一、组网需求

        如下图所示，NGWF-A与NGFW-B建立ipsec vpn,让NGFW-A的内网网段192.168.1.0/24与NGFW-B的内网网段192.168.2.0/24能互相通信。

       其中NGFW-A使用ADSL上网，外网口的IP地址是动态的。NGFW-B使用静态地址上网。

各参数配置如下，两端需一致：

模式：主模式；

      认证方式：预共享密钥，密钥为ruijie

IKE算法：3DES-MD5，DH2

IPSec协商交互方案：esp(3des-md5)

 

二、网络拓扑

       

三、配置要点

       1、配置NGFW-A

          a、配置IKE协商

          b、配置IPSEC协商策略 

          c、配置地址对象

          d、配置IPSec安全策略

     只需要配置本端内网网段访问对端内网网段走IPSec VPN通道，因为IPsec策略会去把对方数据包的源地址与自己IPSec策略的目的地址去匹配，只要匹配上就可以放行。

         e、保存配置

       2、配置NGFW-B

            a、配置IKE协商策略

     对端网关IP地址选择“动态地址”类型。

            b、配置IPSEC协商策略

            c、配置IPSec安全策略

            d、保存配置

      3、VPN建立失败基本排查思路：

           a、第一阶段建立失败：

     检查VPN的两台设备之前的连通性是否可达，两台设备互ping看是否连通，若不通，先检查网络连通性。

                检查IKE协商配置：IKE策略是否一致（加密算法和认证算法）、预共享密钥是否一致、对端IP地址是否指对、协商模式是否一致；

          b、若第一阶段建立成功，第二阶段建立失败：

      检查IPSec协商配置：安全策略是否配置正确，是否启用--IPSEC转换集各参数是否一致--两端的感兴趣流是否对称；

           c、若还是不能解决，请致电锐捷客服热线4008111000或登录官网的在线客服寻求帮助。

 

注意事项：固定公网IP端NGFW设备在配置IKE策略时，“远程网关”应配置为“动态IP地址”。另一端不需要另外配置，此时必须从动态或私网IP端发起协商，此外如涉及到NAT穿越，注意在配置VPN参数时，把AH封装设置为NULL； IKE模式中，如果都是NGFW的设备，使用野蛮模式或主模式没有影响，一般都采用默认的主模式协商即可。如果与其他厂商VPN设备互联，需要注意选择协商模式。

 

四、操作步骤

       1、配置NGFW-A

            a、配置IKE协商

进入菜单---VPN---IPSec---自动模式（IKE）---新建IKE协商

  

            

b、配置IPSec协商策略

进入菜单---VPN配置---自动模式（IKE）---选择刚才建好的NGFW的网关名，点击“新建IPSEC协商”

c、配置IPSec安全策略

先创建地址节点：

       进入菜单--资源管理--地址资源--地址节点--新建

      

       名称为”b“，地址节点选择子网：”192.168.1.0/24“，点击向右箭头，将其选中，点击提交。同样的方法添加a网段。

       

      

      

           配置ipsec安全策略

进入菜单--防火墙--安全策略--新建

 

          

d、保存配置

     2、配置NGFW-B

       a、配置IKE协商参数

进入菜单---VPN---IPSec---自动模式（IKE）---新建IKE协商

  

            

            

        b、配置IPSEC协商策略

进入菜单---VPN配置---自动模式（IKE）---选择刚才建好的test10的网关名，点击“新建IPSEC协商”

                  

        c、配置IPSec安全策略

 进入菜单--防火墙--安全策略--新建

 

            

       d、保存配置

 

五、验证效果