【WALL1600下一代防火墙】下一代防火墙预共享密钥方式NGFW(路由)+V1600S(路由)

发布时间: 2013-09-08 点击量:555 打印 字体:

一、组网需求

某集团的两个子公司之间要建立点对点的IPSEC VPN隧道来实现各自内网间互相访问,其中一端使用的是NGFW防火墙,另外一端使用RG-WALL V1600S 网关设备。

各参数配置如下,两端需一致:

模式:主模式;

      认证方式:预共享密钥,密钥为ruijie

IKE算法:3DES-MD5,DH2

IPSec协商交互方案:esp(3des-md5)

 

二、网络拓扑

 

三、配置要点

本案例是在两端网络都已经能正常上网的前提下配置的,所以基本的用户上网配置就不再赘述。

       1、配置NGFW

          a、配置IKE协商策略

          b、配置IPSEC协商策略

          c、配置IPSec安全策略

               只需要配置本端内网网段访问对端内网网段走IPSec VPN通道,因为IPsec策略会去把对方数据包的源地址与自己IPSec策略的目的地址去匹配,只要匹配上就可以放行。配置完策略后务必勾选“启用”此策略,才会生效。

          d、保存配置

       2、配置V1600S

          a、配置接口地址

          b、配置IKE协商策略

          c、配置IPSEC协商策略

          d、设置高级选项(选择IPSEC协商策略为默认直接放行)

       3、VPN建立失败基本排查思路:

           a、第一阶段建立失败:

     检查VPN的两台设备之前的连通性是否可达,两台设备互ping看是否连通,若不通,先检查网络连通性。

                检查IKE协商配置:IKE策略是否一致(加密算法和认证算法)、预共享密钥是否一致、对端IP地址是否指对、协商模式是否一致;

           b、若第一阶段建立成功,第二阶段建立失败:

      检查IPSec协商配置:安全策略是否配置正确,是否启用--IPSEC转换集各参数是否一致--两端的感兴趣流是否对称;

           c、若还是不能解决,请致电锐捷客服热线4008111000或登录官网的在线客服寻求帮助。

 

 

四、配置步骤

本案例中NGFW和V1600S使用的内、外网接口和使用的IP地址请参照上图拓扑

       1、配置NGFW

a、配置IKE协商策略,两端设备协商参数必须一致

b、配置IPSEC协商策略,两端设备设置的协商参数必须一致

进入菜单---VPN配置---自动模式(IKE)---选择刚才建好的v160的网关名,点击“新建IPSEC协商”

c、配置与IPSEC安全策略

先定义相关的地址对象

配置安全策略,使NGFW内网用户访问对端V1600S内网用户的流量走IPSECVPN隧道

进入菜单---防火墙---安全策略---安全策略---新建

 

      d、保存配置

       2、配置V1600S

a、基本的接口IP地址如下:

内网接口

 

外网接口:

b、配置IKE协商策略,两端设备设置的协商参数必须一致

本地接口:V1600S的外网接口;

            对端地址:NGFW的外网接口IP;

认证方式:预共享密钥 

身份标识:此处可以不填

启动探测功能(类似wall 1600系列的是否主动发起),DH2 需要与NGFW一致

c、配置IPSEC协商策略,两端设备设置的协商参数必须一致

为之前添加的设备添加相应的隧道配置,通信策略需要包含有与NGFW相匹配的3DES+HMAC_MD5

       

d、设置高级选项(选择IPSEC协商策略为默认直接放行)

 

 

五、验证效果

NGFW最终的协商状态如下:

V1600S最终的协商状态如下:

从NGFW内网ping对端V1600S的内网用户主机

 

00 分享 纠错
相关条目