华为防火墙ipsec vpn nat穿越2种场景配置案例

news2025/10/31 11:52:49

第一种方法，分部出口有nat设备，且总部用模版，总部外线为固定地址，分部出口可以无固定地址。

在这里插入图片描述

主要配置：

所有默认策略全部放行，具体怎么开策略可以等通后用命令dis firewall session table ver看
security-policy
default active permit

i.配置接口IP地址。
system-view
[sysname] sysname FW_A
[FW_A] interface GigabitEthernet 1/0/1
[FW_A-GigabitEthernet1/0/1] ip address 10.1.1.1 24
[FW_A-GigabitEthernet1/0/1] quit
[FW_A] interface GigabitEthernet 1/0/2
[FW_A-GigabitEthernet1/0/2] ip address 1.1.2.1 24
[FW_A-GigabitEthernet1/0/2] quit

ii.将接口加入相应的安全区域。
[FW_A] firewall zone trust
[FW_A-zone-trust] add interface GigabitEthernet 1/0/1
[FW_A-zone-trust] quit
[FW_A] firewall zone untrust
[FW_A-zone-untrust] add interface GigabitEthernet 1/0/2
[FW_A-zone-untrust] quit

c.配置默认路由下一跳地址为1.1.2.2为公网地址
[FW_A] ip route-static 0.0.0.0 0 1.1.2.2

2.在FW_A上配置IPSec。
a.定义被保护的数据流。
[FW_A] acl 3000
[FW_A-acl-adv-3000] rule 5 permit ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255

b.配置IPSec安全提议tran1。采用默认参数。
[FW_A] ipsec proposal tran1
[FW_A-ipsec-proposal-tran1] esp authentication-algorithm sha2-256 //默认就有
[FW_A-ipsec-proposal-tran1] esp encryption-algorithm aes-256 //默认就有
[FW_A-ipsec-proposal-tran1] quit

c.配置IKE安全提议。采用默认参数。
[FW_A] ike proposal 10
[FW_A-ike-proposal-10] authentication-method pre-share //默认就有
[FW_A-ike-proposal-10] prf hmac-sha2-256 //默认就有
[FW_A-ike-proposal-10] encryption-algorithm aes-256 //默认就有
[FW_A-ike-proposal-10] dh group14 //默认就有
[FW_A-ike-proposal-10] integrity-algorithm hmac-sha2-256 //默认就有
[FW_A-ike-proposal-10] quit

d.配置IKE Peer。
[FW_A] ike peer c
[FW_A-ike-peer-c] ike-proposal 10
[FW_A-ike-peer-c] pre-shared-key admin123
[FW_A-ike-peer-c] quit

e.配置IPSec策略模板temp。
[FW_A] ipsec policy-template temp 1
[FW_A-ipsec-policy-templet-temp-1] security acl 3000
[FW_A-ipsec-policy-templet-temp-1] proposal tran1
[FW_A-ipsec-policy-templet-temp-1] ike-peer c
[FW_A-ipsec-policy-templet-temp-1] quit

f.创建IPSec策略并引用IPSec策略模板temp。
[FW_A] ipsec policy map1 10 isakmp template temp

g.在接口GigabitEthernet 1/0/2上应用IPSec策略组map1。
[FW_A] interface GigabitEthernet 1/0/2
[FW_A-GigabitEthernet1/0/2] ipsec policy map1
[FW_A-GigabitEthernet1/0/2] quit

3.配置FW_C的基础配置。 a.配置接口IP地址，并将接口加入域。

请根据图1的数据配置接口IP地址。

将接口GigabitEthernet 1/0/1加入Trust区域
接口GigabitEthernet 1/0/2加入Untrust区域

详细步骤可参见FW_A的配置。

c.配置静态路由，下一跳地址为10.1.5.1出口路由地址
ip route-static 0.0.0.0 0.0.0.0 10.1.5.1

4.在FW_C上配置IPSec策略。 a.定义被保护的数据流。
[FW_C] acl 3000
[FW_C-acl-adv-3000] rule 5 permit ip source 10.1.2.0 0.0.0.255 destination 10.1.1.0 0.0.0.255

b.配置IPSec安全提议tran1。采用默认参数。
[FW_C] ipsec proposal tran1
[FW_C-ipsec-proposal-tran1] esp authentication-algorithm sha2-256 //默认就有
[FW_C-ipsec-proposal-tran1] esp encryption-algorithm aes-256 //默认就有
[FW_C-ipsec-proposal-tran1] quit

