【WALL1600下一代防火墙】下一代防火墙预共享密钥方式NGFW+路由器（适用于EG/RSR）

一、组网需求

       如下图所示，NGWF与EG或RSR路由器建立ipsec vpn,让NGFW的内网网段192.168.1.0/24与路由器的内网网段192.168.2.0/24能互相通信。

各参数配置如下，两端需一致：

模式：主模式；

      认证方式：预共享密钥，密钥为ruijie

IKE算法：3DES-MD5，DH2

IPSec协商交互方案：esp(3des-md5)

完美向前：group1

二、网络拓扑

三、配置要点

       1、配置NGFW

          a、基本上网配置（详细请参见”路由模式上网配置章节“）

          b、配置IKE协商策略

          c、配置IPSEC协商策略 

          d、配置地址对象

          e、配置IPSec安全策略

     只需要配置本端内网网段访问对端内网网段走IPSec VPN通道，因为IPsec策略会去把对方数据包的源地址与自己IPSec策略的目的地址去匹配，只要匹配上就可以放行。安全策略配置完后务必在全局下勾选启用，建议将ipsec的安全策略移动至第一条，避免优先匹配了其他策略。

f、保存配置

       2、配置路由器

            以下只给出相关配置命令。

            a、配置接口地址、感兴趣流ACL（即需要走VPN的数据流量）、路由

            b、配置IKE协商策略

            c、配置IPSEC协商策略 

            d、在接口应用加密映射

        3、VPN建立失败基本排查思路：

           a、第一阶段建立失败：

     检查VPN的两台设备之前的连通性是否可达，两台设备互ping看是否连通，若不通，先检查网络连通性。

                检查IKE协商配置：IKE策略是否一致（加密算法和认证算法）、预共享密钥是否一致、对端IP地址是否指对、协商模式是否一致；

          b、若第一阶段建立成功，第二阶段建立失败：

      检查IPSec协商配置：安全策略是否配置正确，是否启用--IPSEC转换集各参数是否一致--两端的感兴趣流是否对称；

           c、若还是不能解决，请致电锐捷客服热线4008111000或登录官网的在线客服寻求帮助。

四、操作步骤

      1、配置NGFW-A

          a、基本上网配置（详细请参见”路由模式上网配置章节“）

          b、配置IKE协商策略

            进入菜单---VPN---IPSec---自动模式（IKE）---新建IKE协商

              配置远程网关名：EG

            对端网关：选择静态IP地址

            IP地址：填写远程网关IP地址192.168.33.144

            模式：选择主模式（两端配置需一致）

            认证方式：预共享密钥（两端配置需一致）

            预共享密钥：ruijie（两端配置需一致）

            路由器对应的命令如下：

            crypto isakmp policy 1

            encryption 3des

            authentication pre-share

            hash md5

            group 2

            crypto isakmp key 0 ruijie address 192.168.33.51   （192.168.33.51为NGFW的公网IP地址）

        c、配置IPSEC协商策略

        进入菜单---VPN配置---自动模式（IKE）---选择刚才建好的NGFW-B的网关名，点击“新建IPSEC协商”

        IPSEC协商的ESP封装、AH封装、完美向前保密等参数两边设置的一致即可。

        若AH封装选择为NULL,对应的路由器的命令为：crypto ipsec transform-set myset   esp-3des esp-md5-hmac  （即ah-md5-hmac不用配置）。

        在NAT穿越环境下，AH选择为NULL。

        若完美向前保密选择为NULL，对应的路由器的命令“set pfs group1”则无需配置。

         d、配置地址对象

            进入菜单--资源管理--地址资源--地址节点--新建

             名称为”上网网段“，地址节点选择子网：”192.168.1.0/24“，点击向右箭头，将其选中，点击提交。同样的方法添加对端网段。

        e、配置安全策略

        进入菜单---防火墙---安全策略---安全策略---新建

         注意：安全策略配置完后务必在全局下勾选启用，建议将ipsec的安全策略移动至第一条，避免优先匹配了其他策略。

       f、保存配置

       2、配置EG

            a、配置接口地址、感兴趣流ACL（即需要走VPN的数据流量）和匹配NAT的ACL、路由

                配置内网口、外网口地址：

                interface GigabitEthernet 0/2

                ip nat inside

                ip address 192.168.2.254 255.255.255.0

                interface GigabitEthernet 0/4

                ip nat outside

                ip address 192.168.33.144 255.255.255.0

                配置感兴趣流ACL，即源地址是192.168.2.0/24，目的地址是192.168.1.0/24：

                ip access-list extended 120

                10 permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255

                配置用于匹配NAT的ACL:

