防火墙ipsec vpn点对多点

最新推荐文章于 2025-05-12 23:17:37 发布
最新推荐文章于 2025-05-12 23:17:37 发布
阅读量1.1k 收藏 7
点赞数 2
分类专栏： 网络规划 网络工程师 文章标签： 智能路由器 网络 运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/weixin_44732231/article/details/130960169
版权

防火墙ipsec vpn 点对多点配置和路由器isis配置

需求：

isp通过isis进行联通，两台防火墙部署ipsec vpn 点对多点。

拓扑图：

在这里插入图片描述

技术分析：

isis：

isp1：
isis 1 #进入isis进程
 network-entity 10.0000.0000.0000.0001.00  #配置net地址，格式按10.0000.0000.0000.0001.00这个来
 import-route isis level-2 into level-1 配置路由渗透level-2的路由发到level-1
 #
 interface GigabitEthernet0/0/0
 isis enable 1 #开启isis
 isis circuit-level level-1 #将端口等级设置为level-1（IS-IS 的路由器默认级别是 Level-1-2， 两个路由器在同一个区域，
 所以 会同时建立 Level-1 和 Level-2 的邻接关系，造成建立重新邻接，增加路由器的性能压力，浪费网路带宽，所以只需
 建立 Level-1 的邻接关系；但是由于路由器连接了其他区域路由器，所以无法修改路由器级别为 Level-1，只能通过修改接口邻接
 关系级别为 Level-1 来解决）
 isis authentication-mode md5 cipher 123456 #配置端口认证
#下同
interface GigabitEthernet0/0/1
 isis enable 1
 isis circuit-level level-1
 isis authentication-mode md5 cipher 123456
#
interface GigabitEthernet0/0/2
 isis enable 1
 
 isp3
#
isis 1
 network-entity 10.0000.0000.0000.0003.00
 import-route isis level-2 into level-1
#
interface GigabitEthernet0/0/0
 isis enable 1
 isis circuit-level level-1
 isis authentication-mode md5 cipher 123456
#
interface GigabitEthernet0/0/1
 isis enable 1
#
interface GigabitEthernet0/0/2
 isis enable 1
 isis circuit-level level-1
 isis authentication-mode md5 cipher 123456
#

isp4
#
isis 1
 network-entity 10.0000.0000.0000.0004.00
 import-route isis level-2 into level-1
#
interface GigabitEthernet0/0/0
 isis enable 1
 isis circuit-level level-1
 isis authentication-mode md5 cipher 123456
#
interface GigabitEthernet0/0/1
 isis enable 1
 isis circuit-level level-1
 isis authentication-mode md5 cipher 123456
#
interface GigabitEthernet0/0/2
 isis enable 1
#

ip-link

fw1
#
ip-link check enable  #开启ip-link
ip-link name fw2-1 #进入fw2-1
 destination 100.1.1.2 interface GigabitEthernet1/0/0 mode icmp #通过g1/0/0使用icmp协议侦测目的IP为100.1.1.2
ip-link name fw2-2 #下同
 destination 100.1.2.2 interface GigabitEthernet1/0/0 mode icmp
 #
 fw2
 #
ip-link check enable
ip-link name fw1-1
 destination 100.1.3.2 interface GigabitEthernet1/0/0 mode icmp
ip-link name fw1-2
 destination 100.1.3.2 interface GigabitEthernet1/0/1 mode icmp
#

