H3C SecPath 防火墙与天融信Topsec防火墙IPSec对接的典型配置(主模式和野蛮模式)

《H3C SecPath 防火墙与天融信Topsec防火墙IPSec对接的典型配置(主模式和野蛮模式)》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、H3CSecPath防火墙与天融信Topsec防火墙IPSec对接典型配置应用环境拓扑组网模式1.H3CSecPath防火墙与天融信防火墙的IPSec对接，包括主模式和野蛮模式；其中，野蛮模式时，我司设备为分支端，天融信防火墙为总部端。详细配置（主模式）1.SecPath防火墙的IPSec配置(以下文档以IPSec配置为主，其他互通性的配置略)；[SecPath]firewallpacket-filterdefaultpermit#ikepeer1//定义IKEPEERpre-shared-key1//

2、预共享密钥为1remote-address10.0.0.1//对端地址local-address10.0.0.2//本端地址#ipsecproposal1//定义安全提议#ipsecpolicytest1isakmp//定义安全策略securityacl3000UnRegistered//定义触发的数据流ike-peer1//采用的IKEPEERproposal1//定义使用的安全提议#aclnumber3000rule1permitipsource172.16.1.00.0.0.255destinat

3、ion172.16.0.00.0.0.255#interfaceAux0asyncmodeflow#interfaceGigabitEthernet0/0ipaddress172.16.1.1255.255.255.0#interfaceGigabitEthernet1/1ipaddress10.0.0.2255.255.255.0ipsecpolicytest//在外网接口上启用IPSec策略#firewallzonetrustaddinterfaceGigabitEthernet0/0#firewa

4、llzoneuntrustaddinterfaceGigabitEthernet0/1#iproute-static0.0.0.00.0.0.010.0.0.1[SecPath]disipsecproposal1IPsecproposalname:1encapsulationmode:tunneltransform:esp-newESPprotocol:authenticationmd5-hmac-96,encryptiondes[BJtyzx]disikeproposalpriorityauthent

5、icationauthenticationencryptionDiffie-Hellmandurationmethodalgorithmalgorithmgroup(seconds)--------------------------------------------------------------------------------------------------------------------------defaultPRE_SHAREDSHADES_CBCMODP_76886400/

6、/查看我司设备IPSec/IKE协商的加密算法，天融信TOPSec防火墙的加密算法要和我司的加密算法相同2.天融信Topsec防火墙的IPSec配置(以下文档以IPSec配置为主，其他互通性的配置略)；1）在“网络管理>>接口>>物理接口”配置选项卡界面下，配置接口eth2和eth3的IP地址，并保证防火墙域间策略开启IPSec相通的策略。UnRegistered2）在“虚拟专网>>算法管理”配置选项卡界面下，加载IPSec相应的算法：在默认的配置情况下，TopSec是没有加载DES算法的，这样可能造成

7、IPSec对接不成功。3）在“虚拟专网>>虚接口绑定”配置选项卡界面下，在TopSec防火墙的外网接口启用IPSec策略：“接口地址”配置0.0.0.0即意味着TopSec接收所有IP地址发来的IPSec协商请求，“绑定接口”即TopSec防火墙启用IPSec的接口，通常指的是外网接口。UnRegistered4）在“虚拟专网>>静态隧道>>添加隧道”配置选项卡界面下，新增一条IPSec隧道，类似我司的IPSecproposal和ikeproposal：唯一需要注意的是几个加密/验证算法要与我司设备算法

8、保持一致。UnRegistered5）在“虚拟专网>>静态隧道>>默认参数配置”配置选项卡界面下，调整Topsec防火墙IPSec参数中的“DPD”配置：这个配置非常重要，必须将“启用DPD”配置选项强制为“否”，否则，IPSec肯定无法协商成功。UnRegistered6）在“虚拟专网>>静态隧道”配置选项卡界面下，可以查看到IPSec隧道已经协商成功：应用环境拓扑详细配置（野蛮模式）1.SecPath防火墙的IPSec配置(以下文档以I