• 产品与解决方案
  • 行业解决方案
  • 服务
  • 支持
  • 合作伙伴
  • 新华三人才研学中心
  • 关于我们

04-典型配置案例(AC+FIT AP)

目录

113-H3C无线控制器云简网络VPN典型配置举例(V7)

本章节下载 113-H3C无线控制器云简网络VPN典型配置举例(V7)  (802.01 KB)

113-H3C无线控制器云简网络VPN典型配置举例(V7)

H3C无线控制器云简网络VPN典型配置举例

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

Copyright © 2023 新华三技术有限公司 版权所有,保留一切权利。

非经本公司书面许可,任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部,并不得以任何形式传播。

除新华三技术有限公司的商标外,本手册中出现的其它公司的商标、产品标识及商品名称,由各自权利人拥有。

本文档中的信息可能变动,恕不另行通知。



1  云简网络VPN

1.1  云简网络VPN简介

云简网络VPN依托云平台,采用Hub-Spoke方式建立VPN专属隧道,保证在线业务的安全性。

·     中心-Hub设备:数据中心或者企业总部局域网的接入设备,作为VPN分支的中心的终结设备。建议同一组网中,将所有Hub设备加入一个场景。目前云简网络同一个组网支持两个Hub设备。

·     分支-Spoke设备:各个分支的接入设备,为VPN的发起设备。建议同一组网中,将网络位置类似的Spoke设备加入同一个场景。

·     VPN域:云简网络VPN提供在同一个用户视图可共享的VPN域,此VPN域由Hub设备设定,固定的Tunnel地址范围、预置共享密钥、域优先级、IKE安全提议参数、IPsec策略模式以及算法,一旦设定不能修改。

·     云简VPN场景:为已纳管的H3C设备之间建立VPN隧道,可配置中心-Hub设备、分支-Spoke设备。

·     标准IPsec场景:为未纳管的设备(包含第三方设备)和已纳管的设备之间建立VPN隧道,可配置中心-Hub设备、分支-Spoke设备。

图1 云简网络VPN组网结构

 

登录云简网络并进入网络管理页面后,在左侧导航栏中选择“配置 > AC > 网络 > VPN配置”,进入VPN配置页面。

1.2  VPN监控

点击“VPN监控”页签,进入VPN监控页面查看VPN隧道信息,以单个VPN隧道为单位显示。VPN隧道建立在两台设备之间,只要VPN隧道的任意一端在选定分支(或场所)内,就能加载该VPN隧道。

·     点击页面左上角的<刷新>按钮可更新当前VPN隧道信息。

·     点击VPN隧道信息右侧的详情按钮,可以显示VPN隧道详情。

·     点击VPN隧道信息右侧的重置VPN按钮,重新协商IKE提议和IPsec策略。

·     点击VPN隧道信息右侧的链路质量按钮,可以以图表方式查看隧道的链路速率、丢包率、时延和抖动信息

·     VPN状态显示为绿色表示正常、红色表示异常。

图2 VPN监控

 

图3 VPN详情

 

图4 链路质量

 

2  配置前提

本文档适用于使用Comware软件版本的无线控制器产品,不严格与具体软硬件版本对应,如果使用过程中与产品实际情况有差异,请参考相关产品手册,或以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证,配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置,为了保证配置效果,请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解ADVPN、IPsec相关特性。

3  使用限制

·     目前仅WX2510H、WX2540H、WX2560H、WX3508H、WX3510H、WX3520H、LSUM1WCME0、EWPXM1WCME0、LSQM1WCMX20、LSUM1WCMX20RT、LSQM1WCMX40、LSUM1WCMX40RT、EWPXM2WCMD0F和EWPXM1MAC0F支持本特性。

·     Hub和Spoke需处于网关所在位置,私网网段的DHCP等相关配置不支持通过云简网络自动下发,需按照实际组网需求完成私网配置。

4  配置举例

4.1  云简VPN场景(中心VPN和分支VPN必须是云简网络纳管设备)

4.1.1  组网需求

在Hub和Spoke之间建立一条VPN隧道,对Host A所在的子网(11.1.1.0/24)与Host B所在的子网(10.1.2.0/24)之间的数据流进行安全保护。

图5 云简VPN场景

 

4.1.2  配置步骤

1. 中心VPN

(1)     点击“中心VPN”页签,然后点击<增加(云简VPN场景)>按钮,进入“增加中心VPN”页面;

(2)     增加中心VPN,配置如下:

¡     出接口选择公网接口,连接WAN则选WAN口,否则选择对应VLAN接口;

¡     输入WAN口IP地址或者对应VLAN接口IP地址;

¡     输入与现有不重复的VPN域名(此处是创建);

¡     输入与现有不重复的tunnel地址范围;

¡     输入需要通信的私网地址段,多个地址段需要用逗号隔开;

¡     其它参数可采用缺省配置;

¡     点击<保存>按钮保存VPN配置,点击<应用>按钮,保存并向设备下发VPN配置。

图6 增加中心VPN

 

2. 分支VPN

(1)     点击“分支VPN”页签,然后点击<增加(云简VPN场景)>按钮,进入“增加分支VPN”页面;

(2)     增加分支VPN,配置如下:

¡     出接口选择公网接口,连接WAN则选WAN口,否则选择对应VLAN接口;

¡     选择需要建立隧道的中心VPN的VPN域;

¡     选择需要通信的私网地址段;

¡     其它参数可采用缺省配置;

¡     点击<保存>按钮保存VPN配置,点击<应用>按钮,保存并向设备下发VPN配置。

图7 增加分支VPN

 

