H3C-防火墙IPSec配置案例(主模式)

news2025/1/26 14:42:31

目录

  • 1.IPSec简述:
  • 2.IPSec应用场景:
  • 3.网络拓扑及说明:
  • 4.案例背景:
  • 5.网络配置:
    • 5.1 基础网络配置:
      • 5.1.1 总部防火墙基础配置:
      • 5.1.2 分部防火墙基础配置:
      • 5.1.3 互联网路由器基础配置:
      • 5.1.4 总部服务器基础配置:
      • 5.1.5 总部PC基础配置:
    • 5.2 IPSec配置:
      • 5.2.1 总部防火墙IPSec配置:
        • 5.2.1.1 配置感兴趣流:
        • 5.2.1.2 配置ike提议:
        • 5.2.1.3 配置ike keychain（IKE秘钥）:
        • 5.2.1.4 配置ike profile（IKE模板）：
        • 5.2.1.5 配置IPsec tranform-set（ipsec转换集/模板）:
        • 5.2.1.6 配置ipsec policy（ipsec策略）:
        • 5.2.1.7 接口调用ipsec策略:
      • 5.2.2 分部防火墙IPSec配置:
        • 5.2.2.1 配置感兴趣流:
        • 5.2.2.2 配置ike提议:
        • 5.2.2.3 配置ike keychain（IKE秘钥）:
        • 5.2.2.4 配置ike profile（IKE模板）：
        • 5.2.2.5 配置IPsec tranform-set（ipsec转换集/模板）:
        • 5.2.2.6 配置ipsec policy（ipsec策略）:
        • 5.2.2.7 接口调用ipsec策略:
      • 5.2.3 IPSec验证:
        • 5.2.3.1 网络联通性验证,分部PC可以正常访问总部服务器:
        • 5.2.3.2 安全联盟及隧道信息验证:
  • 6.小结:

1.IPSec简述:

  • 1.IPSec VPN是采用IPSec协议来实现远程接入的一种VPN技术。IPSec全称为Internet Protocol Security，是由Internet Engineering Task Force（IETF）定义的一套为IP网络提供安全性的协议和服务的集合。
  • 2.随着Internet的迅速发展，越来越多的组织和个人需要在公共网络上安全地传输数据。IPSec VPN应运而生，通过在公共网络上建立加密通道，实现了对远程访问和数据传输的安全保护。

2.IPSec应用场景:

  • 远程办公：员工可以通过IPSec VPN远程访问公司内部网络，实现安全、高效的远程办公。
  • 分支机构互联：企业可以通过IPSec VPN将分布在不同地区的分支机构网络连接起来，形成一个统一的虚拟专用网络，方便管理和资源共享。
  • 移动设备访问：移动设备用户可以通过IPSec VPN安全地访问公司内部资源和数据，实现移动办公和数据传输。
  • 安全数据传输：通过IPSec VPN，企业可以在公共网络上安全地传输敏感数据和重要信息，防止数据泄露和篡改。

3.网络拓扑及说明:

在这里插入图片描述
1.网络设备地址:

序号设备名称接口ip地址/掩码
1总部防火墙g1/0/1201.1.1.1/24
2总部防火墙g1/0/210.1.1.254/24
3分部防火墙g1/0/1201.1.1.1/24
4分部防火墙g1/0/210.1.1.254/24
5总部服务器eth210.1.1.1/24
6分部PCg0/1172.16.1.1/24

4.案例背景:

  • 某企业分部PC需要访问总部服务器业务资源;

5.网络配置:

5.1 基础网络配置:

5.1.1 总部防火墙基础配置:

