深信服与第三方VPN对接过程分享
  

刘庆豪 14197

{{ttag.title}}
本帖最后由 刘庆豪 于 2015-5-6 15:40 编辑

  前几天,有一个第三方vpn对接的项目测试,某公司AC和第三方TP-LINK路由器、华为防火墙vpn对接,与TP-LINK路由器vpn对接成功,但是与华为防火墙对接出现问题,我简单说说这个项目中我获得的一些心得。
  学过某公司vpn的工程师可能知道,某公司vpn产品与第三方对接,第一阶段、第二阶段、安全选项这些参数中,设备中每个参数必须和第三方的参数完全一致才能对接成功。这个项目中因为没有事先询问客户的vpn参数,导致和华为防火墙对接失败,原因是AC内置VPN的版本太低,导致一些参数没法和华为防火墙对接。接下来我给大家说一下第三方vpn对接需要确认的参数。
  需要了解第三方的VPN参数:
  第一阶段参数:
  1、对端IP:X.X.X.X
  2、预共享密钥:password
  3、ISAKMP存活时间:86400(某公司内置的vpn版本太低,最高只能达到26000,这是首先要和客户确认参数,
           确认设备支不支持高于26000参数
)
  4、D-H群:DH1
  5、ISAKMP算法
  第一阶段中还有个主动模式和野蛮模式选择,主动模式咱们不需要配置太多,也没有什么需要注意的地方。野蛮模式有一个我方身份ID和对端身份ID,某公司低版本选的话只有用户字符串和域字符串,没有IPV4(野蛮模式中,第三方的身份ID可能是以IP地址作为身份ID,某公司低版本没有IPV4,这个需要和客户确认,以便确认设备支不支持)。如果闲麻烦客户不好,那第三方对接的时候最好确认某公司内置VPN版本能够支持这些参数。
  第二阶段参数:
  1、入站策略:源IP地址段:
     X.X.X.X/掩码(入站策略是指对端哪些网段需要通过VPN来访问本端)
  2、出站策略:源IP地址段:
    X.X.X.X/掩码(出站策略是指本端哪些网段需要通过VPN去访问对端)
     SA生存时间:3600
  安全选项参数:
  协议:AH
  认证算法:MD5
  加密算法:3DES
这个项目中,因为没有确认好第三方vpn的参数,导致拿过去的设备不支持这些参数,导致此次测试功亏一篑(当然还有后续测试),为了大家不要再犯类似的错误,写的整个第三方对接过程,文中如有什么不对的地方,请大家多多指正,谢谢!

打赏鼓励作者,期待更多好文!

打赏
1人已打赏

张成才 发表于 2016-11-22 09:33
  
问一下 最后对接成功了吗?
liangjiahang 发表于 2016-8-31 17:27
  
谢谢分享!
SteveNiaobs 发表于 2015-5-6 16:12
  
太帅了!满满的都是楼主的经验之谈,非常感谢楼主的无私分享!
做第三方对接前期确认非常重要,最好是能拿到第三方的配置,这样出问题了也好对照排查。
to楼主: IPSEC5.0版本开始支持IPV4做身份ID了
发表新帖
作者其他文章
热门标签
全部标签>
西北区每日一问
技术盲盒
安全效果
【 社区to talk】
技术笔记
干货满满
每日一问
信服课堂视频
新版本体验
GIF动图学习
技术咨询
功能体验
2023技术争霸赛专题
产品连连看
安装部署配置
通用技术
秒懂零信任
技术晨报
自助服务平台操作指引
原创分享
标准化排查
排障笔记本
玩转零信任
排障那些事
SDP百科
深信服技术支持平台
POC测试案例
畅聊IT
答题自测
专家问答
技术圆桌
在线直播
MVP
网络基础知识
升级
安全攻防
上网策略
测试报告
日志审计
问题分析处理
流量管理
每日一记
运维工具
云计算知识
用户认证
解决方案
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
加速技术
产品预警公告
信服圈儿
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
社区帮助指南
答题榜单公布
纪元平台
卧龙计划
华北区拉练
天逸直播
以战代练
山东区技术晨报
文档捉虫活动
齐鲁TV
华北区交付直播
每周精选
2024年技术争霸赛
北京区每日一练
场景专题
故障笔记
高手请过招
升级&主动服务
高频问题集锦
社区新周刊
全能先锋系列
云化安全能力

本版达人

adds

本周建议达人

无极剑圣

本周分享达人

新手25642...

本周提问达人