c.配置IKE安全提议。采用默认参数。
[FW_C] ike proposal 10
[FW_C-ike-proposal-10] authentication-method pre-share //默认就有
[FW_C-ike-proposal-10] prf hmac-sha2-256 //默认就有
[FW_C-ike-proposal-10] encryption-algorithm aes-256 //默认就有
[FW_C-ike-proposal-10] dh group14 //默认就有
[FW_C-ike-proposal-10] integrity-algorithm hmac-sha2-256 //默认就有
[FW_C-ike-proposal-10] quit

d.配置IKE Peer。
[FW_C] ike peer a
[FW_C-ike-peer-a] ike-proposal 10
[FW_C-ike-peer-a] remote-address 1.1.2.1
[FW_C-ike-peer-a] pre-shared-key admin123
[FW_C-ike-peer-a] quit

e.配置IPSec策略map1。
[FW_C] ipsec policy map1 10 isakmp
[FW_C-ipsec-policy-isakmp-map1-10] security acl 3000
[FW_C-ipsec-policy-isakmp-map1-10] proposal tran1
[FW_C-ipsec-policy-isakmp-map1-10] ike-peer a
[FW_C-ipsec-policy-isakmp-map1-10] quit

f.在接口GigabitEthernet 1/0/2上应用IPSec策略组map1。
[FW_C] interface GigabitEthernet 1/0/2
[FW_C-GigabitEthernet1/0/2] ipsec policy map1
[FW_C-GigabitEthernet1/0/2] quit

c.出路路由器配置。
acl number 2000
rule 5 permit source 10.1.2.0 0.0.0.255

interface GigabitEthernet0/0/0
ip address 10.1.5.1 255.255.255.0

interface GigabitEthernet0/0/1
ip address 1.1.5.1 255.255.255.0
nat outbound 2000

ip route-static 0.0.0.0 0.0.0.0 1.1.5.2
ip route-static 10.1.2.0 255.255.255.0 10.1.5.2

结果验证

1.配置完成后，PC2发起访问，之后PC1与PC2之间可以相互访问。PC2同时可以访问到公网。

2.PC2可以Ping通FW_A的1.1.2.1，同时在FW_B上可以查看NAT转换session表项。
<FW_B> display firewall session table
Current Total Sessions : 2
udp VPN:public --> public 10.1.5.2:500[1.1.5.1:2048]–>1.1.2.1:500
udp VPN:public --> public 10.1.5.2:4500[1.1.5.1:2048]–>1.1.2.1:4500

3.总部防火墙FW_A上可以查看到对应的IKE SA。
<FW_A> display ike sa
IKE SA information :
Conn-ID Peer VPN Flag(s) Phase RemoteType RemoteID

83887864    1.1.5.1:500           RD|A     v2:2   IP          1.1.5.1
83887652    1.1.5.1:500           RD|A     v2:1   IP          1.1.5.1

Number of IKE SA : 2

Flag Description:
RD–READY ST–STAYALIVE RL–REPLACED FD–FADING TO–TIMEOUT
HRT–HEARTBEAT LKG–LAST KNOWN GOOD SEQ NO. BCK–BACKED UP
M–ACTIVE S–STANDBY A–ALONE NEG–NEGOTIATING

4.分支上FW_C可以查看到对端为总部的IKE SA，FW_C是发起方，标志位为ST。
<FW_C> display ike sa
IKE SA information :
Conn-ID Peer VPN Flag(s) Phase RemoteType RemoteID

62887864    1.1.2.1:500           RD|ST|A  v2:2   IP          1.1.2.1
62887652    1.1.2.1:500           RD|ST|A  v2:1   IP          1.1.2.1

Number of IKE SA : 2

Flag Description:
RD–READY ST–STAYALIVE RL–REPLACED FD–FADING TO–TIMEOUT
HRT–HEARTBEAT LKG–LAST KNOWN GOOD SEQ NO. BCK–BACKED UP
M–ACTIVE S–STANDBY A–ALONE NEG–NEGOTIATING

5.总部防火墙FW_A上可以查看到一对双向的IPSec SA，对应分支FW_C。
<FW_A> display ipsec sa brief
Current ipsec sa num:2

Spu board slot 1, cpu 1 ipsec sa information:
Number of SAs:2
Src address Dst address SPI VPN Protocol Algorithm