#
interface GigabitEthernet1/0/1             --防火墙对接互联网接口
 ip address 201.1.1.1 255.255.255.0
 manage ping inbound
 manage ping outbound
 ipsec apply policy 1
#
interface GigabitEthernet1/0/2             --防火墙对接内网接口
 ip address 10.1.1.254 255.255.255.0
 manage ping inbound
 manage ping outbound
#
security-zone name Trust                  --配置trust区域
 import interface GigabitEthernet1/0/2    --把g1/0/2接口加入trust区域
#
security-zone name Untrust                --配置untrust区域
 import interface GigabitEthernet1/0/1    --把g1/0/1接口加入untrust区域
#
 ip route-static 0.0.0.0 0 201.1.1.254     --出口默认路由
#
nat global-policy                          --全局nat策略
 rule name ipsec                           --ipsec流量不做nat转换
  source-zone trust
  destination-zone untrust
  source-ip subnet 10.1.1.0 24
  destination-ip subnet 172.16.1.0 24
  action snat no-nat
 rule name internet                        --正常上网流量做nat转换
  source-zone trust
  destination-zone untrust
  source-ip subnet 10.1.1.0 24
  action snat easy-ip
#
security-policy ip                         --安全域策略
 rule 0 name T_to_U                        --放行ipsec trust到untrust的流量
  action pass
  source-zone trust
  destination-zone untrust                 
  source-ip-subnet 10.1.1.0 255.255.255.0
  service any
 rule 1 name U_T_L                         --放行互联网到防火墙自身的流量
  action pass
  source-zone untrust
  destination-zone local
  service any
 rule 2 name L_T_U                         --放行防火墙自身到互联网的流量
  action pass
  source-zone local
  destination-zone untrust
  service any
 rule 3 name U_to_T                        --放行ipsec untrust到trust的流量
  action pass
  source-zone untrust
  destination-zone trust
  source-ip-subnet 172.16.1.0 255.255.255.0
  service any
#
--安全策略可以根据自己的需求再做细化

5.1.2 分部防火墙基础配置:

#
interface GigabitEthernet1/0/1             --防火墙对接互联网接口
 ip address 202.1.1.1 255.255.255.0
 manage ping inbound
 manage ping outbound
 ipsec apply policy 1
#
interface GigabitEthernet1/0/2             --防火墙对接内网接口
 ip address 172.16.1.254 255.255.255.0
 manage ping inbound
 manage ping outbound
#
security-zone name Trust                  --配置trust区域
 import interface GigabitEthernet1/0/2    --把g1/0/2接口加入trust区域
#
security-zone name Untrust                --配置untrust区域
 import interface GigabitEthernet1/0/1    --把g1/0/1接口加入untrust区域
#
 ip route-static 0.0.0.0 0 202.1.1.254     --出口默认路由
#
nat global-policy                          --全局nat策略
 rule name ipsec                           --ipsec流量不做nat转换
  source-zone trust
  destination-zone untrust
  source-ip subnet 172.16.1.0 24
  destination-ip subnet 10.1.1.0 24
  action snat no-nat
 rule name internet                        --正常上网流量做nat转换
  source-zone trust
  destination-zone untrust
  source-ip subnet 172.16.1.0 24
  action snat easy-ip
#
security-policy ip                         --安全域策略
 rule 0 name T_to_U                        --放行ipsec trust到untrust的流量
  action pass
  source-zone trust
  destination-zone untrust                 
  source-ip-subnet 172.16.1.0 255.255.255.0
  service any
 rule 1 name U_T_L                         --放行互联网到防火墙自身的流量
  action pass
  source-zone untrust
  destination-zone local
  service any
 rule 2 name L_T_U                         --放行防火墙自身到互联网的流量
  action pass
  source-zone local
  destination-zone untrust
  service any
 rule 3 name U_to_T                        --放行ipsec untrust到trust的流量
  action pass
  source-zone untrust
  destination-zone trust
  source-ip-subnet 10.1.1.0 255.255.255.0
  service any
#
--安全策略可以根据自己的需求做细化

5.1.3 互联网路由器基础配置:

#
interface GigabitEthernet0/1                    --对接总部防火墙
 port link-mode route
 combo enable copper
 ip address 201.1.1.254 255.255.255.0
#
interface GigabitEthernet0/2                    --对接分部防火墙
 port link-mode route
 combo enable copper
 ip address 202.1.1.254 255.255.255.0
#

5.1.4 总部服务器基础配置:

在这里插入图片描述在这里插入图片描述

5.1.5 总部PC基础配置:

在这里插入图片描述

5.2 IPSec配置:

5.2.1 总部防火墙IPSec配置:

