交换机
园区网交换机
数据中心与云计算交换机
中小网络精简型交换机
工业交换机
意图网络指挥官
无线
放装型无线接入点
墙面型无线接入点
智分无线接入点
室外无线接入点
场景化无线
无线控制器
小锐A系列
统一运维
身份管理
服务产品
运营商
政府
金融
互联网
电力能源
制造业
高教/职教
医疗卫生
交通
地产酒店文旅·连锁服务
公共安全
一、网络需求
两个局域网,一端V600S以桥模式串接在网络中,另外一端出口是wall 160m,两端要建立IPSEC来实现互访。
二、网络拓扑
局域网A:192.168.10.0/24 局域网B:192.168.2.0/24;
局域网A------V1600S-----RSR路由器-------internet------wall 160m--------局域网B;
三、配置要点
以下配置是在确定当前两端局域网的用户都已经能正常上网的前提下配置的
1.RSR路由的上网配置
2.V1600S_1的配置
1)配置访问规则,允许内网用户访问外网的数据通过桥组
(注:初始化的V1600S默认产生以下两条访问规则,序号为1的安全规则是对任何数据都是放通,不进行任何的修改,序号为2的安全规则是对任何数据都进行阻断;访问规则的处理顺序是由上往下,从第一访问规则开始匹配,如果新增加了访问规则,记得根据实际的网络需求调整好规则之间的顺序)
2)配置IPSEC:
预共享密钥-----ruijie
身边标识:使用“IP地址"方式 本地标识----IP地址:出口RSR路由器的外网接口IP 对端标识------IP:对端WALL 160M的外网接口IP
高级选项:“自动探测”不勾选;
对端子网-------WALL 160M的内网用户网段
隧道的通信策略:3DES+HMAC_MD5(两边要一致)
注意:在2.50.90.X的软件版本之前的版本时,如果VPN不作为出口设备,只作为NAT网络下的旁挂或者内网串接设备,建立VPN设备时需要用字符标识或者证书方式,不能用地址标识)本案例中使用的软件版本是2.50.90以上的版本。
3.对端WALL160M防火墙的配置
1)配置基本的上网
2)配置IPSEC:
注意:
四、配置步骤
1.RSR路由的上网配置
--------------以下配置 RSR路由器的内网用户的基本配置-----------------
interface GigabitEthernet 0/0 //内网口
ip nat inside
ip address 192.168.10.1 255.255.255.0
interface GigabitEthernet 0/1 //外网接口
ip nat outside
ip address 172.18.10.114 255.255.255.0
ip access-list extended 110 //与NAT相关的ACL
10 permit ip any any
ip nat inside source list 110 pool nat_pool overload
ip nat pool nat_pool prefix-length 24
address 172.18.10.114 172.18.10.114 match interface GigabitEthernet 0/1
ip route 0.0.0.0 0.0.0.0 172.18.10.1 //配置默认路由
----------------以下是映射V1600S的IPSEC VPN相关的端口的映射配置---------------------------------------------------
ip nat inside source statci udp 192.168.10.254 500 172.18.10.96 500 //映射V1600S的IPSEC VPN的UDP 500端口
ip nat inside source statci udp 192.168.10.254 4 500 172.18.10.96 4500 //映射V1600S的IPSEC VPN的UDP 4500端口
2.以下是V1600S的配置
1)配置访问规则,允许内网用户访问外网的数据通过桥组
----------以下配置V1600S的内网用户基本的上网配置--------------
把eth1和eth2两个接口划分到桥组br0里
访问规则配置:允许内网的所有用户访问外网
或者也可以不配置以上安全规则,默认情况下,V1600S初始化时就是放通任何的数据的,所以此处我们可以不新增访问规则
2)配置IPSEC
---------------------以下配置 V1600的IPSEC VPN配置-----------------
身份标识使用“IP地址"方式 本地标识----IP地址:出口RSR路由器的外网接口IP 对端标识------IP:对端WALL160M的外网接口IP
添加设备》高级选项:“自动探测”不勾选
对端子网-------WALL 160M的内网用户网段
隧道的通信策略:3DES+HMAC_MD5(两边要一致)
3.对端WALL160M防火墙的配置:
----------------------以下是WALL 160M防火墙的内网用户基本的上网配置--------------------
1)配置基本的上网
2)配置 WALL 160M防火墙的的IPSEC VPN
----------------以下配置 WALL 160M防火墙的的IPSEC VPN配置-------------------
放通IKE服务
放通两端互访的流量走VPN隧道
五、配置验证
当两端设备显示如下状态时,说明VPN隧道建立成功了
本地V1600S的协商状态
对端WALL160M防火墙的协商状态