H3C MSR路由器 IPSec VPN多分支安全模板NAT穿越

《H3C MSR路由器 IPSec VPN多分支安全模板NAT穿越》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、一、组网需求：总部对多个分支提供IPSecVPN接入，分支出口存在NAT设备，因此总部与分支之间配置成野蛮模式和NAT穿越，总部路由器不配置ACL，而使用安全模板。此配置不适合分支之间的互通设备清单：MSR路由器5台二、组网图：三、配置步骤：设备和版本：MSR、Version5.20,Beta1202。Center的配置# //本地IKE名字 ikelocal-namecenter#//配置到分支1的IKEPeerikepeerbranch1 //配置成野蛮模式 exchange-modeaggressive //配置预共享密钥 pre-shared-k

2、eyh3c-msr-branch1 //使用名字作为身份标识 id-typename //配置对端名字 remote-namebranch1 //配置NAT穿越 nattraversal#//配置到分支1的IKEPeerikepeerbranch2 //配置成野蛮模式 exchange-modeaggressive //配置预共享密钥 pre-shared-keyh3c-msr-branch2 //使用名字作为身份标识 id-typename //配置对端名字 remote-namebranch2 //配置NAT穿越 nattraversal#//配置默

3、认安全提议ipsecproposaldefault#//配置分支1的安全模板，序号1ipsecpolicy-templatebranch11 //指定IKEPeer ike-peerbranch1 //指定安全提议 proposaldefault#//配置分支2的安全模板，序号1ipsecpolicy-templatebranch21 //指定IKEPeer ike-peerbranch2 //指定安全提议 proposaldefault#//根据安全模板branch1创建安全策略branch序号1ipsecpolicybranch1isakmptemp

4、latebranch1#//根据安全模板branch2创建安全策略branch序号2ipsecpolicybranch2isakmptemplatebranch2#//总部外网接口G0/0interfaceGigabitEthernet0/0 portlink-moderoute comboenablecopper //外网接口地址 ipaddress1.0.0.60255.255.255.0 //绑定安全策略 ipsecpolicybranch#interfaceGigabitEthernet0/1 portlink-moderoute //总部内网接

5、口地址 ipaddress172.0.0.1255.255.255.0# //11.0.0.0/8网段为分支1转换后的出口地址网段，1.0.0.1为分支1的NAT设备 iproute-static11.0.0.0255.0.0.01.0.0.1 //12.0.0.0/8网段为分支2转换后的出口地址网段，1.0.0.2为分支2的NAT设备 iproute-static12.0.0.0255.0.0.01.0.0.2 //192.168.1.0/24网段为分支1内网网段，1.0.0.1为分支1的NAT设备 iproute-static192.168.1.02

6、55.255.255.01.0.0.1 //192.168.2.0/24网段为分支2内网网段，1.0.0.2为分支2的NAT设备 iproute-static192.168.2.0255.255.255.01.0.0.2#Branch1配置# //分支1本地的IKE名字 ikelocal-namebranch1#//配置到总部的IKEPeerikepeercenter //使用野蛮模式 exchange-modeaggressive //配置预共享密钥，与总部配置一致 pre-shared-keyh3c-msr-branch1 //使用名字作为身份标识 

7、id-typename //配置对端名字 remote-namecenter //指定对端IP地址，因为总部路由器出接口地址不变 remote-address1.0.0.60 //配置NAT穿越 nattraversal#//默认的安全提议ipsecproposaldefault#//到总部的安全策略，序号1ipsecpolicycenter1isakmp //指定ACL securityacl3000 //指定IKEPeer ike-peercenter //指定安全提议 proposaldefault#//配置流量的ACLaclnumber3000 

8、//此规则匹配从分支1内网到总部内网的流量 rule0permitipsourc