首页 > 其他分享 >H3C-防火墙IPSec配置案例(主模式)

H3C-防火墙IPSec配置案例(主模式)

时间：2025-01-22 15:56:54浏览次数：3  
标签：H3C 5.2 zone -- ip 配置 IPSec 主模式 ipsec

目录

1.IPSec简述:

  • 1.IPSec VPN是采用IPSec协议来实现远程接入的一种VPN技术。IPSec全称为Internet Protocol Security，是由Internet Engineering Task Force（IETF）定义的一套为IP网络提供安全性的协议和服务的集合。
  • 2.随着Internet的迅速发展，越来越多的组织和个人需要在公共网络上安全地传输数据。IPSec VPN应运而生，通过在公共网络上建立加密通道，实现了对远程访问和数据传输的安全保护。

2.IPSec应用场景:

  • 远程办公：员工可以通过IPSec VPN远程访问公司内部网络，实现安全、高效的远程办公。
  • 分支机构互联：企业可以通过IPSec VPN将分布在不同地区的分支机构网络连接起来，形成一个统一的虚拟专用网络，方便管理和资源共享。
  • 移动设备访问：移动设备用户可以通过IPSec VPN安全地访问公司内部资源和数据，实现移动办公和数据传输。
  • 安全数据传输：通过IPSec VPN，企业可以在公共网络上安全地传输敏感数据和重要信息，防止数据泄露和篡改。

3.网络拓扑及说明:

在这里插入图片描述
1.网络设备地址:

序号设备名称接口ip地址/掩码
1总部防火墙g1/0/1201.1.1.1/24
2总部防火墙g1/0/210.1.1.254/24
3分部防火墙g1/0/1201.1.1.1/24
4分部防火墙g1/0/210.1.1.254/24
5总部服务器eth210.1.1.1/24
6分部PCg0/1172.16.1.1/24

4.案例背景:

  • 某企业分部PC需要访问总部服务器业务资源;

5.网络配置:

5.1 基础网络配置:

5.1.1 总部防火墙基础配置:

#
interface GigabitEthernet1/0/1             --防火墙对接互联网接口
 ip address 201.1.1.1 255.255.255.0
 manage ping inbound
 manage ping outbound
 ipsec apply policy 1
#
interface GigabitEthernet1/0/2             --防火墙对接内网接口
 ip address 10.1.1.254 255.255.255.0
 manage ping inbound
 manage ping outbound
#
security-zone name Trust                  --配置trust区域
 import interface GigabitEthernet1/0/2    --把g1/0/2接口加入trust区域
#
security-zone name Untrust                --配置untrust区域
 import interface GigabitEthernet1/0/1    --把g1/0/1接口加入untrust区域
#
 ip route-static 0.0.0.0 0 201.1.1.254     --出口默认路由
#
nat global-policy                          --全局nat策略
 rule name ipsec                           --ipsec流量不做nat转换
  source-zone trust
  destination-zone untrust
  source-ip subnet 10.1.1.0 24
  destination-ip subnet 172.16.1.0 24
  action snat no-nat
 rule name internet                        --正常上网流量做nat转换
  source-zone trust
  destination-zone untrust
  source-ip subnet 10.1.1.0 24
  action snat easy-ip
#
security-policy ip                         --安全域策略
 rule 0 name T_to_U                        --放行ipsec trust到untrust的流量
  action pass
  source-zone trust
  destination-zone untrust                 
  source-ip-subnet 10.1.1.0 255.255.255.0
  service any
 rule 1 name U_T_L                         --放行互联网到防火墙自身的流量
  action pass
  source-zone untrust
  destination-zone local
  service any
 rule 2 name L_T_U                         --放行防火墙自身到互联网的流量
  action pass
  source-zone local
  destination-zone untrust
  service any
 rule 3 name U_to_T                        --放行ipsec untrust到trust的流量
  action pass
  source-zone untrust
  destination-zone trust
  source-ip-subnet 172.16.1.0 255.255.255.0
  service any
#
--安全策略可以根据自己的需求再做细化

5.1.2 分部防火墙基础配置:

