• 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们

H3C SecPath ACG1000系列应用控制网关 典型配置举例(E6411 R6609)-6W107

目录

33-IPsec快速配置典型配置举例

本章节下载 33-IPsec快速配置典型配置举例  (464.09 KB)

docurl=/cn/Service/Document_Software/Document_Center/IP_Security/ACG/H3C_SecPath_ACG1000/Configure/Typical_Configuration_Example/ACG1000_CE(E6411_R6609)-6W107/202009/1334156_30005_0.htm

33-IPsec快速配置典型配置举例


1  IPsec快速配置简介

由于连锁酒店分支机构众多,IPSEC VPN业务的部署和维护非常复杂,给管理员的工作带来非常大的挑战:“VPN业务多变,管理复杂”,现有标准IPSEC VPN的配置比较繁琐,组网变化带来的配置改动比较大。因此急需提供一种易用性更好,配置更简洁的解决方案。IPSEC 快速配置就是在这样的场景下应运而生的。

按照以往VPN的配置,一个分支上线会有很多相关配置,步骤较多,且在隧道显示上也不太友好,主要表现在如下几个方面:

·     每个分支上线都需要创建IKE、IPsec和对应的tunnel口,然后在tunnel口配置感兴趣流,和对应的tunnel路由。中心端有多少个IP,分支端就需要创建多少个IKE、IPsec和tunnel口及tunnel路由。当走IPsec隧道的网段发生变化时,我们需要同步修改对应的感兴趣流和tunnel路由。当分支特别多的时候,对于管理员来说是一项非常巨大且繁琐的工作,很容易出现配置错误,不好排查。

·     在web页面查看各隧道的流量和状态时,每个隧道只能显示本端IP和对端IP,却不知道这条隧道对应的哪个分支,需要根据分支和IP的对应关系,才能知道属于哪个分支。且一个分支的多个感兴趣流会显示多个SA,无法聚合,显得比较杂乱,不便查看。

·     如果一个分支的私有网段和另一个分支的私有网段有冲突,如,都使用了192.168.10.1/24网段,则后上线的分支需要做NAT,转换为另外一个不冲突的网段才能正常工作。这个NAT配置需要绑定对应的隧道口,以明确只有过隧道的流量才需要转换。如果隧道口有变动,则相应的NAT配置也需要做对应变动。

鉴于以上配置上的繁琐和显示上的不友好,我们要做出改进,优化连锁酒店的IPSEC VPN管理工作,尽可能地使VPN配置自动化,简单化,甚至是傻瓜化,做到“快速上线、动态适应、部署简单”。

针对以上目标,IPsec快速配置具体的改进措施如下:

·     隐藏IKE/IPsec/tunnel口的创建过程。

管理员只需配置本端分支名称,对端IP和预共享密钥。后台根据这些配置,自动生成对应的IKE、IPsec和tunnel口,其它相关参数均使用内置的默认参数。

·     感兴趣流不再配置,tunnel路由不再配置。

管理员只需要配置本端的保护网段,即需要走IPsec的源网段。对端也是如此。当两端建立起IKE后,交互各自的保护网段,形成感兴趣流,同时以对端的保护网段为目的网段,生成对应的tunnel路由。

·     支持多线路备份。

高优先级线路断开后,无缝切换到低优先级的线路;当高优先级线路恢复后,再切换回高优先级线路。

·     NAT规则不再配置。

管理员只需要配置哪些源网段转换为哪些目的网段。后台会自动生成对应的NAT规则。

·     隧道状态展示优化。

页面显示隧道状态时,以分支名称为key,一条记录聚合显示该分支相关隧道的信息,便于查看,支持搜索。

2  配置前提

本文档中的配置均是在实验室环境下进行的配置和验证,配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置,为了保证配置效果,请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解快速IPsec特性。

3  使用限制

(1)     快速vpn模板不允许手动修改。

(2)     默认主模式,不支持DNAT。

(3)     感兴趣流保护接口只保护主地址,不支持从地址。

(4)     网段映射:一对一NAT映射,源网段和映射后网段掩码必须一致,按照IP的顺序进行一对一映射,(例如映射前ip为192.168.1.100;那么映射后就是172.16.21.100)。

(5)     网段映射:最多支持32个网段映射。

(6)     分支端:线路IP,设置线路对应的IP,线路IP必须在对端网关IP中。

4  创建IPsec快速配置

4.1  配置概述

IPsec配置的推荐步骤如下表所示。

表1 IPsec快速配置的推荐步骤

配置任务

说明

详细配置

节点基本信息配置

必选

4.2 

保护网段配置

必选

4.3 

高级选项配置(选路策略、网段映射)

可选

4.4 

 

4.2  节点基本信息配置

在导航栏中选择“VPN>IPsec-VPN>IPsec快速配置”,进入IPsec快速配置的显示页面,如图1图2图3所示。

图1 IPsec快速配置分支节点显示页面

 

图2 IPsec快速配置新建对端网关显示页面

 

图3 IPsec快速配置中心节点显示页面

 

页面的详细说明如4.2  图3表2

表2 IPsec快速配置显示页面的详细说明

项目

说明

名称

节点的IPSEC名称,多隧道时聚合隧道的名称显示成该名称

节点位置

包含分支节点、中心节点两种类型

新建对端网关

分支对端中心节点IP配置,多隧道时配置多个IP,IP最多配置4个,每配置一个IP就会自动生成一套IKE、IPSEC、tunnel的配置

本端IP配置

中心节点与分支对接的接口IP配置,多个接口配置多个IP,最多配置4个IP,每配置一个IP就会自动生成一套IKE、IPSEC、tunnel的配置

预共享密钥

用于分支和中心之间验证对端身份(长度为6-39个字符)

