hw防火墙ipsecvpn测试报告20140404

《hw防火墙ipsecvpn测试报告20140404》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、HW防火墙IpsecVPN测试报告LNG加气站需通过互联网，以IpsecVPN方式接入新奥集团内网。针对此需求，对华为产品进行测试：VPNGW：HWUSG5160*2Router：AR150（3G联通）一、组网结构分支点INTERNET接口IPUSG5160接口IP地址USG5160AGigabitEthernet0/0/010.36.253.98/28GigabitEthcrnot0/0/110.36.253.85/30GigabitEthernet0/0/2GigabitEthernet0/0/310.36.253.115/28

2、USG5160BGigabitEthernet0/0/010.36.253.99/28GigabitEthernet0/0/110.36.253.86/30GigabitEthcrnot0/0/2GigabitEthernet0/0/310.36.253.116/28VRRP虚拟IPVRRP组虚拟IP接口组110.36.253.100USG5160AG0/0/0USG5160BG0/0/0组210.36.253.117USG5160AG0/0/3USG5160BG0/0/3、网络规划如下:•内网与USG5160的GigabitEth

3、crnct0/0/0接I」相连,部署在Trust区域。•外部网络与USG5160的GigabitEthernet0/0/3接口相连,部署在Untrust区域。•两台USG5160的HRP备份通道接口ETH-TRUNK1部署在DMZ区域。*IIRP不能□动同步路由配置其中，各安全区域对应的VRRP组虚拟IP地址如下：•Trust区域对应的VRRP组虚拟IP地址为10.36.253.100。•Untrust区域对应的VRRP组虚拟IP地址为10.36.253.117。•DMZ区威对应的VRRP组虚拟1P地址为无。◊通过F5对防火墙外口虚

4、拟地址10.36.253.117进行完全映射，映射为：移动:211.143.107.37电信：222.222.120.69联通:60.10.20.69◊由于分支设备为运营商动态分配的私网地址，因此需要通过分支对总部发起ipsecvpn连接，并开始NAT穿越。三、具体配置：(1)总部防火墙USG5160配置：IpsecVPN配置ikelocal-nameLFGDC01_HWFW01//fii]'ttIPESECIKE木地名称ikedpdinterval103〃配置发送DPD报文的时间间隔为10秒，DPD报文超时重传的次数为3次#acl

5、number3001descriptionForHeNan_LNG_XXJQZrule10permitipsource10.0.0.00.0.255.255destination10.2.192.1600.0.0.31rule20permitipsource10.1.0.00.0.255.255destination10.2.192.1600.0.0.31rule30permitipsource10.2.64.00.0.63.255destination10.2.192.1600.0.0.31rule40permitipsource

6、10.34.132.00.0.3.255destination10.2.192.1600.0.0.31rule50permitipsource10.36.0.00.0.255.255destination10.2.192.1600.0.0.31rule60permitipsource10.37.0.00.0.255.255destination10.2.192.1600.0.0.31rule70permitipsource10.76.0.00.0.255.255destination10.2.192.1600.0.0.31ikepr

7、oposal10〃配置ike安全建议encryption-algorithmaes・cbc〃采用aes篦法dhgroup2〃采用dhgroup2ikepeerpeer_hn_lng_suide〃配置对等体exchange-modeaggressive〃使用野蛮穿越模式pre-shared-keylqazXSW@3edcVFR$//设置预共享密钥ike-proposal10〃引用ike建议10local-id-typefqdn//配吉对筹体ID类型，由于对端无固泄地址，因此采用用八域名方式remote-idLNG_test01//AL

8、置对等体ID,9AR路由器ikelocalname对应remote-id211.110.23.69//配置对等体IP，如果分支点为互联网IP地址接入，则配置ipsecproposalipsec_pro〃配置ipsec安全建议espau