交换机
园区网交换机
数据中心与云计算交换机
中小网络精简型交换机
工业交换机
意图网络指挥官
无线
放装型无线接入点
墙面型无线接入点
智分无线接入点
室外无线接入点
场景化无线
无线控制器
小锐A系列
统一运维
身份管理
服务产品
运营商
政府
金融
互联网
电力能源
制造业
高教/职教
医疗卫生
交通
地产酒店文旅·连锁服务
公共安全
一、网络需求
两个局域网,一端V600S_1以桥模式串接在内网中,出口设备是RSR路由器,另外一端V1600S_2使用ADSL拨号上网(本案例中使用DHCP方式模拟,效果是一样的),两端要建立IPSEC来实现互访。
二、网络拓扑
局域网A;192.168.10.0/24 局域网B:192.168.10.0/24;
RSR_1的出接口Gi0/1的IP:172.18.10.96/24 ,内网口地址Gi0/0:192.168.10.1/24;
V1600S_1的 桥接口Br0:192.168.10.254/24 ;
V1600S_2的外网接口Eth3为拨号线路,自动获取IP地址,内网口Eth1:192.168.4.1/24;
三、配置要点
以下配置是在确定当前两端局域网的用户都已经能正常上网的前提下配置的
1.出口RSR_1路由器的配置
RSR路由的上网配置:配置内网的用户能够正常访问internet
2.V1600S_1的配置
1)配置访问规则,允许内网用户访问外网的数据通过桥组
注:初始化的V1600S默认产生以下两条访问规则,序号为1的安全规则是对任何数据都是纯放通,不进行任何的修改,序号为2的安全规则是对任何数据都进行阻断;访问规则的处理顺序是由上往下,从第一访问规则开始匹配,如果新增加了访问规则,记得根据实际的网络需求调整好规则之间的顺序)
2)配置IPSEC:
本端FQDN标识为:abc 对端FQDN标识为:cba (此处标识的设置与V1600S_2的设置相反);
注意:在2.50.90.X的软件版本之前的版本时,如果VPN不作为出口设备,只作为NAT网络下的旁挂或者内网串接设备,建立VPN设备时需要用字符标识或者证书方式,不能用地址标识)本案例中使用的软件版本是2.50.90以上的版本。
3.V1600S-2的配置
1)配置访问规则,允许内网用户访问外网的数据通过桥组
2)配置IPSEC:
本端FQDN标识为:cba 对端FQDN标识为:abc (此处标识的设置与V1600S_1的设置相反);
四、配置步骤
1.RSR_1路由的配置
--------------以下配置 RSR_1路由器的内网用户的基本配置-----------------
以下是命令配置
interface GigabitEthernet 0/0 //内网口
ip nat inside
ip address 192.168.10.1 255.255.255.0
interface GigabitEthernet 0/1 //外网接口
ip nat outside
ip address 172.18.10.96 255.255.255.0
ip access-list extended 110 //与NAT相关的ACL
10 permit ip any any
ip nat inside source list 110 pool nat_pool overload
ip nat pool nat_pool prefix-length 24
address 172.18.10.96 172.18.10.96 match interface GigabitEthernet 0/1
ip route 0.0.0.0 0.0.0.0 172.18.10.1 //配置默认路由
2.V1600S_1的配置
1)配置允许内网用户访问外网的数据通过桥组
----------以下配置V1600S_1的内网用户基本的上网配置--------------
把eth1和eth2加入到桥组
或者也可以不配置以上安全规则,默认情况下,V1600S初始化时就是放通任何的数据的,所以此处我们可以不新增访问规则
2)配置V1600S_1的IPSEC
---------------------以下配置 V1600_1的IPSEC VPN配置-----------------
对端地址:未知
预共享密钥:ruijie
本端FQDN标识为:cba 对端FQDN标识为:abc
高级选项中的”启动探测“不勾选
本地子网为:V1600S_1内网自身的用户网段
对端子网为:V1600S_2内网自身的用户网段
设置对应隧道的通信策略:3DES+HMAC_MD5(两端要一致)
高级选项:缺省的隧道通信策略选择 “直接放行”
3.配置V1600S_2
1)配置V1600S_2内网用户的基本上网功能
----------以下配置V1600S_2的内网用户基本的上网配置--------------
获取到的IP地址如下:
2)配置内网V1600S_2的IPSEC
---------------------以下配置 V1600_2的IPSEC VPN配置-----------------
对端地址:RSR_1路由器的外网接口IP地址
预共享密钥:ruijie
本端FQDN标识为:abc 对端FQDN标识为:cba
设置对应的 ”高级选项“
本地子网为:V1600S_2内网自身的用户网段
对端子网为:V1600S_1内网自身的用户网段
设置隧道对应的通信策略
五、配置验证
当两端设备显示如下状态时,说明VPN隧道建立成功了
V1600_2:
V1600S_1: