交换机
园区网交换机
数据中心与云计算交换机
行业精选交换系列
无线
放装型无线接入点
墙面型无线接入点
智分无线接入点
室外无线接入点
场景化无线
无线控制器
行业精选无线系列
无线管理与应用
服务产品
一、组网需求
如下图所示,NGWF-A与NGFW-B建立ipsec vpn,让NGFW-A的内网网段192.168.1.0/24与NGFW-B的内网网段192.168.2.0/24能互相通信。
其中NGFW-A使用ADSL上网,外网口的IP地址是动态的。NGFW-B使用静态地址上网。
各参数配置如下,两端需一致:
模式:主模式;
认证方式:预共享密钥,密钥为ruijie
IKE算法:3DES-MD5,DH2
IPSec协商交互方案:esp(3des-md5)
二、网络拓扑
三、配置要点
1、配置NGFW-A
a、配置IKE协商
b、配置IPSEC协商策略
c、配置地址对象
d、配置IPSec安全策略
只需要配置本端内网网段访问对端内网网段走IPSec VPN通道,因为IPsec策略会去把对方数据包的源地址与自己IPSec策略的目的地址去匹配,只要匹配上就可以放行。
e、保存配置
2、配置NGFW-B
a、配置IKE协商策略
对端网关IP地址选择“动态地址”类型。
b、配置IPSEC协商策略
c、配置IPSec安全策略
d、保存配置
3、VPN建立失败基本排查思路:
a、第一阶段建立失败:
检查VPN的两台设备之前的连通性是否可达,两台设备互ping看是否连通,若不通,先检查网络连通性。
检查IKE协商配置:IKE策略是否一致(加密算法和认证算法)、预共享密钥是否一致、对端IP地址是否指对、协商模式是否一致;
b、若第一阶段建立成功,第二阶段建立失败:
检查IPSec协商配置:安全策略是否配置正确,是否启用--IPSEC转换集各参数是否一致--两端的感兴趣流是否对称;
c、若还是不能解决,请致电锐捷客服热线4008111000或登录官网的在线客服寻求帮助。
注意事项:固定公网IP端NGFW设备在配置IKE策略时,“远程网关”应配置为“动态IP地址”。另一端不需要另外配置,此时必须从动态或私网IP端发起协商,此外如涉及到NAT穿越,注意在配置VPN参数时,把AH封装设置为NULL; IKE模式中,如果都是NGFW的设备,使用野蛮模式或主模式没有影响,一般都采用默认的主模式协商即可。如果与其他厂商VPN设备互联,需要注意选择协商模式。
四、操作步骤
1、配置NGFW-A
a、配置IKE协商
进入菜单---VPN---IPSec---自动模式(IKE)---新建IKE协商
b、配置IPSec协商策略
进入菜单---VPN配置---自动模式(IKE)---选择刚才建好的NGFW的网关名,点击“新建IPSEC协商”
c、配置IPSec安全策略
先创建地址节点:
进入菜单--资源管理--地址资源--地址节点--新建
名称为”b“,地址节点选择子网:”192.168.1.0/24“,点击向右箭头,将其选中,点击提交。同样的方法添加a网段。
配置ipsec安全策略
进入菜单--防火墙--安全策略--新建
d、保存配置
2、配置NGFW-B
a、配置IKE协商参数
进入菜单---VPN---IPSec---自动模式(IKE)---新建IKE协商
b、配置IPSEC协商策略
进入菜单---VPN配置---自动模式(IKE)---选择刚才建好的test10的网关名,点击“新建IPSEC协商”
c、配置IPSec安全策略
进入菜单--防火墙--安全策略--新建
d、保存配置
五、验证效果