IPSec vpn ：

fw1
#
ipsec proposal 1 #ipsec安全提案 1
 esp authentication-algorithm sha2-256 #ESP的认证算法
 esp encryption-algorithm aes-256  ESP的加密算法
#
ike proposal 1 #ike 提议
 encryption-algorithm aes-256  #加密算法
 dh group14 #支持最大的秘钥宽度
 authentication-algorithm sha2-256 #认证算法
 authentication-method pre-share  #使用共享密钥作为认证方式 
 integrity-algorithm hmac-sha2-256 #ike协商时所使用的完整性算法
 prf hmac-sha2-256 #ike协商时所使用的伪随机数产生函数的算法
#
ike peer all #创建ike对等体
 pre-shared-key 123456 #共享的密钥为123456
 ike-proposal 1 #使用ike提议1
#
ipsec profile fw2-1 #创建一个ipsec的安全框架
 ike-peer all #调用ike对等体
 proposal 1 #调用安全提案
ipsec profile fw2-2 #下同
 ike-peer all
 proposal 1
#
interface Tunnel0 #创建虚拟接口0
 ip address 192.168.50.1 255.255.255.0 #（可以使用内部地址）
 tunnel-protocol gre #隧道类型为gre
 source 100.1.3.2 #设置源地址
 destination 100.1.1.2 #设置目的地址
 ipsec profile fw2-1 #提用ipsec的安全框架
#
interface Tunnel1 #下同
 description 100.1.2.2
 ip address 192.168.60.1 255.255.255.0
 tunnel-protocol gre
 source 100.1.3.2
 destination 100.1.2.2
 ipsec profile fw2-2
 #
 firewall zone untrust 
 add interface Tunnel0 #把虚拟接口0加入untrsut区域
 add interface Tunnel1 #下同
 #
 ip route-static 192.168.20.0 255.255.255.0 Tunnel0 preference 150 track ip-link fw2-1 #配置
 静态路由把目的为192.168.20.0的下一跳定向到tunnel 0，并且联动ip-link fw2-1，设置优先级为150，使
 转发20.0网段数据包优先转发到tunnel0
ip route-static 192.168.20.0 255.255.255.0 Tunnel1 preference 100 track ip-link fw2-2 #下同
#
security-policy #进入策略
 rule name trust-untrsut #进入名称为trust-untrust的策略（这里包含了vpn通道中trust访问untrust的）
 所以就没有配vpn中trust到untrust部分
  source-zone trust #源区域 trust
  destination-zone untrust #目的区域
  service icmp #允许的服务
  action permit #允许行为
 rule name local-trust #下同
  source-zone local
  destination-zone trust
  action permit
 rule name trust-local
  source-zone trust
  destination-zone local
  action permit
 rule name untrust-local
  source-zone untrust
  destination-zone local
  action permit
 rule name local-untrust
  source-zone local
  destination-zone untrust
  action permit
 rule name vpn
  source-zone untrust
  destination-zone trust
  source-address 192.168.20.0 mask 255.255.255.0  #这里对untrust区域访问trust区域的ip进行源地址限定
  ，只能是20.0网段的进行访问。
  service icmp
  action permit
  
  fw2

#下同
ipsec proposal 1
 esp authentication-algorithm sha2-256 
 esp encryption-algorithm aes-256 
#
ike proposal 1
 encryption-algorithm aes-256 
 dh group14 
 authentication-algorithm sha2-256 
 authentication-method pre-share
 integrity-algorithm hmac-sha2-256 
 prf hmac-sha2-256 
#
ike peer all
 pre-shared-key 123456
 ike-proposal 1
ike peer fw1-2
#
ipsec profile fw1-1
 ike-peer all
 proposal 1
ipsec profile fw1-2
 ike-peer all
 proposal 1
#
interface Tunnel0
 ip address 192.168.30.1 255.255.255.0
 tunnel-protocol gre
 source 100.1.1.2
 destination 100.1.3.2
 ipsec profile fw1-1
#
interface Tunnel1
 ip address 192.168.40.1 255.255.255.0
 tunnel-protocol gre
 source 100.1.2.2
 destination 100.1.3.2
 ipsec profile fw1-2
#
firewall zone untrust
 add interface Tunnel0
 add interface Tunnel1
#
ip route-static 192.168.10.0 255.255.255.0 Tunnel0 preference 150 track ip-link fw1-1
ip route-static 192.168.10.0 255.255.255.0 Tunnel1 preference 100 track ip-link fw1-2
#
security-policy
 rule name trust-untrsut
  source-zone trust
  destination-zone untrust
  service icmp
  action permit
 rule name local-trust
  source-zone local
  destination-zone trust
  action permit
 rule name trust-local
  source-zone trust
  destination-zone local
  action permit
 rule name local-unttrsut
  source-zone local
  destination-zone untrust
  action permit
 rule name untrust-local
  source-zone untrust
  destination-zone local
  action permit
 rule name vpn
  source-zone untrust
  source-address 192.168.10.0 mask 255.255.255.0
  service icmp
  action permit