4.1.3  验证配置

中心VPN和分支VPN私网地址段可以相互ping通。

4.2  标准IPsec场景(中心VPN为未纳管设备,分支VPN为纳管设备)

4.2.1  组网需求

在Hub和Spoke之间建立一条VPN隧道,对Host A所在的子网(3.3.3.0/24)与Host B所在的子网(11.1.1.0/24)之间的数据流进行安全保护。

图8 云简VPN场景

 

4.2.2  配置步骤

1. 中心VPN

(1)     点击“中心VPN”页签,然后点击<增加(标准IPsec场景)>按钮,进入“增加中心VPN”页面;

(2)     点击“第三方设备”页签,配置如下:

¡     设备名称;

¡     预共享密钥AE80DBE4494433EC;

¡     公网地址;

¡     VPN域为test99;

¡     中心FQDN为test999;

¡     其它参数可采用缺省配置;

¡     点击<保存>按钮保存配置。

图9 中心VPN第三方设备

 

(3)     中心VPN为未纳管设备,命令行配置如下:(其它厂商的第三方设备请使用相关功能对应的配置)

interface Vlan-interface1

 ip address 192.168.106.40 255.255.255.0

 ipsec apply policy test99

 

 ipsec transform-set test99

 esp encryption-algorithm aes-cbc-256

 esp authentication-algorithm md5

 

 

 ipsec policy-template test99 1

 transform-set test99

 ike-profile 0000CloudNetIpsecSceneProfile

 reverse-route dynamic

 

 ipsec policy test99 1 isakmp template test99

 

 ike profile 0000CloudNetIpsecSceneProfile

 keychain 0000CloudNetIpsecSceneKeyChain

 dpd interval 10 retry 3 periodic

 exchange-mode aggressive

 local-identity fqdn test999

 match remote identity domain test99

 proposal 25530

 

 ike proposal 25530

 encryption-algorithm aes-cbc-256

 

 ike keychain 0000CloudNetIpsecSceneKeyChain

 pre-shared-key address 0.0.0.0 0.0.0.0 key simple AE80DBE4494433EC

2. 分支VPN

(1)     点击“分支VPN”页签,然后点击<增加(标准IPsec场景)>按钮,进入“增加分支VPN”页面;

(2)     点击“已纳管设备”页签,配置如下:

¡     设备名称和出接口;

¡     VPN域为test99;

¡     分支FQDN为test99;

¡     VPN保护的业务流量为11.1.1.0/24子网和3.3.3.0/24子网的流量;

¡     其它参数可采用缺省配置;

¡     点击<保存>按钮保存VPN配置,点击<应用>按钮,保存并向设备下发VPN配置。

图10 分支VPN已纳管设备

 

4.2.3  验证配置

VPN保护的业务流量两端可以互相ping通,配置成功。

4.3  标准IPsec场景(中心VPN为纳管设备,分支VPN为未纳管设备)

4.3.1  组网需求

在Hub和Spoke之间建立一条VPN隧道,对Host A所在的子网(11.1.1.0/24)与Host B所在的子网(8.8.8.0/24)之间的数据流进行安全保护。

图11 云简VPN场景

 

4.3.2  配置步骤

1. 中心VPN

(1)     点击“中心VPN”页签,然后点击<增加(标准IPsec场景)>按钮,进入“增加中心VPN”页面;

(2)     点击“已纳管设备”页签,配置如下:

¡     设备名称和出接口;

¡     公网地址;

¡     VPN域为test56(注意区分大小写);

¡     中心FQDN为test556(注意区分大小写);

¡     预共享密钥:AE80DBE4494433EC;

¡     其它参数可采用缺省配置;

¡     点击<保存>按钮保存VPN配置,点击<应用>按钮,保存并向设备下发VPN配置。

图12 中心VPN已纳管设备

 

2. 分支VPN

(1)     点击“分支VPN”页签,然后点击<增加(标准IPsec场景)>按钮,进入“增加分支VPN”页面;

(2)     点击“第三方设备”页签,配置如下:

¡     设备名称;

¡     VPN域为test56;

¡     分支FQDN为test556;

¡     点击<保存>按钮保存配置。

图13 分支VPN第三方设备

 

(3)     分支VPN为未纳管设备,命令行配置如下:(其它厂商的第三方设备请使用相关功能对应的配置)

interface Tunnel10000 mode ipsec

 ip address 112.0.0.50 255.255.255.0

 source GigabitEthernet1/0/5

 

 destination 192.168.106.193

 tunnel protection ipsec profile test56 acl name cloudNet-test56

 

ip route-static 11.1.1.0 24 Tunnel10000

 

 acl advanced name cloudNet-test56

 rule 0 permit ip source 8.8.8.0 0.0.0.255 destination 11.1.1.0 0.0.0.255

 

ipsec transform-set test56

 esp encryption-algorithm aes-cbc-256

 esp authentication-algorithm md5

 

 ipsec profile test56 isakmp

 transform-set test56

 ike-profile test56

 

 ike profile test56

 keychain 0000CloudNetIpsecSceneKeyChain

 dpd interval 10 retry 3 periodic

 exchange-mode aggressive

 local-identity fqdn test556.test56

 proposal 18513

 

 ike proposal 18513

 encryption-algorithm aes-cbc-256

 

 ike keychain 0000CloudNetIpsecSceneKeyChain

 pre-shared-key address 192.168.106.193 255.255.255.255 key simple AE80DBE4494433EC

4.3.3  验证配置

中心VPN和分支VPN私网网段可以相互ping通,配置成功。

 

不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!

新华三官网
联系我们