配置穿越NAT设备建立IPSec隧道的示例

慈云数据 2024-05-28 技术支持 27 0

组网需求

当进行IPSec协商的两个对端设备之间存在NAT网关时,建立IPSec隧道的两端需要进行NAT穿越能力协商,因此两端设备都必须具备NAT穿越的能力。

如图1所示,分支网络出口网关RouterA、总部网络出口网关RouterB之间通过NATER进行地址转换,RouterA、RouterB之间建立支持NAT穿越的野蛮模式IPSec。

图1 IPSec穿越NAT功能组网图
操作步骤
  1. RouterA的配置

    #
     sysname RouterA  //设置设备的主机名
    #
     ike local-name RouterA  //设置IKE协商时本设备的ID       
    # 
    ipsec proposal rta  //创建一个IPSec提议
     esp authentication-algorithm sha2-256
     esp encryption-algorithm aes-192
    #
    ike proposal 5   //配置IKE提议
     encryption-algorithm aes-cbc-128   //V200R008及之后的版本,aes-cbc-128参数修改为aes-128
     dh group14
     authentication-algorithm sha2-256 
    #
    ike peer rta v1  //配置IKE对等体及其使用的协议时,不同的软件版本间的配置有差异:V200R008之前的版本命令为ike peer peer-name [ v1 | v2 ]。V200R008及之后的版本命令为ike peer peer-name和version { 1 | 2 },如果对等体IKEv1和IKEv2版本同时启用,设备发起协商时会使用IKEv2协议,响应协商时则同时支持IKEv1协议和IKEv2协议。自V200R008版本到V200R021版本,缺省情况下,对等体IKEv1和IKEv2同时启用。如果设备需要使用IKEv1协议,则可以执行命令undo version 2;V200R021及之后版本,缺省情况下,启用对等体IKEv2版本。如果设备需要使用IKEv1协议,需要先执行命令version 1,再执行命令undo version 2。
     Exchange-mode aggressive  //配置IKE的协商模式为野蛮模式
     pre-shared-key cipher %^%#JvZxR2g8c;a9~FPN~n'$7`DEV&=G(=Et02P/%\*!%^%#  //配置预共享密钥认证字为“YsHsjx_202206”,以密文显示,该命令在V2R3C00以前的版本中为“pre-shared-key YsHsjx_202206”,以明文显示
     ike-proposal 5
     local-id-type name  //配置IKE协商时本端的ID类型。V200R008及之后的版本,name参数修改为fqdn
     remote-name RouterB  //配置对端IKE peer名称,//配置对端IKE peer名称。V200R008及之后的版本,设备不支持命令remote-name,其命令功能等同于命令remote-id
     nat traversal   //使能NAT穿越功能。V200R008版本,设备默认使能NAT穿越功能,不支持配置此命令;但V200R008之后版本,支持配置此命令
    #                       
    ipsec policy-template rta_temp 1  //建一个安全策略模板
     ike-peer rta                             
     proposal rta                             
    #
    ipsec policy rta 1 isakmp template rta_temp  //指定采用策略模板创建安全联盟
    #
    interface Ethernet1/0/0
     ip address 1.2.0.1 255.255.255.0
     ipsec policy rta
    #
    interface Ethernet2/0/0
     ip address 10.1.0.1 255.255.255.0
    #                                         
    ip route-static 10.2.0.0 255.255.255.0 1.2.0.2  //配置到10.2.0.0网段的静态路由
    #
    return 

  2. RouterB的配置

    #
     sysname RouterB  //设置设备的主机名
    #                                         
     ike local-name RouterB  //设置IKE协商时本设备的ID        
    # 
    acl number 3000  //配置ACL
     rule 0 permit ip source 10.2.0.0 0.255.255.255 destination 10.1.0.0 0.255.255.255 
    #                                         
    ipsec proposal rtb  //创建一个IPSec提议
     esp authentication-algorithm sha2-256
     esp encryption-algorithm aes-192
    #                           
    ike proposal 5   //配置IKE提议
     encryption-algorithm aes-cbc-128   //V200R008及之后的版本,aes-cbc-128参数修改为aes-128
     dh group14
     authentication-algorithm sha2-256 
    #
    ike peer rtb v1  //配置IKE对等体及其使用的协议时,不同的软件版本间的配置有差异:V200R008之前的版本命令为ike peer peer-name [ v1 | v2 ]。V200R008及之后的版本命令为ike peer peer-name和version { 1 | 2 },如果对等体IKEv1和IKEv2版本同时启用,设备发起协商时会使用IKEv2协议,响应协商时则同时支持IKEv1协议和IKEv2协议。自V200R008版本到V200R021版本,缺省情况下,对等体IKEv1和IKEv2同时启用。如果设备需要使用IKEv1协议,则可以执行命令undo version 2;V200R021及之后版本,缺省情况下,启用对等体IKEv2版本。如果设备需要使用IKEv1协议,需要先执行命令version 1,再执行命令undo version 2。
     exchange-mode aggressive  //配置IKE的协商模式为野蛮模式
     pre-shared-key cipher %^%#K{JG:rWVHPMnf;5\|,GW(Luq'qi8BT4nOj%5W5=)%^%#  //配置预共享密钥认证字为“YsHsjx_202206”,以密文显示,该命令在V2R3C00以前的版本中为“pre-shared-key YsHsjx_202206”,以明文显示
     ike-proposal 5
     local-id-type name  //配置IKE协商时本端的ID类型。V200R008及之后的版本,name参数修改为fqdn
     remote-name RouterA   //配置对端IKE peer名称。V200R008及之后的版本,设备不支持命令remote-name,其命令功能等同于命令remote-id
     remote-address 1.2.0.1  //配置对端IKE peer地址
     nat traversal   //使能NAT穿越功能。V200R008版本,设备默认使能NAT穿越功能,不支持配置此命令;但V200R008之后版本,支持配置此命令
    #
    ipsec policy rtb 1 isakmp  //配置IPSec策略
     security acl 3000
     ike-peer rtb
     proposal rtb
    #                                         
    interface Ethernet1/0/0                   
     ip address 192.168.0.2 255.255.255.0
     ipsec policy rtb
    #                                         
    interface Ethernet2/0/0                   
     ip address 10.2.0.1 255.255.255.0
    #                                         
    ip route-static 0.0.0.0 0.0.0.0 192.168.0.1  //配置静态路由
    #
    return 

  3. NATER的配置

    #
     sysname NATER  //设置设备的主机名
    #
    acl number 3000  //配置ACL
     rule 0 permit ip source 192.168.0.0 0.0.0.255 destination 1.2.0.0 0.0.0.255
    #                                         
    interface Ethernet1/0/0                   
     ip address 1.2.0.2 255.255.255.0         
     nat outbound 3000  //接口下配置nat outbound
    #                                         
    interface Ethernet2/0/0            
     ip address 192.168.0.1 255.255.255.0  
    #
    return 
微信扫一扫加客服

微信扫一扫加客服

点击启动AI问答
Draggable Icon