墙和TP做VPN对接的案例
  

米粒儿 Lv7发表于 2016-2-29 12:46

深信服与tplink对接ipsec vpn

TP link 上的设置
第一步:在TP link 上设置好wan口属性
图片1.jpg

第二步:配置ipsec vpn

1. 配置IKE安全提议:VPN→IKE,进入“IKE安全提议”标签页,选择合适的验证、加密算法以及DH组(DH组在深信服设备上是D-H群)
图片2.jpg

2. 配置IKE安全策略:VPN→IKE,进入“IKE安全策略”标签页
协商模式:主模式(Main mode)适用于对身份保护要求较高的场合;野蛮模式(Aggressive mode)适用于对身份保护要求较低的场合,推荐使用主模式。
安全提议:选择在“IKE安全提议”中创建的安全提议名称。
预共享密钥:设置IKE认证的预共享密钥,通信双方的预共享密钥必须相同。
DPD检测:Dead Peer Detect,检测对端在线状态,建议启用。
图片3.jpg

3. 配置IPsec安全提议:VPN→IPsec,进入“IPsec安全提议”标签页,输入IPsec安全提议名称,选择合适的安全协议以及验证算法。
图片4.jpg

4. 配置IPsec安全策略:VPN→IPsec,进入“IPsec安全策略”标签页。
安全策略名称:设置IPsec安全策略名称。
本地子网范围:设置本地子网范围,即北京分公司局域网“192.168.1.0 /24” 。
对端子网范围:设置对端子网范围,即深圳总公司局域网“192.168.0.0 /24” 。
对端网关:填写对端IPsec VPN服务器的IP地址或者域名,此处为深圳总公司TL-ER6120 WAN口IP地址“121.10.10.2”
协商方式:协商方式分为IKE协商和手动模式两种,手动模式需要用户手工配置密钥、SPI等参数;而IKE方式则由IKE自动协商生成这些参数,建议选择“IKE协商”。
IKE安全策略:选择所配置的IKE安全策略。
安全提议:选择配置的IPsec安全提议。
PFS: 用于IKE协商方式下设置IPsec会话密钥的PFS属性,本地与对端的PFS属性必须一致。
生存时间 :用于IKE协商方式下IPsec会话密钥的生存时间。
图片5.jpg


深信服上的设置
首先要保证深信服设备上有vpn分支授权。在系统——系统配置——序列号
图片6.png

第一步:配置好设备的网络接口(本设备是防火墙)
图片7.png

第二步:配置vpn

1. 首先在第一阶段中建好对端设备的名称及Ip地址,如果对端设备是pppoe拨号上网的需要用野蛮模式来连接,共享秘钥和TP上配置的秘钥一样
图片8.png

2. 在高级里面选择好生存时间,要跟TP上设置的一样,主要注意一下D-H群,其他的跟TP上的一样即可
图片9.png

3. 在此我们进入第二阶段,在第二阶段里面我们配置入站和出站策略。首先我们配置入站策略,在入站策略里面选择源ip类型的时候选择ip+掩码模式,在填写上TP的内网网段,对端设备当然是我们第一阶段新建的。其他默认就行
图片10.png

4. 在新建出站策略,在选择上跟入站策略基本上是一样的,注意在填写生存时间的时候要和前面的生存时间要一样,还有就是不要勾选“启用秘钥完美向前保密”
图片11.png

5. 安全选项:选择和TP一样的加密算法和认证算法
图片12.png

做完之后完美就可以看到设备上已经连接成功了
图片13.png

与tplink对接vpn.docx

416.29 KB, 下载次数: 79

喜欢这篇分享吗?喜欢就给楼主打点赏吧!点个赞也是极大的鼓励!

发帖可获得5S豆;若您的分享被加精或推荐优秀等,将获得更多S豆奖励,了解更多S豆奖励信息

完善手机号和公司名称,让服务更省心更便捷!立即完善

Sangfor_闪电回_小云 Lv11发表于 2016-2-29 17:23
  
图文并茂,具体详细!顶起!
woshishui Lv8发表于 2016-9-23 15:40
  
图文并茂,赞一个
阿土 Lv0发表于 2016-9-24 07:15
  
谢谢分享,正需要。。。。
周子超 Lv3发表于 2016-9-30 09:03
  
正在研究,看到这个很不错
周子超 Lv3发表于 2016-9-30 09:04
  
忽然想起,这个怎么做隧道间路由呢
新手659205 Lv1发表于 2017-9-5 11:40
  
那我也是这样的连接,总部是深信服2150的VPN,出口是tp_link 6120G的路由器,分支也是tp_link的473的路由器作ipsec,隧道是连接了,ping是相互间都是可以的,但是分支访问总部SAP的web服务器访问不了,远程桌面有些是可以的,有些是不行的,,,不知什么原因,会不会是总部的tp_link 6120G出口路由的问题?