交换机
园区网交换机
数据中心与云计算交换机
中小网络精简型交换机
工业交换机
意图网络指挥官
无线
放装型无线接入点
墙面型无线接入点
智分无线接入点
室外无线接入点
场景化无线
无线控制器
小锐A系列
统一运维
身份管理
服务产品
运营商
政府
金融
互联网
电力能源
制造业
高教/职教
医疗卫生
交通
地产酒店文旅·连锁服务
公共安全
一、组网需求
某集团的两个子公司之间要建立点对点的IPSEC VPN隧道来实现各自内网间互相访问,其中一端使用的是NGFW防火墙,另外一端使用RG-WALL V1600S 网关设备。
各参数配置如下,两端需一致:
模式:主模式;
认证方式:预共享密钥,密钥为ruijie
IKE算法:3DES-MD5,DH2
IPSec协商交互方案:esp(3des-md5)
二、网络拓扑
三、配置要点
本案例是在两端网络都已经能正常上网的前提下配置的,所以基本的用户上网配置就不再赘述。
1、配置NGFW
a、配置IKE协商策略
b、配置IPSEC协商策略
c、配置IPSec安全策略
只需要配置本端内网网段访问对端内网网段走IPSec VPN通道,因为IPsec策略会去把对方数据包的源地址与自己IPSec策略的目的地址去匹配,只要匹配上就可以放行。配置完策略后务必勾选“启用”此策略,才会生效。
d、保存配置
2、配置V1600S
a、配置接口地址
b、配置IKE协商策略
c、配置IPSEC协商策略
d、设置高级选项(选择IPSEC协商策略为默认直接放行)
3、VPN建立失败基本排查思路:
a、第一阶段建立失败:
检查VPN的两台设备之前的连通性是否可达,两台设备互ping看是否连通,若不通,先检查网络连通性。
检查IKE协商配置:IKE策略是否一致(加密算法和认证算法)、预共享密钥是否一致、对端IP地址是否指对、协商模式是否一致;
b、若第一阶段建立成功,第二阶段建立失败:
检查IPSec协商配置:安全策略是否配置正确,是否启用--IPSEC转换集各参数是否一致--两端的感兴趣流是否对称;
c、若还是不能解决,请致电锐捷客服热线4008111000或登录官网的在线客服寻求帮助。
四、配置步骤
本案例中NGFW和V1600S使用的内、外网接口和使用的IP地址请参照上图拓扑
1、配置NGFW
a、配置IKE协商策略,两端设备协商参数必须一致
b、配置IPSEC协商策略,两端设备设置的协商参数必须一致
进入菜单---VPN配置---自动模式(IKE)---选择刚才建好的v160的网关名,点击“新建IPSEC协商”
c、配置与IPSEC安全策略
先定义相关的地址对象
配置安全策略,使NGFW内网用户访问对端V1600S内网用户的流量走IPSECVPN隧道
进入菜单---防火墙---安全策略---安全策略---新建
d、保存配置
2、配置V1600S
a、基本的接口IP地址如下:
内网接口
外网接口:
b、配置IKE协商策略,两端设备设置的协商参数必须一致
本地接口:V1600S的外网接口;
对端地址:NGFW的外网接口IP;
认证方式:预共享密钥
身份标识:此处可以不填
启动探测功能(类似wall 1600系列的是否主动发起),DH2 需要与NGFW一致
c、配置IPSEC协商策略,两端设备设置的协商参数必须一致
为之前添加的设备添加相应的隧道配置,通信策略需要包含有与NGFW相匹配的3DES+HMAC_MD5
d、设置高级选项(选择IPSEC协商策略为默认直接放行)
五、验证效果
NGFW最终的协商状态如下:
V1600S最终的协商状态如下:
从NGFW内网ping对端V1600S的内网用户主机