#
interface GigabitEthernet1/0/1             --防火墙对接互联网接口
 ip address 202.1.1.1 255.255.255.0
 manage ping inbound
 manage ping outbound
 ipsec apply policy 1
#
interface GigabitEthernet1/0/2             --防火墙对接内网接口
 ip address 172.16.1.254 255.255.255.0
 manage ping inbound
 manage ping outbound
#
security-zone name Trust                  --配置trust区域
 import interface GigabitEthernet1/0/2    --把g1/0/2接口加入trust区域
#
security-zone name Untrust                --配置untrust区域
 import interface GigabitEthernet1/0/1    --把g1/0/1接口加入untrust区域
#
 ip route-static 0.0.0.0 0 202.1.1.254     --出口默认路由
#
nat global-policy                          --全局nat策略
 rule name ipsec                           --ipsec流量不做nat转换
  source-zone trust
  destination-zone untrust
  source-ip subnet 172.16.1.0 24
  destination-ip subnet 10.1.1.0 24
  action snat no-nat
 rule name internet                        --正常上网流量做nat转换
  source-zone trust
  destination-zone untrust
  source-ip subnet 172.16.1.0 24
  action snat easy-ip
#
security-policy ip                         --安全域策略
 rule 0 name T_to_U                        --放行ipsec trust到untrust的流量
  action pass
  source-zone trust
  destination-zone untrust                 
  source-ip-subnet 172.16.1.0 255.255.255.0
  service any
 rule 1 name U_T_L                         --放行互联网到防火墙自身的流量
  action pass
  source-zone untrust
  destination-zone local
  service any
 rule 2 name L_T_U                         --放行防火墙自身到互联网的流量
  action pass
  source-zone local
  destination-zone untrust
  service any
 rule 3 name U_to_T                        --放行ipsec untrust到trust的流量
  action pass
  source-zone untrust
  destination-zone trust
  source-ip-subnet 10.1.1.0 255.255.255.0
  service any
#
--安全策略可以根据自己的需求做细化

5.1.3 互联网路由器基础配置:

#
interface GigabitEthernet0/1                    --对接总部防火墙
 port link-mode route
 combo enable copper
 ip address 201.1.1.254 255.255.255.0
#
interface GigabitEthernet0/2                    --对接分部防火墙
 port link-mode route
 combo enable copper
 ip address 202.1.1.254 255.255.255.0
#

5.1.4 总部服务器基础配置:

在这里插入图片描述在这里插入图片描述

5.1.5 总部PC基础配置:

在这里插入图片描述

5.2 IPSec配置:

5.2.1 总部防火墙IPSec配置:

5.2.1.1 配置感兴趣流:
#
acl advanced 3000
 rule 0 permit ip source 10.1.1.0 0.0.0.255 destination 172.16.1.0 0.0.0.255  
#
5.2.1.2 配置ike提议:
#
ike proposal 1                      --创建ike proposal 1
  encryption-algorithm aes-cbc-128  --加密算法为aes-cbc-128
  authentication-method pre-share   --认证方法为预共享秘钥
  authentication-algorithm sha      --认证算法为sha
#
5.2.1.3 配置ike keychain（IKE秘钥）:
#
ike keychain test                  -- 创建预共享秘钥
 pre-shared-key address 202.1.1.1 255.255.255.255 key simple asd12345678  -- 指定对端地址202.1.1.1/32，设置秘钥为asd12345678
#
5.2.1.4 配置ike profile（IKE模板）：
#
ike profile test                                          -- 创建模板test
 keychain test                                            -- 指定使用的秘钥 test
 local-identity address 201.1.1.1                         -- 指定使用IP地址标识本端身份
 match remote identity address 202.1.1.1 255.255.255.255  -- 指定匹配对端的身份类型为ip地址
 proposal 1                                               -- 指定使用的提议 proposal 1
#
5.2.1.5 配置IPsec tranform-set（ipsec转换集/模板）:
#
ipsec transform-set test                    -- 创建ipsec转换集test 
  esp encryption-algorithm aes-cbc-128      -- 指定esp加密算法
  esp authentication-algorithm sha1         -- 指定esp认证算法
  protocol esp                              -- 指定安全协议为esp   
  encapsulation-mode tunnel                 -- 指定封装模式为隧道模式
#
5.2.1.6 配置ipsec policy（ipsec策略）:
#
ipsec policy 1 10 isakmp      -- 创建ipsec安全策略
 transform-set test           -- 指定ipsec转换集
 security acl 3000            -- 调用感兴趣流
 local-address 201.1.1.1      -- 指定隧道的本端地址
 remote-address 202.1.1.1     -- 指定隧道的对端地址
 ike-profile test             -- 指定IPsec安全策略模板引用的IKE模板
#
5.2.1.7 接口调用ipsec策略:
#
interface GigabitEthernet1/0/1
 ipsec apply policy 1
#