1.1.2.1         1.1.5.1       3923280450           ESP      E:AES-256 A:SHA2_256_128 
1.1.5.1         1.1.2.1       2676437093           ESP      E:AES-256 A:SHA2_256_128

6.分支节点FW_C上可以查看到一对双向IPSec SA。<FW_C> display ipsec sa brief
Current ipsec sa num:2

Spu board slot 1, cpu 1 ipsec sa information:
Number of SAs:4
Src address Dst address SPI VPN Protocol Algorithm

10.1.5.2         1.1.2.1       2179965693          ESP     E:AES-256 A:SHA2_256_128
1.1.2.1         10.1.5.2       3813759530          ESP     E:AES-256 A:SHA2_256_128

第二种方法，即做vpn又做nat，意思是电脑又和总部vpn通，又能上外网，都在一台防火墙设备上实现。

在这里插入图片描述

FW_A主要配置：

acl number 3000
rule 5 permit ip source 192.168.0.0 0.0.0.255 destination 172.16.0.0 0.0.0.255

ipsec proposal pro1
transfrom esp

ike proposal 10

ike peer fenbu_1
pre-shared-key admin
ike-proposal 10
nat traversal

ipsec policy-template temp1 1
security acl 3000
ike-peer fenbu_1
proposal pro1

ipsec policy policy1 1 isakmp template temp1

interface GigabitEthernet1/0/0
undo shutdown
ip address 1.1.1.1 255.255.255.0
service-manage ping permit
ipsec policy policy1

interface GigabitEthernet1/0/1
undo shutdown
ip address 192.168.0.1 255.255.255.0
service-manage ping permit
dhcp select interface

firewall zone trust
set priority 85
add interface GigabitEthernet0/0/0
add interface GigabitEthernet1/0/1

firewall zone untrust
set priority 5
add interface GigabitEthernet1/0/0

ip route-static 0.0.0.0 0.0.0.0 1.1.1.2

FW_B主要配置：

acl number 2000
rule 5 permit source 172.16.0.0 0.0.0.255

acl number 3000
rule 5 permit ip source 172.16.0.0 0.0.0.255 destination 192.168.0.0 0.0.0.255

ipsec proposal pro1
transfrom esp

ike proposal 10

ike peer zongbu
pre-shared-key admin
ike-proposal 10
remote-address 1.1.1.1
nat traversal

ipsec policy policy1 1 isakmp
security acl 3000
ike-peer zongbu
proposal pro1

interface GigabitEthernet1/0/0
undo shutdown
ip address 1.1.1.1 255.255.255.0
service-manage ping permit
ipsec policy policy1

interface GigabitEthernet1/0/1
undo shutdown
ip address 172.16.0.1 255.255.255.0
service-manage ping permit
dhcp select interface

firewall zone trust
set priority 85
add interface GigabitEthernet0/0/0
add interface GigabitEthernet1/0/1

ip route-static 0.0.0.0 0.0.0.0 2.2.2.1

nat-policy //先匹配vpn的数据，如果是上网的会自动往下走，匹配下面那个策略
rule name policy_vpn
source-address 172.16.0.0 mask 255.255.255.0
destination-address 192.168.0.0 mask 255.255.255.0
action no-nat

rule name policy_internet
source-zone trust
destination-zone untrust
source-address 172.16.0.0 mask 255.255.255.0
action source-nat easy-ip

注意：

如果内部还有对外发部的服务器映射端口，那在nat server映射时命令的尾部一定要加上no-reverse，这样就不产生server-map表，要不然vpn不通。
nat server protocol tcp global 2.2.2.2 80 inside 172.16.0.100 80 no-reverse

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1191643.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

事务(本地事务与分布式事务)

事务(本地事务与分布式事务)

事务 1 本地事务1.1 事务的特性1.2 事务的隔离级别1.3 事务的传播属性 2 分布式事务2.1 分布式事务基础2.1.1 CAP定理2.1.2 BASE定理 2.2 分布式事务的解决方案2.2.1 两阶段提交&#xff08;2PC&#xff09;2.2.2 TCC补偿式事务2.2.3 消息事务最终一致性 1 本地事务 1.1 事务的…
阅读更多...
观测云产品更新 | 数据转发、监控器告警策略等优化

观测云产品更新 | 数据转发、监控器告警策略等优化

数据转发 数据查询时间组件优化&#xff0c;支持选择多个日期&#xff0c;并可以自定义开始时间和结束时间&#xff0c;时间精确到小时。 监控器 > 告警策略优化 1、「通知配置」逻辑调整为&#xff1a;针对单个异常等级配置通知单个或多个对象告警通知。 2、「恢复通知」…
阅读更多...
Qt5多线程＜12＞

