前往小程序，Get更优阅读体验！
立即前往
文档建议反馈控制台
首页
学习
活动
专区
工具
TVP
最新优惠活动
文章/答案/技术大牛
发布
首页
学习
活动
专区
工具
TVP最新优惠活动
返回腾讯云官网
社区首页 >专栏 >F1060 IPSEC典型组网配置案例（NAT穿越）

F1060 IPSEC典型组网配置案例（NAT穿越）

作者头像
网络技术联盟站
发布于 2020-03-12 14:31:44
1.7K0
发布于 2020-03-12 14:31:44
举报
文章被收录于专栏：网络技术联盟站

组网及说明

组网说明：

本案例采用H3C HCL模拟器的F1060防火墙来模拟IPSEC NAT穿越的典型组网配置。在网络拓扑图中存在子网1和子网2.为了保障子网1和子网2相互传输数据的安全性，因此需要在FW1与FW2采用建立IPSEC V**隧道，由于FW1的出接口地址不固定且ISP为子网1的NAT设备，因此采用IKE野蛮模式。

配置步骤
1、按照网络拓扑图正确配置IP地址
2、ISP配置NAT
3、FW1与FW2的互联接口加入安全域，并放通域间策略
4、FW1与FW2建立IPSEC V**隧道，采用IKE野蛮模式
配置关键点
ISP：
代码语言：javascript
复制
sys

System View: return to User View with Ctrl+Z.

[H3C]sysname ISP

[ISP]int gi 0/0

[ISP-GigabitEthernet0/0]des

[ISP-GigabitEthernet0/0]ip address 202.1.100.1 24

[ISP-GigabitEthernet0/0]dhcp server apply ip-pool 1

[ISP-GigabitEthernet0/0]quit

[ISP]acl basic 2000

[ISP-acl-ipv4-basic-2000]rule 0 permit source any

[ISP-acl-ipv4-basic-2000]quit

[ISP]int gi 0/1

[ISP-GigabitEthernet0/1]des

[ISP-GigabitEthernet0/1]ip address 202.2.100.1 30

[ISP-GigabitEthernet0/1]nat outbound 2000

[ISP-GigabitEthernet0/1]quit

[ISP]ip route-static 192.168.1.0 255.255.255.0 202.1.100.2

[ISP]ip route-static 172.16.1.0 255.255.255.0 202.2.100.2

[ISP]dhcp enable

[ISP]dhcp server ip-pool 1

[ISP-dhcp-pool-1]network 202.1.100.0 mask 255.255.255.0

[ISP-dhcp-pool-1]gateway-list 202.1.100.1

[ISP-dhcp-pool-1]quit
FW1：
代码语言：javascript
复制
sys

System View: return to User View with Ctrl+Z.

[H3C]sysname FW1

[FW1]int gi 1/0/3

[FW1-GigabitEthernet1/0/3]ip address 192.168.1.1 24

[FW1-GigabitEthernet1/0/3]quit

[FW1]int gi 1/0/2

[FW1-GigabitEthernet1/0/2]des

[FW1-GigabitEthernet1/0/2]ip address dhcp-alloc

[FW1-GigabitEthernet1/0/2]quit

[FW1]ip route-static 0.0.0.0 0.0.0.0 202.1.100.1

[FW1]security-zone name Trust

[FW1-security-zone-Trust]import interface GigabitEthernet 1/0/3

[FW1-security-zone-Trust]quit

[FW1]security-zone name Untrust

[FW1-security-zone-Untrust]import interface GigabitEthernet 1/0/2

[FW1-security-zone-Untrust]quit

[FW1]acl basic 2001

[FW1-acl-ipv4-basic-2001]rule 0 permit source any

[FW1-acl-ipv4-basic-2001]quit

[FW1]

[FW1]zone-pair security source trust destination untrust

[FW1-zone-pair-security-Trust-Untrust]packet-filter 2001

[FW1-zone-pair-security-Trust-Untrust]quit

[FW1]

[FW1]zone-pair security source untrust destination trust

[FW1-zone-pair-security-Untrust-Trust]packet-filter 2001

[FW1-zone-pair-security-Untrust-Trust]quit

[FW1]

[FW1]zone-pair security source trust destination local

[FW1-zone-pair-security-Trust-Local]packet-filter 2001

[FW1-zone-pair-security-Trust-Local]quit

[FW1]