5.2.1.1 配置感兴趣流:
#
acl advanced 3000
 rule 0 permit ip source 10.1.1.0 0.0.0.255 destination 172.16.1.0 0.0.0.255  
#
5.2.1.2 配置ike提议:
#
ike proposal 1                      --创建ike proposal 1
  encryption-algorithm aes-cbc-128  --加密算法为aes-cbc-128
  authentication-method pre-share   --认证方法为预共享秘钥
  authentication-algorithm sha      --认证算法为sha
#
5.2.1.3 配置ike keychain（IKE秘钥）:
#
ike keychain test                  -- 创建预共享秘钥
 pre-shared-key address 202.1.1.1 255.255.255.255 key simple asd12345678  -- 指定对端地址202.1.1.1/32，设置秘钥为asd12345678
#
5.2.1.4 配置ike profile（IKE模板）：
#
ike profile test                                          -- 创建模板test
 keychain test                                            -- 指定使用的秘钥 test
 local-identity address 201.1.1.1                         -- 指定使用IP地址标识本端身份
 match remote identity address 202.1.1.1 255.255.255.255  -- 指定匹配对端的身份类型为ip地址
 proposal 1                                               -- 指定使用的提议 proposal 1
#
5.2.1.5 配置IPsec tranform-set（ipsec转换集/模板）:
#
ipsec transform-set test                    -- 创建ipsec转换集test 
  esp encryption-algorithm aes-cbc-128      -- 指定esp加密算法
  esp authentication-algorithm sha1         -- 指定esp认证算法
  protocol esp                              -- 指定安全协议为esp   
  encapsulation-mode tunnel                 -- 指定封装模式为隧道模式
#
5.2.1.6 配置ipsec policy（ipsec策略）:
#
ipsec policy 1 10 isakmp      -- 创建ipsec安全策略
 transform-set test           -- 指定ipsec转换集
 security acl 3000            -- 调用感兴趣流
 local-address 201.1.1.1      -- 指定隧道的本端地址
 remote-address 202.1.1.1     -- 指定隧道的对端地址
 ike-profile test             -- 指定IPsec安全策略模板引用的IKE模板
#
5.2.1.7 接口调用ipsec策略:
#
interface GigabitEthernet1/0/1
 ipsec apply policy 1
#

5.2.2 分部防火墙IPSec配置:

5.2.2.1 配置感兴趣流:
#
acl advanced 3000
 rule 0 permit ip source 172.16.1.0 0.0.0.255 destination 10.1.1.0 0.0.0.255
#
5.2.2.2 配置ike提议:
#
ike proposal 1                      --创建ike proposal 1
  encryption-algorithm aes-cbc-128  --加密算法为aes-cbc-128
  authentication-method pre-share   --认证方法为预共享秘钥
  authentication-algorithm sha      --认证算法为sha
#
5.2.2.3 配置ike keychain（IKE秘钥）:
#
ike keychain test                  -- 创建预共享秘钥
 pre-shared-key address 201.1.1.1 255.255.255.255 key simple asd12345678  -- 指定对端地址201.1.1.1/32，设置秘钥为asd12345678
#
5.2.2.4 配置ike profile（IKE模板）：
#
ike profile test                                          -- 创建模板test
 keychain test                                            -- 指定使用的秘钥 test
 local-identity address 202.1.1.1                         -- 指定使用IP地址标识本端身份
 match remote identity address 201.1.1.1 255.255.255.255  -- 指定匹配对端的身份类型为ip地址
 proposal 1                                               -- 指定使用的提议 proposal 1
#
5.2.2.5 配置IPsec tranform-set（ipsec转换集/模板）:
#
ipsec transform-set test                    -- 创建ipsec转换集test 
  esp encryption-algorithm aes-cbc-128      -- 指定esp加密算法
  esp authentication-algorithm sha1         -- 指定esp认证算法
  protocol esp                              -- 指定安全协议为esp   
  encapsulation-mode tunnel                 -- 指定封装模式为隧道模式
#
5.2.2.6 配置ipsec policy（ipsec策略）:
#
ipsec policy 1 10 isakmp      -- 创建ipsec安全策略
 transform-set test           -- 指定ipsec转换集
 security acl 3000            -- 调用感兴趣流
 local-address 202.1.1.1      -- 指定隧道的本端地址
 remote-address 201.1.1.1     -- 指定隧道的对端地址
 ike-profile test             -- 指定IPsec安全策略模板引用的IKE模板
#
5.2.2.7 接口调用ipsec策略:
#
interface GigabitEthernet1/0/1
 ipsec apply policy 1
#

5.2.3 IPSec验证:

5.2.3.1 网络联通性验证,分部PC可以正常访问总部服务器:

在这里插入图片描述

5.2.3.2 安全联盟及隧道信息验证:

在这里插入图片描述在这里插入图片描述在这里插入图片描述

6.小结:

