本帖最后由 新手320096 于 2022-11-15 10:04 编辑
一、问题概述客户分支无静态公网IP,均为运营商DHCP地址,要通过IPSEC对接信服云环境 二、问题分析分支动态公网IP,总部静态公网IP,根据IPSEC工作原理,云上总部只能是被动端,分支为主动发起端,才能完成对接。 三、解决方案 1. 托管云总部基本设置 :注意总部不能启用主动连接
2.托管云总部第一阶段设置(深信服和第三方对接只能使用野蛮模式)
3.托管云第二阶段设置,配置入站和出站,配置安全规则,两端保持一致即可
4.分支锐捷设备设置
验证方式选择字符串,深信服和第三方产品对接时优先使用用户字符串的认证方式(很多厂商不支持IP,字符串基本通用)
锐捷的转换集对应深信服的第二阶段安全选择,注意保证两端算法,PFS一致
锐捷动态IP端主动,深信服云上被动
其他保持一致
四、注意事项两端的感兴趣要完全一致如图 锐捷这边写了172.16.0.0/16位掩码,总部的入站策略必须也要统一,不能写172.16.0.0/24不然协商不成功 注意映射信服云VPN设备或者防火墙UDP500,4500端口分支同样需要映射 |