对接华三IPsec VPN(野蛮模式)
  

新手394162 34

{{ttag.title}}

深信服防火墙
(对接华三IPsec VPN


华三防火墙端为分支无公网地址,做野蛮模式
接口配置和策略放通本文档中省略;本文中对端公网地址我用2.2.2.2作用在本文中,实际项目以现场为准;本端私网地址为192.168.1.0/24 对端为10.10.1.0/24
第一步:先配置IKE提议;也可以在创建策略里添加也行,这里先预配置ike;各位可以按需去加;网络>VPN>IPsec>策略>IKE提议;这里优先级为1;认证算法为MD5;加密算法为3DES-CBCDHDH group1;其他保存默认即可

第二步:网络>VPN>IPsec>策略;配置名称和角色为对等及本段接口和对端接口;本端选择上联口即可,对端为对端的公网ip地址;如下图
第三步:IKE策略,模式为野蛮模式;认证方式为预共享密钥;这里密钥跟对方要一致即可,这里我设置a123456ike提议就选第一步我们创建的ike提议;
本端id我这里用的fqdn我这里设置18(这里要总部的设备写对端id的信息一致);对端id我这里用的是ipv4地址为对端的公网地址;如下图
第四步:保护的数据流;点击新建:源地址为本段需要访问对端的地址,目的地址为对端我们需要访问的地址;注意的是这里源和目的和对端必须一致,子网不能有偏差;
触发模式保留默认流量触发即可;如下图

第五步;高级设计中封装模式为隧道模式;安全协议为espesp认证算法为MD5ESP加密算法为3DES-CBC;
第六步:开启DPD检测,我这里设置的检测间隔为30秒;华三的nat穿透是默认打开的,安全策略如果没有自己做的话,可以勾选生成安全策略,但是不建议在这里勾选,建议自己去策略那里自己添加;就做完了,提交;如下图
最后一步也是最关键一步:进入cli命令行去配置nat;把保护的数据流的源到目的不要做地址转换;
命令如下:先创建acl
然后到接口下调用
注:这里就配置完毕了,注意接口nat会跟策略nat冲突,导致接口nat不生效;华三有个测试的工具,可以在对端配置完成后验证;这里诊断如果通了的话会提示成功,如果不成功也会有到哪个阶段不通的提示


深信服防火墙配置
防火墙作为总部,有公网地址,这里出口公网地址本文的使用2.2.2.2;这里网络配置也不多做描述;
第一步:开启vpn功能;网络>sangfor/ipsecvpn>vpn运行状态,此处打开vpn;我这里已经打开了
第二步:先检查vpn线路是否正确;网络>sangfor/ipsecvpn>通用配置>VPN线路设置
第三步:创建ipsecvpn,网络>sangfor/ipsecvpn>ipscevpn配置;左上角新增第三方设备,设置名称和对端设备地址类型为动态ip,填写预共享密钥a123456;本端出口线路为出接口(这个就是第二步要检查的那个接口);
第四步:ipsec配置,点击新增,设置本段地址10.10.1.0/24,对端为192.168.1.0/24;服务都选择全部;阶段二安全提议设置为协议esp、加密算法3DES、认证算法MD5、密钥为空;其他保持默认后提交;


第五步:配置ike,点击高级设置,ike配置,版本信息为IKEv1;链接模式为野蛮模式;
本地身份idip地址2.2.2.2、对端身份id为字符串18,必须跟华三的保持一致;D-Hgroup1DPDNAT-T都启用;阶段一安全提议为加密算法3DES,认证算法为MD5;其他的保持默认,确定;这里就配置完毕;
最后一步:检查状态,网络>sangfor/ipsecvpn>vpn运行状态,查看是否正常,然后测试两边内网连通性,确认隧道状态为“已连接”,查看日志无异常提示;通过内网终端互相ping对端内网地址,确保通信正常;若不通,检查路由及安全策略配置。

到这里就配置完毕了,如果两端不通,vpn两边起不来,检查以下配置
1. 两边的认证密钥是否一致,身份ID是否一致,认证和加密算法是否一致,两端的感兴趣流是否一致;
2. 检查两边的路由是否有问题,策略是否放通,测试到对端的公网地址是否可达;查看华三调用在出接口的acl策略是否添加了本端到对端的拒绝的acl策略;
3. 华三端本地子网到目的子网的感兴趣流的源目的访问要配置不做地址转换,创建acl,配置源访问目的的子网做拒绝,最后一条放通,调用在出接口的nat上,可以参考华三配置的最后一步
4. 华三端注意做源nat的时候要做基于端口的nat,不要做策略nat;建议用命令行去配置此步骤,在外网接口下配置nat outbound ACLname,可以参考华三的最后一步
5. 如果还不通可以在我们深信服设备上抓包,可能是否有对端的ipsecvpn的报文过来;有数据还是不通,以上检查都没问题,就请外援吧,联系400解决;

对接华三IPSECvpn(野蛮模式).pdf

1.06 MB, 下载次数: 0

打赏鼓励作者,期待更多好文!

打赏
暂无人打赏

小猪快跑 发表于 2025-12-2 14:08
  
有么有对接天融信IPSecVPN的配置案例呀,求大佬分享。。。
发表新帖
热门标签
全部标签>
新版本体验
功能体验
纪元平台
标准化排查
每日一问
安装部署配置
产品连连看
每周精选
GIF动图学习
网络基础知识
高手请过招
上网策略
【 社区to talk】
安全效果
问题分析处理
迁移
秒懂零信任
社区新周刊
2025年技术争霸赛
声音值千金
信服课堂视频
畅聊IT
答题自测
专家问答
技术笔记
技术圆桌
在线直播
MVP
升级
安全攻防
测试报告
日志审计
流量管理
每日一记
运维工具
用户认证
原创分享
解决方案
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
排障笔记本
产品预警公告
玩转零信任
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
2023技术争霸赛专题
卧龙计划
华北区拉练
天逸直播
以战代练
技术晨报
平台使用
技术盲盒
山东区技术晨报
文档捉虫
齐鲁TV
华北区交付直播
2024年技术争霸赛
北京区每日一练
场景专题
故障笔记
排障那些事
西北区每日一问
升级&主动服务
高频问题集锦
POC测试案例
全能先锋系列
云化安全能力
专家说
热门活动
产品动态
行业实践
产品解析
关键解决方案
工具体验官

本版版主

37
45
47

发帖

粉丝

关注

0
3
1

发帖

粉丝

关注

本版达人

新手61940...

本周建议达人

BGP网络

本周分享达人

BGP网络

本周提问达人