  • IPSec VPN是一种高效、安全、通用的VPN技术，广泛应用于远程办公、分支机构互联、移动设备访问和安全数据传输等场景。

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/2281674.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

windows下本地部署安装hadoop+scala+spark-【不需要虚拟机】

windows下本地部署安装hadoop+scala+spark-【不需要虚拟机】

注意版本依赖【本实验版本如下】 Hadoop 3.1.1 spark 2.3.2 scala 2.11 1.依赖环境 1.1 java 安装java并配置环境变量【如果未安装搜索其他教程】 环境验证如下： C:\Users\wangning>java -version java version "1.8.0_261" Java(TM) SE Runti…
阅读更多...
vim如何显示行号

vim如何显示行号

:set nu 显示行号 :set nonu 不显示行号 （vim如何使设置显示行号永久生效：vim如何使相关设置永久生效-CSDN博客）
阅读更多...
国产编辑器EverEdit - 命令窗口应用详解

国产编辑器EverEdit - 命令窗口应用详解

1 命令窗口应用详解 1.1 应用场景 有时需要在EverEdit中执行一些命令行工具，甚至想把当前文档做为参数，传递给命令进行一些文本分析，比如：一些常用的文本处理工具，gawk.exe等。 1.2 使用方法 命令窗口的使用在官方手…
阅读更多...
Linux C\C++编程-文件位置指针与读写文件数据块

Linux C\C++编程-文件位置指针与读写文件数据块

【图书推荐】《Linux C与C一线开发实践（第2版）》_linux c与c一线开发实践pdf-CSDN博客 《Linux C与C一线开发实践（第2版）（Linux技术丛书）》(朱文伟，李建英)【摘要 书评 试读】- 京东图书 Linu…
阅读更多...
vue2使用flv.js在浏览器打开flv格式视频

vue2使用flv.js在浏览器打开flv格式视频

组件地址&#xff1a;GitHub - bilibili/flv.js: HTML5 FLV Player flv.js 仅支持 H.264 和 AAC/MP3 编码的 FLV 文件。如果视频文件使用了其他编码格式就打不开。 flv.vue <template><div><el-dialog :visible.sync"innerVisibleFlv" :close-on-pre…
阅读更多...
Linux下Ubuntun系统报错find_package(BLAS REQUIRED)找不到

Linux下Ubuntun系统报错find_package(BLAS REQUIRED)找不到

Linux下Ubuntun系统报错find_package(BLAS REQUIRED)找不到 这次在windows的WSL2中遇到了一个非常奇怪的错误&#xff0c;就是 CMake Error at /usr/share/cmake-3.22/Modules/FindPackageHandleStandardArgs.cmake:230 (message):Could NOT find BLAS (missing: BLAS_LIBRAR…
阅读更多...
仿 RabbitMQ 的消息队列3（实战项目）

仿 RabbitMQ 的消息队列3（实战项目）

七. 消息存储设计 上一篇博客已经将消息统计文件的读写代码实现了&#xff0c;下一步我们将实现创建队列文件和目录。 实现创建队列文件和目录 初始化 0\t0 这样的初始值. //创建队列对应的文件和目录&#xff1a;public void createQueueFile(String queueName) throws IO…
阅读更多...
多线程杂谈：惊群现象、CAS、安全的单例

多线程杂谈：惊群现象、CAS、安全的单例

引言 本文是一篇杂谈&#xff0c;帮助大家了解多线程可能会出现的面试题。 目录 引言 惊群现象 结合条件变量 CAS原子操作&#xff08;cmp & swap&#xff09; 线程控制&#xff1a;两个线程交替打印奇偶数 智能指针线程安全 单例模式线程安全 最简单的单例&…
阅读更多...
腾讯 Hunyuan3D-2： 高分辨率3D 资产生成

腾讯 Hunyuan3D-2： 高分辨率3D 资产生成

腾讯 Hunyuan3D-2&#xff1a;高分辨率 3D 资产生成的突破 前言 在当今数字化时代&#xff0c;3D 资产生成技术正变得越来越重要。无论是游戏开发、影视制作还是虚拟现实领域&#xff0c;高质量的 3D 模型和纹理都是创造沉浸式体验的关键。然而&#xff0c;传统的 3D 资产制作…
阅读更多...
R语言学习笔记之开发环境配置

R语言学习笔记之开发环境配置

一、概要 整个安装过程及遇到的问题记录 操作步骤备注&#xff08;包含遇到的问题&#xff09;1下载安装R语言2下载安装RStudio3离线安装pacman提示需要安装Rtools4安装Rtoolspacman、tidyfst均离线安装完成5加载tidyfst报错 提示需要安装依赖&#xff0c;试错逐步下载并安装…
阅读更多...
DRG/DIP 2.0时代下基于PostgreSQL的成本管理实践与探索（上）

