ikev2 profile profile_sangfor #创建IKEv2 profile，名称为 profile_sangfor
authentication-method local pre-share #本端的身份认证方式为预共享密钥
authentication-method remote pre-share #对端的身份认证方式为预共享密钥
keychain keyring_sangfor #引用前面配置的IKEv2 keychain，名称为keyring_sangfor
sa duration 3600 #IKE SA超时时间
dpd interval 30 on-demand #DPD检测间隔30秒
identity local fqdn h3c #本端的身份类型为fqdn，身份ID为 h3c
match remote identity fqdn sangfor #对端的身份类型为fqdn，身份ID为 sangfor
3、配置IKEV2的安全提议（对应AF IPSEC VPN的IKEv2-阶段一安全提议）
ikev2 proposal proposal_sangfor #创建IKEv2 proposal，名称为proposal_sangfor
encryption des-cbc #加密算法使用 DES
integrity sha1 #认证算法使用 SHA1
dh group2 #D-H群为group2（对应AF IKEV2的D-H群）
prf sha1 #伪随机数生成函数为 sha1
4、引用前面配置的ikev2 proposal proposal_sangfor
ikev2 policy policy_sangfor #创建IKEv2 policy，名称为policy_sangfor
proposal proposal_sangfor #引用ikev2 proposal proposal_sangfor
5、添加第二阶段的出站地址（对应AF IPSEC VPN的加密数据流中的对端地址）
acl advanced 3100 #创建ACL 3100规则
rule 0 permit ip source 172.20.4.0 0.0.0.255 destination 192.168.30.0 0.0.0.255
#允许源IP 172.20.4.0/24目的192.168.30.0/24的流量通过
注意事项：
这里写的是H3C出站到AF的网段,无需写入站网段
H3C的ACL规则使用的是反掩码
6、配置IPSEC VPN阶段二算法（对应AF IPSEC VPN的加密数据流，阶段二安全提议）
ipsec transform-set transform-sangfor #创建IPSEC transform-set 名称为：transform-sangfor
esp encryption-algorithm 3des-cbc #加密算法使用 3DES
esp authentication-algorithm md5 #认证算法使用 MD5
pfs dh-group2 #完美向前保密使用 group2
7、对前面的配置进行引用到ipsec policy中
ipsec policy policy_sangfor 1 isakmp #创建IPSEC policy 名称为：policy_sangfor，序号为1
transform-set transform-sangfor #引用前面配置的transform-set transform-sangfor
security acl 3100 aggregation #引用前面配置的acl 3100，使用聚合模式
local-address 172.20.0.37 #IPSEC VPN隧道的本端IP（为什么是内网IP看后面的注意事项）
remote-address 180.141.78.200 #IPSEC VPN隧道的对端IP
ikev2-profile profile_sangfor #引用前面配置的 ikev2-profile profile_sangfor
sa duration time-based 28800 #IPSEC SA超时时间（对应AF IPSEC 的IPSEC配置）
reverse-route dynamic #使用反向路由，模式为动态（详情看后面的注意事项）
注意事项说明：
①引用ACL有三种参数看下面说，经过测试使用默认的标准模式无法建立多条IPSEC隧道，导致填写多个对端的内网网段第二阶段协商不起来，所以需要聚合方式，一条隧道包含了所有ACL中的出站网段
标准方式：一条IPsec隧道保护一条数据流。ACL中的每一个规则对应的数据流分别由一条单独创建的IPsec隧道来保护。缺省采用该方式。
聚合方式：一条IPsec隧道保护ACL中定义的所有数据流。ACL中的所有规则对应的数据流只会由一条创建的IPsec隧道来保护。该方式仅用于和老版本的设备互通。
主机方式：一条IPsec隧道保护一条主机到主机的数据流。ACL中的每一个规则对应的不同主机之间的数据流分别由一条单独创建的IPsec隧道来保护。这种方式下，受保护的网段之间存在多条数据流的情况下，将会消耗更多的系统资源。
②由于H3C AF是路由模式部署在网络中，并非放在互联网出口，所以没有公网IP，只能填写内网的接口IP，如果这里不填写内网接口IP而写公网出口IP会导致协商不起来，设备不是在互联网出口记得做映射。
③使用反向路由不需要在h3c端写回包路由，使用反向路由后会在h3c的路由表产生AF端填写的内网网段，如果不使用反向路由需要手工添加静态路由，命令如下
ip route-static 192.168.30.0 255.255.255.0 Ten-GigabitEthernet 1/1/1 180.141.76.1
#192.168.30.0/24是目标网段，Ten-GigabitEthernet 1/1/1是上联出公网的接口，180.141.76.1是sangfor AF的出口公网IP的网关
8、到上联接口引用IPSEC VPN
interface Reth 1 #进入Reht1接口模式
ipsec apply policy policy_sangfor #引用IPSEC策略，名称为policy_sangfor
四、查看IPSE隧道建立情况
1、sangfor AF可以到网络->IPSEC VPN->DLAN运行状态中查看
2、H3C AF可以执行一下命令查看
disp ikev2 sa #查看IKEV2 SA相关信息
disp ipsec sa #查看IPSEC SA的相关信息
disp ipsec tunnel #查看隧道建立情况
3、通过两边互ping查看是否能正常
五、排障分析
1、到AF系统->系统故障日志->日志选项设置，勾选所有的日志选项，只看DLAN总部的日志
根据日志报错排障
2、通过告警日志发现协商出现的对端不接受我端的出入站网段，这个主要是前面配置了多个内网网段，所以建议先使用单个网段配置
楼主
发表于 2020-4-24 10:29
发表于 2020-4-14 10:38
技术专家1级 