效果：

isis：

isp1查看路由表：

在这里插入图片描述

isp1 查看isis路由表：

在这里插入图片描述

ipsec vpn：

fw1查看nat转换情况：在这里插入图片描述

pc机ping的过程：

在这里插入图片描述

模拟fw2 g1/0/1端口down后的情况：

在这里插入图片描述

说明：第一次请求超时是因为从fw2-1转换为fw2-2，第二次超时是fw2-2转换为fw2-1

ip-link：

查看链路侦测的状态：

在这里插入图片描述

点到多点VPN
earthtoearth的博客
06-27 1080
实验思路：在IPSEC服务与客户端之间建立IPSEC通道，其中服务端IP地址固定，客户端IP地址不固定。在IPSEC拨号分支端的IPSEC策略上添加如上命令，使没有流量同样能够建立IPSEC。上述设置情况下仅能通过PC2发起（IPSEC拨号分支）发起才能建立IPSEC。（二）按拓扑所示配置防火墙区域接口、安全策略等（此处省略）（二）防火墙端口拨号服务端、IPSEC拨号客户端设置。（一）按拓扑所示配置接口地址（此处省略）（三）防火墙IPSEC拨号服务端设置。（一）路由器端口拨号服务端设置。
华为IPSEC总部对多点的配置
suweichao的博客
12-30 4896
ipsec总部对多点配置命令配置 学了两个月的HCNA，网上搜索仅有一点对一点的ipsec配置，现在自己能做一点对多点了给大家发一下自己写的配置以及拓扑图。 命令配置 sysname r1 snmp-agent local-engineid 800007DB03000000000000 snmp-agent clock timezone China-Standard-Time minus...
华为防火墙IPSEC点到多点（SA+NAT穿越）策略模板方式成功配置
04-27
华为防火墙IPSEC点到多点（SA+NAT穿越）策略模板方式成功配置 全命令
IPsec VPN与SSL VPN实验思路（eNSP）
最新发布
WuYiCheng666的博客
05-12 595
本实验演示了VPN网络的搭建过程，涵盖IPsec与SSL VPN的配置、安全策略设计及故障排查方法。VPN技术在网络安全中的核心作用。防火墙多区域安全策略的精细化控制。NAT与VPN共存的解决方案。
ENSP 防火墙配置IPSecVPN点到多点
h1008685的博客
04-09 3262
ipsec点到多点配置详解，应用场景，web访问防火墙报错【关闭物理机防火墙】
华为ensp防火墙ipsec-vpn点到多点场景（1总-3分）
白话聊网络的博客
07-02 1591
该场景适用于点到多点的毕设、大作业、课程等场景，该拓扑只不过是把各公司内网简化成一台pc，同学们要有举一反三的能力。需求很简单，中间的R代表互联网（公网），企业场景1总部对三分部，用过防火墙进行ipsec vpn点到多点部署。不要质疑我答案的正确性，我百分百保证，你照着敲大概率也会做不通，要具有排障能力。连通性正常后，ping各个分部的业务，观察ike sa 和ipsec sa。初次完成全补配置后，测试过程中均丢2个包，丢包为arp的过程，真机不会。杜绝拿着配置复制粘贴，不通就来质疑我的答案，真是可笑！
安全HCIP之IPSec点到多点
XiaoHG_优快云的博客
10-10 1426
IPSec点到多点 优点 方便扩展分支，增加分支其它机构不需要增加ipsec相关配置； 配置简单，所有分支只需要指向总部即可； 分支机构可以不使用固定公网IP地址； 缺点 所有分支互访流量必须绕行总部（当然，多数情况下分支只需和总部通信）； 流量必须先由分支触发来建立ipsec vpn隧道； 无法启用ospf学习路由； 适用情况 分支间互访流量很少，多数流量是分支和总部互访流量，支持远程出差人员拨号访问，分支数量不要过多建议少于15个（感兴趣流量配置较多） ...
建立点到多点的IPSec隧道（IKE安全策略方式）
友人A的博客
07-09 3321
主机PC1与PC2、PC3之间可以安全的通信，PC2、PC3通过USG5500A进行安全通信，USG5500A与USG5500B、USG5500C之间使用IKE自动协商建立安全通道，USG5500B、USG5500C不直接建立任何IPSec连接。 USG5500A与USG5500B、USG5500C均为固定公网地址。
IPsec vpn 配置实验（一端动态地址）
m0_69435261的博客
12-30 1361
因为本篇文章，就是IPsec的实验配置的话，是有一端IP地址不固定的情况下，就需要用到野蛮模式的，第一阶段会更改模式啦，两端都需要更改对于地址固定的总部来说，需要以下注意的点：1） 动态模板 ：如拓扑图中，R1是地址固定那一段，然后它想和自己的分部R3建立IPsec VPN，在不清楚R3的IP地址下，是无法用常规的办法来配置，我们就只能用template来建立2）无需设置ACL： 因为我们并不清楚分部那边有哪些私网的网段那如何去与一端地址不固定的设备建立IPsec 呢？
IPSEC点到多点（SA+NAT穿越）策略模板方式成功配置
frankluwei的专栏
12-13 7115
IPSEC点到多点（SA+NAT穿越）策略模板方式成功配置   USG5500A 与USG5500C、USG5500D建立IPSEC VPN Tunnel，其中USG5500C穿越USG5500B NAT；USG5500A 、USG5500D  undo nat traversal。 ISP配置（用路由器模仿Internet） dis cur # sysname ISP