DRG/DIP 2.0时代下基于PostgreSQL的成本管理实践与探索（上）

一、引言 1.1 研究背景与意义 在医疗领域的改革进程中&#xff0c; DRG/DIP 2.0 时代&#xff0c;医院成本管理的重要性愈发凸显。新的医保支付方式下&#xff0c;医院的收入不再单纯取决于医疗服务项目的数量&#xff0c;而是与病种的分组、费用标准以及成本控制紧密相关。这…
阅读更多...
【数据结构】_顺序表

【数据结构】_顺序表

目录 1. 概念与结构 1.1 静态顺序表 1.2 动态顺序表 2. 动态顺序表实现 2.1 SeqList.h 2.2 SeqList.c 2.3 Test_SeqList.c 3. 顺序表性能分析 线性表是n个具有相同特性的数据元素的有限序列。 常见的线性表有&#xff1a;顺序表、链表、栈、队列、字符串等&#xff1b…
阅读更多...
缓存之美：万文详解 Caffeine 实现原理（下）

缓存之美：万文详解 Caffeine 实现原理（下）

上篇文章&#xff1a;缓存之美&#xff1a;万文详解 Caffeine 实现原理&#xff08;上&#xff09; getIfPresent 现在我们对 put 方法有了基本了解&#xff0c;现在我们继续深入 getIfPresent 方法&#xff1a; public class TestReadSourceCode {Testpublic void doRead() …
阅读更多...
VSCode下EIDE插件开发STM32

VSCode下EIDE插件开发STM32

VSCode下STM32开发环境搭建 本STM32教程使用vscode的EIDE插件的开发环境&#xff0c;完全免费&#xff0c;有管理代码文件的界面&#xff0c;不需要其它IDE。 视频教程见本人的 VSCodeEIDE开发STM32 安装EIDE插件 Embedded IDE 嵌入式IDE 这个插件可以帮我们管理代码文件&am…
阅读更多...
HTTP 配置与应用（局域网）

HTTP 配置与应用（局域网）

想做一个自己学习的有关的csdn账号&#xff0c;努力奋斗......会更新我计算机网络实验课程的所有内容&#xff0c;还有其他的学习知识^_^&#xff0c;为自己巩固一下所学知识&#xff0c;下次更新HTTP 配置与应用&#xff08;不同网段&#xff09;。 我是一个萌新小白&#xf…
阅读更多...
LiteFlow Spring boot使用方式

LiteFlow Spring boot使用方式

文章目录 概述LiteFlow框架的优势规则调用逻辑规则组件定义组件内数据获取通过 DefaultContext自定义上下文 通过 组件规则定义数据通过预先传入数据 liteflow 使用 概述 在每个公司的系统中&#xff0c;总有一些拥有复杂业务逻辑的系统&#xff0c;这些系统承载着核心业务逻…
阅读更多...
mysql学习笔记-数据库的设计规范

mysql学习笔记-数据库的设计规范

1、范式简介 在关系型数据库中&#xff0c;关于数据表设计的基本原则、规则就称为范式。 1.1键和相关属性的概念 超键:能唯一标识元组的属性集叫做超键。 候选键:如果超键不包括多余的属性&#xff0c;那么这个超键就是候选键 主键:用户可以从候选键中选择一个作为主键。 外…
阅读更多...
计算机网络 （55）流失存储音频/视频

计算机网络 （55）流失存储音频/视频

一、定义与特点 定义&#xff1a;流式存储音频/视频是指经过压缩并存储在服务器上的多媒体文件&#xff0c;客户端可以通过互联网边下载边播放这些文件&#xff0c;也称为音频/视频点播。 特点&#xff1a; 边下载边播放&#xff1a;用户无需等待整个文件下载完成即可开始播放…
阅读更多...
60，【1】BUUCF web [RCTF2015]EasySQL1

60，【1】BUUCF web [RCTF2015]EasySQL1

先查看源码 1&#xff0c;changepwd&#xff08;修改密码&#xff09; <?php // 开启会话&#xff0c;以便使用会话变量 session_start();// 设置页面的内容类型为 HTML 并使用 UTF-8 编码 header("Content-Type: text/html; charsetUTF-8");// 引入配置文件&…
阅读更多...
我谈概率论与数理统计的知识体系

我谈概率论与数理统计的知识体系

学习概率统计二十多年后&#xff0c;在廖老师的指导下&#xff0c;厘清了各章之间的关系。本来就是一条线两个分支&#xff0c;脉络很清晰。 分支一&#xff1a;从随机现象到样本空间到随机事件再到概率。 从随机事件到随机变量&#xff1a;为了进行定量的数学处理&#xff0…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023