h3c er3100 vpn配置指导

《h3c er3100 vpn配置指导》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、H3CSMBRouterIPSecVPN配置指导关键词：IKE、IPSec、VPN、NAT穿越、DPD、Hub&SPOKE摘 要：本文是对SMBRouter的IPSecVPN功能配置进行介绍，指导用户组网配置。缩略语：缩略语英文全名中文解释IKEInternetKeyExchange因特网密钥交换ISAKMPInternetSecurityAssociationandKeyManagementProtocol互联网安全联盟和密钥管理协议IPSecIPSecurityIP安全AHAuthenticationHeader认证头ESPEncapsul

2、atingSecurityPayload封装安全载荷PFSPerfectForwardSecrecy完善的前向安全性DPDDeadPeerDetection对等体存活检测NATnetworkaddresstranslation网络地址转换 目 录1概述...31.1简介..31.2基本概念..31.2.1安全联盟..31.2.2IPSec封装模式..41.2.3验证算法..41.2.4加密算法..41.2.5协商方式..41.2.6IKEDPD.51.3IPSec配置指导..51.3.1配置思路..51.3.2配置指导..52一对一IPSecV

3、PN典型配置案例...72.1.1组网需求..72.1.2组网图..72.1.3配置步骤..73Hub&SpokeVPN典型配置案例...113.1.1组网需求..113.1.2组网图..113.1.3设置步骤..124WINXP的IPSecVPN典型配置案例...164.1.1组网需求..164.1.2组网图..164.1.3配置步骤..174.1.4测试..455常见问题解答（FAQ）...465.1VPN隧道数据不通，如何处理..465.2若VPN组网中存在NAT设备，双方如何配置..465.3双WAN手动均衡时的路由问题..465.4策

4、略路由的问题..475.5碰到问题时的处理方法..47 1 概述1.1 简介H3CSMB系列路由器是主要定位于中小企业市场、政府、网吧等环境的网络路由器，包括ER3000系列、ER5000系列、ICG1000系列等多个产品型号。下文中将使用名称SMBRouter来统一指代这些产品。本文是SMBRouter产品上IPSecVPN的配置指导，涉及到IKE和IPSec各项参数的配置、注意事项以及与对端设备对接时的配置方案，此配置指导适用于H3CSMB系列路由器。本文介绍的IPSecVPN特性配置适用于SMBRouter多个产品版本，具体版本包括：IC

5、G1000V100R006、ICG1800V100R004、ER3200V201R004、ER3100V201R004、ER5200V201R003、ER5100V201R003、ER3260V201R003。请注意版本号R后面的数字，不小于所列版本号的产品均可以参考此文。小于所列版本号的产品属于IPSec特性的旧版本，其配置方式有所不同，相对比较简单，此处不再详述。 1.2 基本概念IPSec（IPsecurity）协议族是Internet工程专门小组IETF制定的一系列协议，它为IP数据报提供了高质量的、可互操作的、基于密码学的安全功能。特

6、定的通信方之间在IP层通过加密与数据源验证等方式，来保证数据报在网络上传输时的私有性、完整性、真实性和防重放。1.2.1 安全联盟IPSec在两个端点之间提供安全通信，端点被称为IPSec对等体（Peer）。IPSec能够允许系统、网络的用户或管理员控制对等体间安全服务的粒度。例如，某个组织的安全策略可能规定来自特定子网的数据流应同时使用AH和ESP进行保护，并使用3DES（TripleDataEncryptionStandard，三重数据加密标准）进行加密；另一方面，策略可能规定来自另一个站点的数据流只使用ESP保护，并仅使用DES加密。通过

7、安全联盟（SecurityAssociation，以下简称SA），IPSec能够对不同的数据流提供不同级别的安全保护。l             安全联盟SA是IPSec的基础，也是IPSec的本质。SA是通信对等体间对某些要素的约定，例如：使用哪种协议（AH、ESP还是两者结合使用）、协议的操作模式（传输模式和隧道模式）、加密算法（DES和3DES）、特定流中保护数据的共享密钥以及SA的生存周期等。l             安全联盟是单向的，在两个对等体之间的双向通信，最少需要两个安全联盟来分别对两个方向的数据流进行安全保护。同时，如果希望

8、同时使用AH和ESP来保护对等体间的数据流，则分别需要两个SA，一个用于AH，另一个用于ESP。l             安全联盟由一个三元组来唯一