深信服与第三方VPN对接过程分享
  

刘庆豪 15135

{{ttag.title}}
本帖最后由 刘庆豪 于 2015-5-6 15:40 编辑

  前几天,有一个第三方vpn对接的项目测试,某公司AC和第三方TP-LINK路由器、华为防火墙vpn对接,与TP-LINK路由器vpn对接成功,但是与华为防火墙对接出现问题,我简单说说这个项目中我获得的一些心得。
  学过某公司vpn的工程师可能知道,某公司vpn产品与第三方对接,第一阶段、第二阶段、安全选项这些参数中,设备中每个参数必须和第三方的参数完全一致才能对接成功。这个项目中因为没有事先询问客户的vpn参数,导致和华为防火墙对接失败,原因是AC内置VPN的版本太低,导致一些参数没法和华为防火墙对接。接下来我给大家说一下第三方vpn对接需要确认的参数。
  需要了解第三方的VPN参数:
  第一阶段参数:
  1、对端IP:X.X.X.X
  2、预共享密钥:password
  3、ISAKMP存活时间:86400(某公司内置的vpn版本太低,最高只能达到26000,这是首先要和客户确认参数,
           确认设备支不支持高于26000参数
)
  4、D-H群:DH1
  5、ISAKMP算法
  第一阶段中还有个主动模式和野蛮模式选择,主动模式咱们不需要配置太多,也没有什么需要注意的地方。野蛮模式有一个我方身份ID和对端身份ID,某公司低版本选的话只有用户字符串和域字符串,没有IPV4(野蛮模式中,第三方的身份ID可能是以IP地址作为身份ID,某公司低版本没有IPV4,这个需要和客户确认,以便确认设备支不支持)。如果闲麻烦客户不好,那第三方对接的时候最好确认某公司内置VPN版本能够支持这些参数。
  第二阶段参数:
  1、入站策略:源IP地址段:
     X.X.X.X/掩码(入站策略是指对端哪些网段需要通过VPN来访问本端)
  2、出站策略:源IP地址段:
    X.X.X.X/掩码(出站策略是指本端哪些网段需要通过VPN去访问对端)
     SA生存时间:3600
  安全选项参数:
  协议:AH
  认证算法:MD5
  加密算法:3DES
这个项目中,因为没有确认好第三方vpn的参数,导致拿过去的设备不支持这些参数,导致此次测试功亏一篑(当然还有后续测试),为了大家不要再犯类似的错误,写的整个第三方对接过程,文中如有什么不对的地方,请大家多多指正,谢谢!

打赏鼓励作者,期待更多好文!

打赏
1人已打赏

SteveNiaobs 发表于 2015-5-6 16:12
  
太帅了!满满的都是楼主的经验之谈,非常感谢楼主的无私分享!
做第三方对接前期确认非常重要,最好是能拿到第三方的配置,这样出问题了也好对照排查。
to楼主: IPSEC5.0版本开始支持IPV4做身份ID了
liangjiahang 发表于 2016-8-31 17:27
  
谢谢分享!
张成才 发表于 2016-11-22 09:33
  
问一下 最后对接成功了吗?
发表新帖
热门标签
全部标签>
标准化排查
新版本体验
【 社区to talk】
每日一问
高手请过招
功能体验
纪元平台
技术笔记
产品连连看
信服课堂视频
每日一记
安装部署配置
社区新周刊
sangfor周刊
平台使用
S豆商城资讯
技术晨报
技术盲盒
GIF动图学习
畅聊IT
答题自测
专家问答
技术圆桌
在线直播
MVP
网络基础知识
升级
安全攻防
上网策略
测试报告
日志审计
问题分析处理
流量管理
运维工具
用户认证
原创分享
解决方案
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
排障笔记本
产品预警公告
玩转零信任
技术争霸赛
「智能机器人」
追光者计划
2023技术争霸赛专题
卧龙计划
华北区拉练
天逸直播
以战代练
秒懂零信任
山东区技术晨报
文档捉虫
齐鲁TV
华北区交付直播
每周精选
2024年技术争霸赛
北京区每日一练
场景专题
故障笔记
排障那些事
西北区每日一问
升级&主动服务
高频问题集锦
POC测试案例
全能先锋系列
安全效果
云化安全能力
专家说
热门活动
产品动态
行业实践
产品解析
关键解决方案

本版达人

adds

本周建议达人

无极剑圣

本周分享达人

新手25642...

本周提问达人