新手262988 发表于 2021-1-28 11:11
  
非常实用的案例,感谢楼主分享
司马缸砸了光 发表于 2021-7-13 15:05
  
多图详细的分享~梦想赞助商棒棒哒
新手780102 发表于 2021-9-29 09:28
  

很详细谢谢楼主 能配个图就更好了   学习了   
【原创】sangfor 对接天融信防火墙
  

安城丶 11400

{{ttag.title}}
引:IPsec 报文原理
                             
IPsec有两种场景,一种是NAT44环境,一种是NAT444环境,一般防火墙外网配置静态地址的是NAT44环境,如果外网接口配置为PPPOE的是NAT444环境。也可以使用内网客户端上使用百度查询IP,查看地址是否与防火墙上一致。

针对NAT44环境
一、设置某公司配置
配置第一阶段算法与对端地址为任意

注意:密钥与算法的DH组。
配置第二阶段感兴趣流


查看安全策略放行状态:


配置某公司防火墙内网地址(192.168.2.0)访问本端内网地址(192.168.200.0)源NAT转换(内网与200段为三层互联非同段地址)。

查看VPN状态


查看路由表是否生成通往192.168.2.0路由(注意出接口为IPsec0)

二、设置某公司配置

登入某公司防火墙配置VPN

1、选择第三方对接,选择新建第一阶段配置

点击高级配置,设置ike密钥

点击确认保存。
2、选择第二阶段配置

入站为对端IPsec的子网网端,出站为本地内网网端。
设置入站策略

点击确认保存
设置出站策略

点击确认保存。
3、设置IPsec加密算法(其他设备在第二阶段加密,如果友商IPsec有DH组,第二阶段可以不需要配置,

4、配置安全策略(放行),放行vpn到LAN,与LAN到VPN.


注意:某公司与其他友商不一样的地方是不需要配置IPsec的感兴趣流,在LAN口直接转发到VPN虚拟接口,不会转发到公网的出接口,所以不需要配置,只需要配置第二阶段的出入向配置。

查看VPN状态


测试:使用namp进行对某公司内网扫描,发现大量存活主机,ping测试访问正常,远程桌面正常。(未截图)

正对NAT444场景(例如100的地址)野蛮模式对接
提示:
某公司设置
某公司设置
注意DPD死亡对等体检测,要么都开,要么都不开,否则会照成VPN路由黑洞。

sangfor 对接天融信防火墙.pdf

996.39 KB, 阅读权限: 10, 下载次数: 45

打赏鼓励作者,期待更多好文!

打赏
6人已打赏

发表新帖
热门标签
全部标签>
西北区每日一问
干货满满
每日一问
技术盲盒
技术笔记
产品连连看
GIF动图学习
新版本体验
技术咨询
标准化排查
信服课堂视频
安装部署配置
功能体验
2023技术争霸赛专题
自助服务平台操作指引
每周精选
解决方案
设备维护
秒懂零信任
技术圆桌
升级
高手请过招
升级&主动服务
答题自测
SDP百科
玩转零信任
信服圈儿
通用技术
技术晨报
社区新周刊
畅聊IT
专家问答
在线直播
MVP
网络基础知识
安全攻防
上网策略
测试报告
日志审计
问题分析处理
流量管理
每日一记
运维工具
云计算知识
用户认证
原创分享
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
功能咨询
终端接入
授权
资源访问
地址转换
虚拟机
存储
迁移
加速技术
排障笔记本
产品预警公告
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
深信服技术支持平台
社区帮助指南
答题榜单公布
纪元平台
卧龙计划
华北区拉练
天逸直播
以战代练
山东区技术晨报
文档捉虫活动
齐鲁TV
华北区交付直播
2024年技术争霸赛
北京区每日一练
场景专题
故障笔记
排障那些事
高频问题集锦

本版版主

396
140
63

发帖

粉丝

关注

本版达人

新手61940...

本周建议达人

BGP网络

本周分享达人

BGP网络

本周提问达人