网络拓扑如下:

网络环境说明:

 

爱快路由:

         爱快路由版本3.4.4

         Wan地址:1.1.8.1

         Lan地址:192.168.10.0/24

 

华为防火墙:

         Wan地址:1.1.15.1

         Lan地址:172.168.20.0/24

 

网络需求:

         爱快路由和华为防火墙对接ipsec vpn对接成功并且能互访。

 

         

 

华为防火墙具体配置如下:

型号:USG6625E

第一步:

完成接口配置。选择“网络--接口”

 

配置华为防火墙的出接口。

 

 

第二步:

配置安全区域。

 

配置安全策略,允许私网指定网段进行报文交互。

选择“策略 > 安全策略 > 安全策略”。

单击“新建”,按如下参数配置从Trust到Untrust的域间策略。源地址、目的地址填写两端内网ip地址段192.168.20.0和192.168.10.0网段。

 

从Untrust到Local和从Local到Untrust的域间策略,源地址、目的地址填写两端外网ip地址段192.168.20.0和192.168.10.0网段。

 

安全策略中添加安全区域放行防火墙以及爱快路由的网段。

 

 

Untrust:非信任区域

Trust:信任区域

 

 

第三步:

配置到达对端的路由。假设华为防火墙通往爱快路由的下一跳设备的IP地址为1.1.8.1。

选择“网络 > 路由 > 静态路由”

目的地址:填写去访问对端设备的内网IP地址或缺省路由。

下一条网关:华为防火墙通往爱快路由的下一跳设备的IP地址。

 

第四步:

按照下图中配置ipsec规则,选用点对点模式

 

 

注意事项:一般情况下,其他品牌路由的IPsec group 1对应的为modp768,group 2对应modp1024,group5对应modp1536 ,

group14对应modp2048,group15对应modp3072,group16对应modp4096,group17对应modp6144,group18对应modp8192。

 爱快ipsec vpn不支持DPD和PFS协议,如对端有这两种协议一定要关闭这两个协议才能完成对接。

 

 

爱快路由器具体配置如下:

型号:全系列路由3.4.4版本及以上

爱快ipsec vpn配置教程

https://www.ikuai8.com/index.php?option=com_content&view=article&id=139&Itemid=242

 

 

IpsecVPN建立成功:

 

 

第五步:

在终端cmd中ping/tracert对端内网ip地址,验证是否能够互访和追踪。不要在路由上直接ping/tracert对端内网ip地址。

华为命令行配置:

 

操作步骤

配置FW_A的基础配置。包括配置接口IP地址、接口加入安全区域、域间安全策略和静态路由。

配置接口IP地址。

配置接口GigabitEthernet 1/0/3的IP地址。

 

<FW_A> system-view

[FW_A] interface GigabitEthernet 1/0/3

[FW_A-GigabitEthernet1/0/3] ip address 192.168.10.1 24

[FW_A-GigabitEthernet1/0/3] quit

配置接口GigabitEthernet 1/0/1的IP地址。

 

[FW_A] interface GigabitEthernet 1/0/1

[FW_A-GigabitEthernet1/0/1] ip address 1.1.8.1 24

[FW_A-GigabitEthernet1/0/1] quit

配置接口加入相应安全区域。

将接口GigabitEthernet 1/0/3加入Trust区域。

 

[FW_A] firewall zone trust

[FW_A-zone-trust] add interface GigabitEthernet 1/0/3

[FW_A-zone-trust] quit

将接口GigabitEthernet 1/0/1加入Untrust区域。

 

[FW_A] firewall zone untrust

[FW_A-zone-untrust] add interface GigabitEthernet 1/0/1

[FW_A-zone-untrust] quit

配置域间安全策略。

配置Trust域与Untrust域之间的域间安全策略。

 

[FW_A] security-policy

[FW_A-policy-security] rule name policy1

[FW_A-policy-security-rule-policy1] source-zone trust

[FW_A-policy-security-rule-policy1] destination-zone untrust

[FW_A-policy-security-rule-policy1] source-address 192.168.10.0 24

[FW_A-policy-security-rule-policy1] destination-address 172.168.20.0 24

[FW_A-policy-security-rule-policy1] action permit

[FW_A-policy-security-rule-policy1] quit

[FW_A-policy-security] rule name policy2

[FW_A-policy-security-rule-policy2] source-zone untrust

[FW_A-policy-security-rule-policy2] destination-zone trust

[FW_A-policy-security-rule-policy2] source-address 172.168.20.0 24

[FW_A-policy-security-rule-policy2] destination-address 192.168.10.0 24

[FW_A-policy-security-rule-policy2] action permit

[FW_A-policy-security-rule-policy2] quit

 

配置Local域与Untrust域之间的域间安全策略。

 

配置Local域和Untrust域的域间安全策略的目的为允许IPSec隧道两端设备通信,使其能够进行隧道协商。

[FW_A-policy-security] rule name policy3

[FW_A-policy-security-rule-policy3] source-zone local

[FW_A-policy-security-rule-policy3] destination-zone untrust

[FW_A-policy-security-rule-policy3] source-address 1.1.8.1 32

[FW_A-policy-security-rule-policy3] destination-address 1.1.15.1 32

[FW_A-policy-security-rule-policy3] action permit

[FW_A-policy-security-rule-policy3] quit

[FW_A-policy-security] rule name policy4

[FW_A-policy-security-rule-policy4] source-zone untrust

[FW_A-policy-security-rule-policy4] destination-zone local

[FW_A-policy-security-rule-policy4] source-address 1.1.15.1 32

[FW_A-policy-security-rule-policy4] destination-address 1.1.8.1 32

[FW_A-policy-security-rule-policy4] action permit

[FW_A-policy-security-rule-policy4] quit

[FW_A-policy-security] quit

配置到达目的网络B的静态路由,此处假设到达网络B的下一跳地址为1.1.8.1。

[FW_A] ip route-static 192.168.10.0 255.255.255.0 1.1.8.1

 

 

对接注意事项:


1.华为防火墙安全规则需放行路由器lan口网段以及需互访的对端子网网段,untrust中需要放行。

2.路由器中本地子网填写0.0.0.0/0即可

3.两端Ipsec配置需按照图中严格配置,否则可能导致VPN不通,如需放行部分网段,需配合ACL规则使用。

4.爱快路由最好升级至最新版进行VPN搭建

5.爱快ipsec vpn不支持DPD和PFS协议,如对端有这两种协议一定要关闭这两个协议才能完成对接。

6.确认ipsec是否建立成功请在内网终端中ping以及追踪,不要再路由上进行。路由本身数据并不会直接走IPsecVPN隧道

 

 

 
以上信息是否解决您的问题?