[FW1]zone-pair security source local destination trust

[FW1-zone-pair-security-Local-Trust]packet-filter 2001

[FW1-zone-pair-security-Local-Trust]quit

[FW1]

[FW1]zone-pair security source untrust destination local

[FW1-zone-pair-security-Untrust-Local]packet-filter 2001

[FW1-zone-pair-security-Untrust-Local]quit

[FW1]

[FW1]zone-pair security source local destination untrust

[FW1-zone-pair-security-Local-Untrust]packet-filter 2001

[FW1-zone-pair-security-Local-Untrust]quit
FW1 IPSEC+IKE野蛮模式关键配置点：
代码语言：javascript
复制
[FW1]acl advanced 3000

[FW1-acl-ipv4-adv-3000]rule 0 permit ip source 192.168.1.0 0.0.0.255 destination 172.16.1.0 0.0.0.255

[FW1-acl-ipv4-adv-3000]quit

[FW1]ike identity fqdn fw1

[FW1]ike keychain james

[FW1-ike-keychain-james]pre-shared-key address 202.2.100.2 255.255.255.252 key simple james

[FW1-ike-keychain-james]quit

[FW1]ike proposal 1

[FW1-ike-proposal-1]quit

[FW1]ike profile james

[FW1-ike-profile-james]keychain james

[FW1-ike-profile-james]proposal 1

[FW1-ike-profile-james]match remote identity address 202.2.100.2 255.255.255.252

[FW1-ike-profile-james]exchange-mode aggressive

[FW1-ike-profile-james]quit

[FW1]ipsec transform-set james

[FW1-ipsec-transform-set-james]protocol esp

[FW1-ipsec-transform-set-james]encapsulation-mode tunnel

[FW1-ipsec-transform-set-james]esp authentication-algorithm md5

[FW1-ipsec-transform-set-james]esp encryption-algorithm des-cbc

[FW1-ipsec-transform-set-james]quit

[FW1]ipsec policy james 1 isakmp

[FW1-ipsec-policy-isakmp-james-1]security acl 3000

[FW1-ipsec-policy-isakmp-james-1]transform-set james

[FW1-ipsec-policy-isakmp-james-1]ike-profile james

[FW1-ipsec-policy-isakmp-james-1]remote-address 202.2.100.2

[FW1-ipsec-policy-isakmp-james-1]quit

[FW1]int gi 1/0/2

[FW1-GigabitEthernet1/0/2]ipsec apply policy james

[FW1-GigabitEthernet1/0/2]quit
FW2：
代码语言：javascript
复制
sys

System View: return to User View with Ctrl+Z.

[H3C]sysname FW2

[FW2]int gi 1/0/3

[FW2-GigabitEthernet1/0/3]ip address 172.16.1.1 24

[FW2-GigabitEthernet1/0/3]quit

[FW2]int gi 1/0/2

[FW2-GigabitEthernet1/0/2]des

[FW2-GigabitEthernet1/0/2]ip address 202.2.100.2 30

[FW2-GigabitEthernet1/0/2]quit

[FW2]ip route-static 0.0.0.0 0.0.0.0 202.2.100.1

[FW2]security-zone name Untrust

[FW2-security-zone-Untrust]import interface GigabitEthernet 1/0/2

[FW2-security-zone-Untrust]quit

[FW2]security-zone name Trust

[FW2-security-zone-Trust]import interface GigabitEthernet 1/0/3

[FW2-security-zone-Trust]quit

[FW2]zone-pair security source trust destination untrust

[FW2-zone-pair-security-Trust-Untrust]packet-filter 2001

[FW2-zone-pair-security-Trust-Untrust]quit

[FW2]

[FW2]zone-pair security source untrust destination trust

[FW2-zone-pair-security-Untrust-Trust]packet-filter 2001

[FW2-zone-pair-security-Untrust-Trust]quit

[FW2]

[FW2]zone-pair security source trust destination local

[FW2-zone-pair-security-Trust-Local]packet-filter 2001

[FW2-zone-pair-security-Trust-Local]quit

[FW2]

[FW2]zone-pair security source local destination trust

[FW2-zone-pair-security-Local-Trust]packet-filter 2001

[FW2-zone-pair-security-Local-Trust]quit

[FW2]

[FW2]zone-pair security source untrust destination local

[FW2-zone-pair-security-Untrust-Local]packet-filter 2001

[FW2-zone-pair-security-Untrust-Local]quit

[FW2]