                ip access-list extended 110

                1 deny ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255    ----把需走VPN的流量从匹配NAT ACL里去除，避免VPN的流量也通过NAT转换，导致的不通。

                2 permit ip any any

                配置路由：

                ip route 0.0.0.0 0.0.0.0 GigabitEthernet 0/4 192.168.33.1  ---配置默认路由

            b、配置IKE协商策略

                 crypto isakmp policy 1

                 encryption 3des                    ---认证采用3des

                 authentication pre-share      ---采用预共享密钥

                 hash md5                             ---hash算法采用md5

                 group 2                                ---DH算法2

                   crypto isakmp key 0 ruijie address 192.168.33.51      ---预共享密钥ruijie,对端设备NGFW外网口地址192.168.33.51  

            c、配置IPSEC协商策略

               crypto ipsec transform-set myset  ah-md5-hmac esp-3des esp-md5-hmac   ---第二阶段ipsec 协商参数，ipsec 变换集名字为myset

               crypto map mymap 1 ipsec-isakmp              ---配置加密映射，名字为mymap    

               set peer 192.168.33.51                    ---对端设备NGFW外网口地址192.168.33.51  

               set transform-set myset                   ----应用之前定义的变换集myset

                match address 120                         ---匹配感兴趣流量

                set pfs group1                                ---完美向前选择 group1

            d、在外网口口应用加密映射

                  interface GigabitEthernet 0/4

                  crypto map mymap                  ---务必在接口应用加密映射

e、保存配置

     ruijie#write

五、验证效果

        进入菜单--VPN--IPSec--监控器，可查VPN建立的两个阶段是否成功。

       如下图所示：VPN的第一阶段和第二阶段均协商成功。

       在EG上查看VPN是否协商成功

        sh crypto isakmp sa   ---查看第一阶段是否协商成功，QM_IDLE即协商成功的标志 。

       show crypto ipsec sa  ---查看第二阶段是否协商成功

       MC-RJ-1000S#show crypto ipsec sa

       Interface: GigabitEthernet 0/4

         Crypto map tag:mymap, local addr 192.168.33.144

         media mtu 1500

         ==================================

         item type:static, seqno:1, id=32

         local  ident (addr/mask/prot/port): (192.168.2.0/0.0.0.255/0/0))

         remote  ident (addr/mask/prot/port): (192.168.1.0/0.0.0.255/0/0)

         PERMIT

         #pkts encaps: 96, #pkts encrypt: 96, #pkts digest 192

         #pkts decaps: 96, #pkts decrypt: 96, #pkts verify 192

         #send errors 0, #recv errors 0

         Inbound esp sas:

              spi:0xa0802bb (168297147)

               transform: esp-3des esp-md5-hmac

               in use settings={Tunnel,}

               crypto map mymap 1

               sa timing: remaining key lifetime (sec): (3238)

               IV size: 8 bytes

               Replay detection support:Y

         Inbound ah sas:

              spi:0x26bfb87 (40631175)

               transform: ah-null ah-md5-hmac

               in use settings={Tunnel,}

               crypto map mymap 1

               sa timing: remaining key lifetime (sec): (3238)

               IV size: 0 bytes

               Replay detection support:Y

         Outbound esp sas:

              spi:0x6112535b (1628590939)

               transform: esp-3des esp-md5-hmac

               in use settings={Tunnel,}

               crypto map mymap 1

               sa timing: remaining key lifetime (sec): (3238)

               IV size: 8 bytes

               Replay detection support:Y

         NGFW内网PC1的IP地址设置为192.168.1.1，可ping通PC2192168.2.1，且能远程桌面到PC2:

          NGFW-B内网的PC2IP地址为192.168.2.1，能ping通PC1。