 

4.3  保护网段配置

在导航栏中选择“VPN>IPsec-VPN>IPsec快速配置”,进入IPsec保护网段的显示页面,单击<保护接口>按钮,在接口列表中选择<接口 >并设置掩码,或者单击<保护子网>按钮,设置保护网段和掩码,如图4所示。

图4 IPsec保护子网配置页面

 

点击左侧<保护接口>按钮可以保护接口配置选项,如图5所示。

图5 IPsec协商策略详细配置页面

 

页面的详细说明如4.3  图5表3所示。

表3 IPsec保护网段配置的详细说明

项目

说明

保护接口

自动根据保护接口IP及掩码生成保护网段,该网段会自动传递给对端网关,对端网关根据此保护网段自动生成相应tunnel口的路由

保护子网

该网段会自动传递给对端网关,对端网关根据此保护网段自动生成相应tunnel口的路由

 

输入完毕后,点击<添加到列表>,点击<提交>按钮,应用配置。

在IPsec保护网段列表中,点击保护网段右侧的<删除>按钮,可以删除对应的保护网段,或者选中多个条目,点击左上角的<删除>按钮,批量删除多个保护网段的配置。

4.4  高级选项配置

在导航栏中选择“VPN>IPsec-VPN>IPsec快速配置”,节点类型选择<分支节点>,单击对端网关<新建>按钮,进入分支节点“高级选项配置”。如图6所示。

图6 IPsec分支节点高级选项选路策略配置页面

 

输入线路名称、线路IP,点击<添加到列表>,点击<提交>应用配置。

点击右侧<网段映射>,进入高级选项-网段映射配置页面,如图7所示。

图7 IPsec分支节点高级选项网段映射配置页面

 

输入源网段、映射后网段,点击<添加到列表>,点击<提交>应用配置。

页面的详细说明如4.4  图7表4所示。

表4 IPsec高级选项的详细说明

项目

说明

选路策略

选路策略中的线路顺序决定了不同隧道的路由优先级,规格支持配置4条线路

线路名称

设置线路名称

线路IP

设置线路对应的IP,线路IP必须在对端网关IP中

网段映射

一对一NAT映射,源网段和映射后网段掩码必须一致,按照IP的顺序进行一对一映射,最多支持32个网段映射

源网段

映射前源网段

映射后网段

映射后目的网段,在对端网关看到的保护网段是映射后网段

说明:中心节点高线选项配置只有网段映射,没有选路策略,选路策略只需在分支节点配置,分支节点配置的选路策略会自动同步给中心节点。

4.5  IPsec状态监控

4.5.1  查看IPsec监控

在导航栏中选择“VPN>IPsec-VPN快速配置>IPsec监控”,进入IPsec监控显示页面。页面中显示了已经新建的IPsec聚合隧道。如图8图9所示。

图8 IPsec监控显示页面

 

页面的详细说明如4.5.1  图8表5

表5 IPsec监控显示页面的详细说明

项目

说明

名称

对端IPSEC名称

状态

IPSEC SA状态

流量(入/出)

聚合隧道的双向总流量

对端内网地址

对端保护网段

隧道数

分支与中心设备之间建立的隧道数量计数

接入时间

隧道建立时间

操作

点击可删除聚合隧道

点击聚合隧道左侧的按钮,可以展开显示各隧道的详细情况,如图9所示。

图9 展开显示隧道情况

 

页面的详细说明如图9表6

表6 IPsec监控显示页面的详细说明

项目

说明

隧道名称

隧道名称,显示为分支端配置的选路策略中的线路名称

状态

隧道IPSEC SA状态

流量(入/出)

隧道的双向流量统计

优先级

隧道优先级,多隧道备份时流量优先走优先级数值小的隧道,其它隧道做备份

隧道数

分支与中心设备之间建立的隧道数量计数

本端公网地址

隧道本端的公网地址

对端公网地址

隧道对端的公网地址

接入时间

隧道建立时间

 

5  IPsec快速配置举例

5.1  组网需求

图10所示,ACG A和ACG B之间建立两个安全隧道,对Host A 代表的子网(2.2.2.0/24)与Host B 代表的子网(13.13.13.0/24)之间的数据流进行安全保护,同时实现隧道备份。

图10 IPsec举例组网图

v

 

5.2  配置思路

按照组网图组网。

(1)     中心设备IPsec快速配置。

(2)     分支设备IPsec快速配置。

(3)     分支端选路策略配置。

5.3  使用版本

本举例是在R6608版本上进行配置和验证的。

5.4  配置步骤

5.4.1  配置ACG1000系列产品

(1)     中心设备IPsec快速配置

对设备ACG A的IPsec配置如图11所示。

图11 中心端IPsec快速配置

 

(2)     分支设备IPsec快速配置

对设备ACG B的IPsec快速配置如图12图13所示。

图12 分支端IPsec快速配置

 

图13 分支端设备选路策略配置

 

5.5  验证配置

在导航栏中选择“VPN>IPsec-VPN>IPsec快速配置> IPsec监控”,查看隧道建立状态。

图14 ACG A的IPsec监控

 

图15 ACG B的IPsec 监控

 

6  相关资料

·     《H3C SecPath ACG1000系列应用控制网关Web配置手册》中的“IPsec快速配置”

·     《H3C SecPath ACG1000系列应用控制网关 典型配置举例》中的“IPsec快速配置”

·     《H3C SecPath ACG1000系列应用控制网关对外测试手册》中的“IPsec快速配置”

·     《H3C SecPath ACG1000系列应用控制网关 用户FAQ》中的“IPsec快速配置”

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

新华三官网
联系我们