[FW2]zone-pair security source local destination untrust

[FW2-zone-pair-security-Local-Untrust]packet-filter 2001

[FW2-zone-pair-security-Local-Untrust]quit
FW2 IPSEC+IKE野蛮模式关键配置点：
代码语言：javascript
复制
[FW2]acl advanced 3000

[FW2-acl-ipv4-adv-3000]rule 0 permit ip source 172.16.1.0 0.0.0.255 destination 192.168.1.0 0.0.0.255

[FW2-acl-ipv4-adv-3000]quit

[FW2]ike identity fqdn fw2

[FW2]ike proposal 1

[FW2-ike-proposal-1]quit

[FW2]ike keychain james

[FW2-ike-keychain-james]pre-shared-key hostname fw1 key simple james

[FW2-ike-keychain-james]quit

[FW2]ike profile james

[FW2-ike-profile-james]keychain james

[FW2-ike-profile-james]proposal 1

[FW2-ike-profile-james]match remote identity fqdn fw1

[FW2-ike-profile-james]exchange-mode aggressive

[FW2-ike-profile-james]quit

[FW2]ipsec transform-set james

[FW2-ipsec-transform-set-james]protocol esp

[FW2-ipsec-transform-set-james]encapsulation-mode tunnel

[FW2-ipsec-transform-set-james]esp authentication-algorithm md5

[FW2-ipsec-transform-set-james]esp encryption-algorithm des-cbc

[FW2-ipsec-transform-set-james]quit

[FW2]ipsec policy-template james 1

[FW2-ipsec-policy-template-james-1]security acl 3000

[FW2-ipsec-policy-template-james-1]transform-set james

[FW2-ipsec-policy-template-james-1]ike-profile james

[FW2-ipsec-policy-template-james-1]quit

[FW2]ipsec policy james 1 isakmp template james

[FW2]int gi 1/0/2

[FW2-GigabitEthernet1/0/2]ipsec apply policy james

[FW2-GigabitEthernet1/0/2]quit
测试：

物理机都填写IP地址：

PC之间可以相互PING通：
查看FW1的IPSEC显示信息：
查看FW1出接口配置及获取到的IP地址：
查看ISP DHCP分配出去的地址：

查看FW2的IPSEC显示信息：

至此，F1060 IPSEC NAT穿越典型组网配置案例已完成！

本文参与 腾讯云自媒体同步曝光计划，分享自微信公众号。
原始发表：2020-03-08，如有侵权请联系 cloudcommunity@tencent.com 删除
tcp/ip
nat
NAT 网关

本文分享自 网络技术联盟站 微信公众号，前往查看

如有侵权，请联系 cloudcommunity@tencent.com 删除。

本文参与 腾讯云自媒体同步曝光计划  ，欢迎热爱写作的你一起参与！

tcp/ip
nat
NAT 网关
评论
登录后参与评论
0 条评论
热度
最新
登录 后参与评论
推荐阅读
LV.
文章
0
获赞
0
目录
  • 组网及说明
    • 组网说明：
      • 配置步骤
        • 配置关键点
          • 测试：
          相关产品与服务
          NAT 网关
          NAT 网关（NAT Gateway）提供 IP 地址转换服务，为腾讯云内资源提供高性能的 Internet 访问服务。通过 NAT 网关，在腾讯云上的资源可以更安全的访问 Internet，保护私有网络信息不直接暴露公网；您也可以通过 NAT 网关实现海量的公网访问，最大支持1000万以上的并发连接数；NAT 网关还支持 IP 级流量管控，可实时查看流量数据，帮助您快速定位异常流量，排查网络故障。
          产品介绍产品文档
          精选特惠 用云无忧
          领券

          腾讯云开发者

          扫码关注腾讯云开发者

          扫码关注腾讯云开发者

          领取腾讯云代金券

          热门产品

          热门推荐

          更多推荐

          Copyright © 2013 - 2024 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有 

          深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 深公网安备号 44030502008569

          腾讯云计算（北京）有限责任公司 京ICP证150476号 |  京ICP备11018762号 | 京公网安备号11010802020287

          问题归档专栏文章快讯文章归档关键词归档开发者手册归档开发者手册 Section 归档

          Copyright © 2013 - 2024 Tencent Cloud.

          All Rights Reserved. 腾讯云 版权所有

          登录 后参与评论