Qt5多线程＜12＞

1.多线程的简单实现 <1> 在头文件threaddlg.h声明用于界面显示所需的控件，其代码如下： #ifndef THREADDLG_H #define THREADDLG_H#include <QDialog> #include <QPushButton> #include "workthread.h" #define MAXSIZE 5class ThreadDlg : publ…
阅读更多...
redis数据倾斜如何解决

redis数据倾斜如何解决

Redis数据倾斜主要是由于数据访问热点导致的&#xff0c;通常在执行事务操作或范围查询时发生。这会导致大量数据集中在某个实例上&#xff0c;使得集群负载不均衡。以下是一些解决Redis数据倾斜的方法&#xff1a; 避免在同一个键值对上保存过多的数据。可以将大的键值对拆分…
阅读更多...
辐射骚扰整改思路及方法：对共模电流的影响？|深圳比创达电子EMC

辐射骚扰整改思路及方法：对共模电流的影响？|深圳比创达电子EMC

某产品首次EMC测试时&#xff0c;辐射、静电、浪涌均失败。本篇文章就“原理探究&#xff1a;对共模电流的影响”问题进行详细讨论。 现在来研究左侧的磁场分布情况。分别对两根导线使用右手螺旋定则可以发现&#xff0c;两根导线的磁场均为顺时针方向&#xff0c;即磁场是互相…
阅读更多...
合成数据在金融服务中的应用

合成数据在金融服务中的应用

人工智能在金融服务中有着广泛的应用&#xff0c;从流程自动化到聊天机器人和欺诈检测。据估计&#xff0c;到 447 年&#xff0c;银行从人工智能应用中节省的潜在成本总额将达到 2023 亿美元。 但是&#xff0c;其中一些应用程序有其局限性&#xff0c;因为财务数据是最敏感和…
阅读更多...
Altium Designer学习笔记1

Altium Designer学习笔记1

一、新建项目和文件&#xff1a; 1、新建Project项目&#xff1b; 2、新建原理图文件&#xff1b; 3、新建PCB项目&#xff1b; 在工程文件上点击右键&#xff0c;保存为&#xff0c;可以依次保存三个文件。选择需要保存的路径&#xff0c;新建文件夹。 依次是原理图文件、…
阅读更多...
滑动变阻器的调节方法有哪些？

滑动变阻器的调节方法有哪些？

滑动变阻器是一种可以改变电阻值的电子元件&#xff0c;广泛应用于各种电子设备和电路中。其调节方法主要有以下几种&#xff1a; 1. 手动调节&#xff1a;这是最常见的调节方式&#xff0c;通过直接旋转滑动变阻器的旋钮&#xff0c;改变电阻丝在电路中的有效长度&#xff0c;…
阅读更多...
Java带可视化数据大屏AI智慧工地源码

Java带可视化数据大屏AI智慧工地源码

智慧工地管理系统是面向建筑工程施工企业提供的工地智能交互平台&#xff0c;基于云计算、物联网、人工智能等技术的应用&#xff0c;对现场人员、材料、机械、质量、安全等进行高效管控&#xff0c;以实现项目管理人员对现场的实时把控、及时预警、精准决策&#xff0c;从而为…
阅读更多...
2023网络钓鱼状况报告：ChatGPT等工具致网络钓鱼电子邮件数量激增1265%

2023网络钓鱼状况报告：ChatGPT等工具致网络钓鱼电子邮件数量激增1265%

近日&#xff0c;SlashNext发布了《2023年网络钓鱼状况报告》&#xff0c;报告显示&#xff1a;自ChatGPT于2022年11月推出以来&#xff0c;网络钓鱼电子邮件数量激增1265%&#xff0c;这标志着网络犯罪依托于人工智能进入了一个新的时代。 该报告深入分析了2022年第四季度至2…
阅读更多...
干货 | 移动端使用OpenGL转场特效的音视频合成应用

干货 | 移动端使用OpenGL转场特效的音视频合成应用

作者简介 jzg&#xff0c;携程资深前端开发工程师&#xff0c;专注Android开发&#xff1b; zx&#xff0c;携程高级前端开发工程师&#xff0c;专注iOS开发&#xff1b; zcc&#xff0c;携程资深前端开发工程师&#xff0c;专注iOS开发。 前言 近年来短视频的火爆&#xff0c;…
阅读更多...
无线测温系统在电厂的必要性，保障电力系统稳定运行