IPsec VPN（实验）
weixin_74436091的博客
11-20 2288
R1-Tunnel0/0/1]tunnel-protocol gre ## 定义隧道协议类型为GRE。[Huawei-GigabitEthernet0/0/1]ipsec policy myvpn //加入到连接外网的接口。[Huawei-Tunnel0/0/0]nhrp entry multicast dynamic //设置为监听连接模式。[Huawei-Tunnel0/0/0]tunnel-protocol gre p2mp //隧道设置为点对多点。
IPsec×××点对多点
weixin_33854644的博客
03-19 1285
IPsec ×××点对多点 AR1<Huawei>DIS CU[V200R003C00]#acl number 3000 rule 10 permit ip source 192.168.10.0 0.0.0.255 destination 10.10.10.0 0.0.0.255 acl number 3500 rule 5 permit ip source 192.168.1...
锐捷动态IPSEC---点对多
qq_50966485的博客
02-04 2586
网络系统管理
安全防御--IPsec VPN点到点的实验
m0_70534140的博客
04-24 1510
在计算机和网络安全领域中，数据认证是指验证数据在传输和存储过程中的完整性、真实性和合法性的过程。数据在传输和存储过程中容易受到数据篡改、损坏或未经授权的访问和修改的风险，数据认证可以帮助防止这些风险并提高数据的安全性和可靠性。数据认证的主要作用包括：1，防止数据被篡改和损坏：通过数据认证可以验证数据的完整性，确保数据没有被篡改或损坏。2，防止未经授权的访问和修改：数据认证可以验证数据的真实性和合法性，确保只有经过授权的用户才能访问和修改数据。
点对多点 IPsec+GRE 配置
weixin_34375054的博客
12-20 747
点对多点 IPsec+GRE 配置 试验拓扑： 基本配置： Hub Router hostname Hub ! crypto isakmp policy 1 authentication pre-share crypto isakmp key cisco47 address 0.0.0.0 //0.0.0...
ipsec ip替换_点到多点ipsec-vpn NAT穿透和固定IP共存
weixin_39678163的博客
12-20 525
总部#snmp-agent local-engineid 800007DB03000000000000snmp-agent#clock timezone Indian Standard Time minus 05:13:20clock daylight-saving-time Day Light Saving Time repeating 12:32 9-1 12:32 11-2300:00 20...
深入理解点对点VPN的安全与配置
weixin_42263617的博客
05-01 253
本章深入探讨了点对点VPN（Peer-to-Peer VPNs）的内部工作原理，安全配置以及其与传统VPN的区别。通过分析点对点VPN的路由机制，包括服务提供商网络中的路由学习和路由信息的重新分配，以及客户路由器的安全策略，揭示了点对点VPN如何在保证安全的同时进行优化配置。同时，本章对比了点对点VPN与覆盖VPN（Overlay VPNs）的特点和差异，并强调了点对点VPN在配置灵活性和网络复杂性方面的挑战。
华为ensp企业网ipsec-vpn点到多点部署
白话聊网络的博客
09-20 1009
KM-AR2220-AR1-ike-proposal-5] encryption-algorithm aes-cbc-128 //配置认证算法。[KM-AR2220-AR1-ipsec-policy-isakmp-isp-10] proposal tran1 //绑定安全提议。[KM-AR2220-AR1-ipsec-policy-isakmp-isp-10] ike-peer SY //绑定ike邻居。[KM-AR2220-AR1]ike proposal 5 //配置ike安全提议。
OpenVPN的点对点简单实现
ecloud_developer的博客
04-10 1106
把服务端的ca.crt、client.crt、client.key、ta.key四个文件拷贝到客户端的统一目录下（默认安装目录为C:\Program Files\OpenVPN\config\），并在该目录下新建client.ovpn配置文件，配置内容为。改动三：创建密码检查脚本，目录在/etc/openvpn/server/user/checkpsw.sh。改动四：客户端删掉client.crt和client.key两个证书文件，并对配置文件进行修改。改动一：修改服务端server.conf配置文件。
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

潘博裕

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值