5.2.2 分部防火墙IPSec配置:

5.2.2.1 配置感兴趣流:
#
acl advanced 3000
 rule 0 permit ip source 172.16.1.0 0.0.0.255 destination 10.1.1.0 0.0.0.255
#
5.2.2.2 配置ike提议:
#
ike proposal 1                      --创建ike proposal 1
  encryption-algorithm aes-cbc-128  --加密算法为aes-cbc-128
  authentication-method pre-share   --认证方法为预共享秘钥
  authentication-algorithm sha      --认证算法为sha
#
5.2.2.3 配置ike keychain（IKE秘钥）:
#
ike keychain test                  -- 创建预共享秘钥
 pre-shared-key address 201.1.1.1 255.255.255.255 key simple asd12345678  -- 指定对端地址201.1.1.1/32，设置秘钥为asd12345678
#
5.2.2.4 配置ike profile（IKE模板）：
#
ike profile test                                          -- 创建模板test
 keychain test                                            -- 指定使用的秘钥 test
 local-identity address 202.1.1.1                         -- 指定使用IP地址标识本端身份
 match remote identity address 201.1.1.1 255.255.255.255  -- 指定匹配对端的身份类型为ip地址
 proposal 1                                               -- 指定使用的提议 proposal 1
#
5.2.2.5 配置IPsec tranform-set（ipsec转换集/模板）:
#
ipsec transform-set test                    -- 创建ipsec转换集test 
  esp encryption-algorithm aes-cbc-128      -- 指定esp加密算法
  esp authentication-algorithm sha1         -- 指定esp认证算法
  protocol esp                              -- 指定安全协议为esp   
  encapsulation-mode tunnel                 -- 指定封装模式为隧道模式
#
5.2.2.6 配置ipsec policy（ipsec策略）:
#
ipsec policy 1 10 isakmp      -- 创建ipsec安全策略
 transform-set test           -- 指定ipsec转换集
 security acl 3000            -- 调用感兴趣流
 local-address 202.1.1.1      -- 指定隧道的本端地址
 remote-address 201.1.1.1     -- 指定隧道的对端地址
 ike-profile test             -- 指定IPsec安全策略模板引用的IKE模板
#
5.2.2.7 接口调用ipsec策略:
#
interface GigabitEthernet1/0/1
 ipsec apply policy 1
#

5.2.3 IPSec验证:

5.2.3.1 网络联通性验证,分部PC可以正常访问总部服务器:

在这里插入图片描述

5.2.3.2 安全联盟及隧道信息验证:

在这里插入图片描述在这里插入图片描述在这里插入图片描述

6.小结:

  • IPSec VPN是一种高效、安全、通用的VPN技术，广泛应用于远程办公、分支机构互联、移动设备访问和安全数据传输等场景。

标签：H3C,5.2,zone,--,ip,配置,IPSec,主模式,ipsec
From： https://blog.csdn.net/weixin_45263529/article/details/145302401

