HS防火墙ipse配置示例.doc

《HS防火墙ipse配置示例.doc》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、IPSECVPN配置采用IKE方式建立SA示例（预共享密钥）组网需求如图7-2所示，组网需求如下：l          Host1与Host2之间进行安全通信，在USG2110A与USG2110B之间使用IKE自动协商建立安全通道。l          IKE验证方式为预共享密钥。图7-2采用IKE方式建立SA配置示例组网图（预共享密钥） 配置步骤                               步骤1    配置USG2110A。#进入系统视图。system-view#配置本端设备的名称。[USG2110]sysnameUSG2110A#进入

2、Ethernet0/0/0视图。[USG2110A]interfaceEthernet0/0/0#配置Ethernet0/0/0的IP地址。[USG2110A-Ethernet0/0/0]ipaddress202.39.160.116#关闭接口的快速转发功能。[USG2110A-Ethernet0/0/0]undoipfast-forwardingqff#退回系统视图。[USG2110A-Ethernet0/0/0]quit#进入Ethernet0/0/1视图。[USG2110A]interfaceEthernet0/0/1#配置Ethernet0/0/1的IP地址。[US

3、G2110A-Ethernet0/0/1]ipaddress200.39.1.124#关闭接口的快速转发功能。[USG2110A-Ethernet0/0/1]undoipfast-forwardingqff#退回系统视图。[USG2110A-Ethernet0/0/1]quit#进入Trust区域视图。[USG2110A]firewallzonetrust#配置Ethernet0/0/1加入Trust区域。[USG2110A-zone-trust]addinterfaceEthernet0/0/1#退回系统视图。[USG2110A-zone-trust]quit#进入Unt

4、rust区域视图。[USG2110A]firewallzoneuntrust#配置Ethernet0/0/0加入Untrust区域。[USG2110A-zone-untrust]addinterfaceEthernet0/0/0#退回系统视图。[USG2110A-zone-untrust]quit#配置到达Host2的静态路由。[USG2110A]iproute-static172.70.2.024202.39.169.1#配置ACL规则，允许Host1所在网段的主机访问Host2所在网段的主机。[USG2110A]acl3000[USG2110A-acl-adv-3000

5、]rulepermitipsource202.39.1.00.0.0.255destination172.70.2.00.0.0.255#退回系统视图。[USG2110A-acl-adv-3000]quit#配置ACL规则，允许Host2所在网段的主机访问。[USG2110A]acl3001[USG2110A-acl-adv-3001]rulepermitipsource172.70.2.00.0.0.255#退回系统视图。[USG2110A-acl-adv-3001]quit#进入Trust和Untrust域间视图。[USG2110A]firewallinterzonet

6、rustuntrust#配置域间包过滤规则。[USG2110A-interzone-trust-untrust]packet-filter3000outbound[USG2110A-interzone-trust-untrust]packet-filter3001inbound#退回系统视图。[USG2110A-interzone-trust-untrust]quit#配置域间缺省包过滤规则。[USG2110A]firewallpacket-filterdefaultpermitinterzonelocaluntrust配置Local和Untrust域间缺省包过滤规则的目的

7、为允许IPSec隧道两端设备通信，使其能够协商SA。#配置名为tran1的IPSec提议。[USG2110A]ipsecproposaltran1#配置安全协议。[USG2110A-ipsec-proposal-tran1]transformesp#配置报文封装类型。[USG2110A-ipsec-proposal-tran1]encapsulation-modetunnel#配置ESP协议的认证算法。[USG2110A-ipsec-proposal-tran1]espauthentication-algorith