欢迎来到天天文库
浏览记录
ID:37638810
大小:606.68 KB
页数:8页
时间:2019-05-27
《H3C SecPath 防火墙与天融信Topsec防火墙IPSec对接的典型配置(主模式和野蛮模式)》由会员上传分享,免费在线阅读,更多相关内容在行业资料-天天文库。
1、H3CSecPath防火墙与天融信Topsec防火墙IPSec对接典型配置应用环境拓扑组网模式1.H3CSecPath防火墙与天融信防火墙的IPSec对接,包括主模式和野蛮模式;其中,野蛮模式时,我司设备为分支端,天融信防火墙为总部端。详细配置(主模式)1.SecPath防火墙的IPSec配置(以下文档以IPSec配置为主,其他互通性的配置略);[SecPath]firewallpacket-filterdefaultpermit#ikepeer1//定义IKEPEERpre-shared-key1//
2、预共享密钥为1remote-address10.0.0.1//对端地址local-address10.0.0.2//本端地址#ipsecproposal1//定义安全提议#ipsecpolicytest1isakmp//定义安全策略securityacl3000UnRegistered//定义触发的数据流ike-peer1//采用的IKEPEERproposal1//定义使用的安全提议#aclnumber3000rule1permitipsource172.16.1.00.0.0.255destinat
3、ion172.16.0.00.0.0.255#interfaceAux0asyncmodeflow#interfaceGigabitEthernet0/0ipaddress172.16.1.1255.255.255.0#interfaceGigabitEthernet1/1ipaddress10.0.0.2255.255.255.0ipsecpolicytest//在外网接口上启用IPSec策略#firewallzonetrustaddinterfaceGigabitEthernet0/0#firewa
4、llzoneuntrustaddinterfaceGigabitEthernet0/1#iproute-static0.0.0.00.0.0.010.0.0.1[SecPath]disipsecproposal1IPsecproposalname:1encapsulationmode:tunneltransform:esp-newESPprotocol:authenticationmd5-hmac-96,encryptiondes[BJtyzx]disikeproposalpriorityauthent
5、icationauthenticationencryptionDiffie-Hellmandurationmethodalgorithmalgorithmgroup(seconds)--------------------------------------------------------------------------------------------------------------------------defaultPRE_SHAREDSHADES_CBCMODP_76886400/
6、/查看我司设备IPSec/IKE协商的加密算法,天融信TOPSec防火墙的加密算法要和我司的加密算法相同2.天融信Topsec防火墙的IPSec配置(以下文档以IPSec配置为主,其他互通性的配置略);1)在“网络管理>>接口>>物理接口”配置选项卡界面下,配置接口eth2和eth3的IP地址,并保证防火墙域间策略开启IPSec相通的策略。UnRegistered2)在“虚拟专网>>算法管理”配置选项卡界面下,加载IPSec相应的算法:在默认的配置情况下,TopSec是没有加载DES算法的,这样可能造成
7、IPSec对接不成功。3)在“虚拟专网>>虚接口绑定”配置选项卡界面下,在TopSec防火墙的外网接口启用IPSec策略:“接口地址”配置0.0.0.0即意味着TopSec接收所有IP地址发来的IPSec协商请求,“绑定接口”即TopSec防火墙启用IPSec的接口,通常指的是外网接口。UnRegistered4)在“虚拟专网>>静态隧道>>添加隧道”配置选项卡界面下,新增一条IPSec隧道,类似我司的IPSecproposal和ikeproposal:唯一需要注意的是几个加密/验证算法要与我司设备算法
8、保持一致。UnRegistered5)在“虚拟专网>>静态隧道>>默认参数配置”配置选项卡界面下,调整Topsec防火墙IPSec参数中的“DPD”配置:这个配置非常重要,必须将“启用DPD”配置选项强制为“否”,否则,IPSec肯定无法协商成功。UnRegistered6)在“虚拟专网>>静态隧道”配置选项卡界面下,可以查看到IPSec隧道已经协商成功:应用环境拓扑详细配置(野蛮模式)1.SecPath防火墙的IPSec配置(以下文档以I
此文档下载收益归作者所有