无线测温系统在电厂的必要性，保障电力系统稳定运行

安科瑞电气股份有限公司 上海嘉定 201801 摘要&#xff1a;采集关键电力设备接电的实时温度&#xff0c;克服有线温度监测系统存在的诸如线路多&#xff0c;布线复杂&#xff0c;维护困难等不足&#xff0c;将无线无源传感器与Zigbee无线通信技术相结合&#xff0c;将物联网技…
阅读更多...
Python中的Socket编程

Python中的Socket编程

目录 一、概述 二、Socket的基本概念 三、Python中的Socket编程 四、Socket的高级功能 1、多路复用&#xff08;multiplexing&#xff09;&#xff1a; 2、非阻塞式IO&#xff1a; 3、SSL加密&#xff1a; 4、服务端编程&#xff1a; 五、Socket编程的常见问题及解决方…
阅读更多...
计算机考研精炼1000题：笔试面试必备攻略

计算机考研精炼1000题：笔试面试必备攻略

&#x1f482; 个人网站:【工具大全】【游戏大全】【神级源码资源网】&#x1f91f; 前端学习课程&#xff1a;&#x1f449;【28个案例趣学前端】【400个JS面试题】&#x1f485; 寻找学习交流、摸鱼划水的小伙伴&#xff0c;请点击【摸鱼学习交流群】 ⭐️ 好书推荐 计算机考…
阅读更多...
亚马逊云科技Zero ETL集成全面可用，可运行近乎实时的分析和机器学习

亚马逊云科技Zero ETL集成全面可用，可运行近乎实时的分析和机器学习

亚马逊云科技数据库、数据分析和机器学习全球副总裁Swami Sivasubramanian曾指出&#xff1a;“数据是应用、流程和商业决策的核心。”如今&#xff0c;客户常用的数据传输模式是建立从Amazon Aurora到Amazon Redshift的数据管道。这些解决方案能够帮助客户获得新的见解&#x…
阅读更多...
案例研究：利用合成数据提高对象检测性能

案例研究：利用合成数据提高对象检测性能

通常很难提前知道是否可以在不尝试的情况下生成与真实图像足够相似的图像。但好消息是&#xff1a;尝试起来很容易&#xff01;我们将向您展示如何操作。 本指南是关于生成合成数据的系列文章的一部分。我们还提供指南&#xff0c;可让您使用以下工具生成合成数据&#xff1a;…
阅读更多...
剖析WPF模板机制的内部实现

剖析WPF模板机制的内部实现

剖析WPF模板机制的内部实现 众所周知&#xff0c;在WPF框架中&#xff0c;Visual类是可以提供渲染&#xff08;render&#xff09;支持的最顶层的类&#xff0c;所有可视化元素&#xff08;包括UIElement、FrameworkElment、Control等&#xff09;都直接或间接继承自Visual类。…
阅读更多...
JavaScript的大分水岭:CommonJS vs ES模块

JavaScript的大分水岭:CommonJS vs ES模块

所周知&#xff0c;JavaScript社区喜欢进行热烈的辩论。四年来&#xff0c;我们如何组织代码的问题上一直存在一个分歧——这是一个基本但令人意外地有争议的问题&#xff0c;继续将开发者分开。 这种分歧围绕着 CommonJS 和 ES 模块&#xff0c;这是两个用于划分 JavaScript代…
阅读更多...
不用开会员就能在线编辑、管理及分享各类地理空间数据！

不用开会员就能在线编辑、管理及分享各类地理空间数据！

「四维轻云」作为一款地理空间数据云管理平台&#xff0c;具有三维模型、正射影像、激光点云、数字高程模型、人工模型和矢量数据等地理空间数据的在线管理、浏览及分享等功能&#xff0c;致力于为用户提供更加方便、快捷的地理空间数据解决方案。 一、发布、管理超大空间数据…
阅读更多...
交易所开发搭建

交易所开发搭建

在当今的数字货币市场中&#xff0c;交易所开发搭建已经成为了一个重要的领域。交易所是数字货币交易的主要场所&#xff0c;为投资者提供了安全、可靠、高效的交易服本务文。将详细介绍交易所开发搭建的整个流程&#xff0c;包括需求分析、设计、技术选型、开发、测试和上线等…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023