相关文章

  • H3CNE-11-生成树协议STP
    STP：SpanningTreeProtocol，可以在提高可靠性的同时又能避免环路带来的各种问题。一句话总结STP的作用：防止交换机环路。为了提高网络的可靠性，交换网络中通常会使用冗余链路，然而冗余链路会给交换网络带来环路风险，并导致广播风暴以及MAC地址表不稳定的问题，进而会影响到用户的......
  • 经典案例系列分享：VPX特殊案例、Cisco与H3C建立“Gre Over IPsec“
    拓扑「模拟器、工具合集」复制整段内容链接：https://docs.qq.com/sheet/DV0xxTmFDRFVoY1dQ?tab=7ulgil简介PS：Center是cisco的设备，有固定的IP，但是Branch端是H3C的设备，没有固定IP，是通过ADSL上网的，而他们需要实现无论什么时候都能访问双方的资源，因为存在VOIP电话。现在问题......
  • IPSEC实验汇总
    IPSEC实验汇总1.IKE主模式及预共享秘钥认证配置举例1.1配置参考如下：设备组网：A---B设备A设备B sysnameA sysnameB##interfaceLoopBack0interfaceLoopBack0 ipaddress2.1.1.1255.255.255.255 ipaddress3.1.1.1255.255.255.255##inte......
  • eNSP校园网络毕业设计-基于ipsecvpn技术的校园网络安全应用
    文章目录目录校园网布局校园网络现状校园网络解决方案加密安全设计方案ipsec技术原理介绍ipsec特性ipsecvpn实现ipsecvpn组网实现方案方案规划vlan规划生成树规划IP地址规划拓扑图仿真验证目录校园网布局目前本人了解到该校园网创建与1999年，共有两个校区，主......
  • ESXI软路由、H3C小贝系列AC实现普通上网和旁路由上网双WIFI
    系列文章目录提示：这里可以添加系列文章的所有文章的目录，目录需要自己手动添加例如：第一章Python机器学习入门之pandas的使用提示：写完文章后，目录可以自动生成，如何生成可参考右边的帮助文档文章目录系列文章目录前言一、pandas是什么？二、使用步骤1.引入库2.读入数据总......
  • 计算机网络-IPSec VPN工作原理
    一、IPSecVPN工作原理昨天我们大致了解了IPSec是什么，今天来学习下它的工作原理。IPsec的基本工作流程如下：通过IKE协商第一阶段协商出IKESA。使用IKESA加密IKE协商第二阶段的报文，即IPsecSA。使用IPsecSA加密数据。IPse......
  • Linux搭建nginx+keepalived 高可用(主备+双主模式)
    keepalived简介反向代理及负载均衡参考：nginx反向代理与负载均衡当你了解会搭建nginx负载均衡后，需要考虑nginx这台服务器的安全性啦，如果只有一台，这台nginx一出问题，web就会无法访问的情况，所以为了应对这种情况，就需要两台nginx做主备服务器。nginx+keepalived如下图所示 在nginx......
  • IPsec VPN（实验）
    实现R4R5点对点通信R3模拟公网访问公网靠静态路由（公网没有向内的路由所以无法ping通）配置ike对等体三大项一样就行以下是以R1视角配置R2类推Ike安全提议（policy）[Huawei]ikeproposal10[Huawei-ike-proposal-10]authentication-algorithmsha2-256[Huawei-ike-propo......
  • h3cne-rs+题库GB0-192新华三初级网络工程师认证模拟练习题限时领！
    很高兴你对H3CNE-RS+（GB0-192）新华三初级网络工程师认证感兴趣。为了帮助你备考，以下是一些模拟练习题及解析示例。请注意，这只是部分示例，并非完整的题库。真实的考试题目可能会涉及更多细节和实际应用场景。想要完整题库的，加老师。IP地址132.119.100.200的子网掩码是255.......
  • H3C UniServer R4900 G5创建 RAID卷【图解】
    正常开机，弹出选择按键选择Esc2.进入此页面下拉可以换成中文语言（能看懂英文的忽略）3.开启RAID功能，选择高级→平台配置→PCH配置→PCHSATA配置→将配置SATA为改成RAID，然后F4保存并重启4.重启之后继续选择Esc进入BIOS→选择高级→动态设备配置菜单→选择自己的阵列→......

赞助商

阅读排行

网站主页关于我们联系我们网站地图

本网站内容转载自其他媒体，侵权联系[admin##ips99.com]。

Copyright © 2020-2023 IPS99 版权所有 IPS99