- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
02-IPSec VPN隧道
本章节下载： 02-IPSec VPN隧道 (1.57 MB)
本文档介绍了H3C SecPath工控防火墙IPSec VPN隧道功能组网配置举例。
本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请参考相关产品手册或以设备实际情况为准。
本文档中的配置均是在实验室环境下进行的配置和验证。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。
本文档假设您已了解IPSec、数据认证和数据加密等特性 。
如下图所示，两台工控防火墙设备 工控防火墙(A)和工控防火墙(B)的VPN服务端口(GE0/1)通过网络连接，可以内部网络，也可以是公网，两台防火墙VPN通道协商成功后，建立起VPN隧道，实现本端子网和远端子网之间的加密数据传输。
图1 IPSec隧道组网
· 两台工控防火墙必须是同一型号，运行同一固件版本。
· 配置IPSec VPN通道时，两端的IKE版本要相同。
· 工控防火墙包含预共享密钥、数字证书两种身份认证类型方式
本举例是在工控防火墙的Version 3.1，ESS 6601版本上进行配置和验证的。
图2 新建SA
图3 新建SA
IKE版本v1和v2的区别为，v1只支持设置一个本地子网，v2支持多个本地子网，此处设置为IKEv1。防火墙的IPSec VPN隧道的auto设为add：
图4 新建IKEv1隧道
设置为IKEv2版本时，可本地子网可添加多个，而对端子网则不需要填写。
图5 新建IKEv2隧道
防火墙的IPSec VPN隧道的auto设为start，IKE版本设置为IKEv1：
图6 新建IKEv1隧道
设置为IKEv2版本时，可本地子网可添加多个，而对端子网则不需要填写：
图7 新建IKEv2隧道
以上配置完成后，在防火墙系统监控—vpn状态—IPSec隧道状态处查看：
图8 隧道状态
在开启VPN隧道时，在防火墙A内网主机17.1.8.174上可访问防火墙B内网主机14.1.8.11
图9 检查网络连通
在防火墙B主机14.1.8.11上可访问防火墙A主机17.1.8.174：
图10 检查网络连通
图11 生成本地证书
同样操作，将防火墙B生成本地证书并导出
图12 导入远端证书
导入后证书如下：
图13 导入远端证书
以相同方式在防火墙B的远端证书处导入防火墙A的证书
图14 配置数字证书SA
同样方式配置防火墙B数字证书SA，本地证书选择自己生成的，远端证书选择对端test。
IKE版本v1和v2的区别为，v1只支持设置一个本地子网，v2支持多个本地子网。此处设置为IKEv1，防火墙的IPSec VPN隧道的auto设为add：
图15 配置通道
防火墙的IPSec VPN隧道的auto设为start：
图16 配置通道
以上配置完成后，在防火墙系统监控—vpn状态—IPSec隧道状态处查看：
图17 隧道状态
在开启VPN隧道时，在防火墙A内网主机17.1.8.174上可访问防火墙B内网主机14.1.8.11
图18 检查网络连通
在防火墙B内网主机14.1.8.11上可访问防火墙A主机17.1.8.174：
图19 检查网络连通
(1) 工控防火墙(A)和工控防火墙(B)隧道可以协商并建立成功；
(2) 隧道协商成功后，工控防火墙(A)和工控防火墙(B)子网间可以互相通信。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
