#原创分享#记一次深信服AF与天翼云主模式对接ipsec VPN

       最近客户买了天翼云，有些分支用了专线，有些小分支购买了天翼云的VPN虚拟网络，按照个数就行收费，因为之前该客户的多分支之间全部是靠深信服AF组件sangfor VPN来访问总部的超融合集群中的业务，因此此次天翼云对接深信服的AF帮助客户远程配置了一下，将此次操作的过程分享一下：和大家共同探讨学习。

一：网络拓扑简介：

此次对接比较简单，主要目的是实现天翼云与企业内网的超融合个别业务可以通信，暂时只对接其中一个分支，拓扑如下：

二：具体配置

（1）天翼云一侧配置

       因为客户此次采购的天翼云的虚拟网络，配置比较老，暂时只支持主模式对接，并且天翼云的ipsec vpn必须在配置完成后才会显示出本端的弹性公网IP，因此只能先配置天翼云配置，但是基本上按照深信服常用参数进行选择：

天翼云界面新增VPN配置：

建立新的连接，网络回默认使用天翼云的VPC私有网络：

第一阶段配置：第二阶段参数配置，按照深信服常用配置配置：

(需要注意的是PFS的DH算法短发要与一阶段ike策略的算法一致)

只能用主模式，点击购买后，配置完成，可以在列表中看到配置的本端公网IP。

（2）深信服一侧配置

一阶段参数配置：

二阶段入站配置：

二阶段出站配置 PFS启用即可，深信服的PFS默认与DH算法匹配

查看连接日志：

查看状态：

三：排错分享

（1）问题1：刚开始客户截图说无法配置VPN，主要是出口防火前的多线路配置有问题：

因为对接的这个是客户的总部，之前的sangfor VPN是在SSL VPN上配置的，因此出口防火墙配置了双线路但实际

上没有应用过VPN功能，

远程客户解决：

（1）确认WAN口属性以及与ipsec VPN多线路配置：

启用多线路：

然后既可以在ipsec VPN配置中选择线路，前提是要注意开启VPN服务：

问题（2）相应超时，数据包错误：因为是远程的客户，有些图不是很清晰：

解决方法：

   正好在公司关于相应超时，顺手使用了公司新锐的无线控制器的udpconnect功能探测一下：

确认两端的UDP 4500 和500都是工作正常

   因为之前的天翼云是客户配置的，这个报错也不愿意再去抓包分析了，于是和客户商量，删除天翼云的配置，重新按照第二章节的配置，配置了一遍，VPN就正常起来了。

解决后判定还是第一阶段协商时间的参数问题，使用深信服默认的参数即可。

好了，本次分享就到这里，欢迎大神指正！！！