H优选CER系列路由器ISECVN的典型配置.docx
- 文档编号:29658583
- 上传时间:2023-07-26
- 格式:DOCX
- 页数:7
- 大小:17.13KB
H优选CER系列路由器ISECVN的典型配置.docx
《H优选CER系列路由器ISECVN的典型配置.docx》由会员分享,可在线阅读,更多相关《H优选CER系列路由器ISECVN的典型配置.docx(7页珍藏版)》请在冰豆网上搜索。
H优选CER系列路由器ISECVN的典型配置
H3CER系列路由器IPSECVPN的典型配置
ER系列路由器一端地址是静态IP,另一端是拨号方式获取IP时野蛮模式下的一对一IPSECVPN的典型配置
一、组网需求:
某公司存在分支机构A和分支机构B,两端的出口路由器都是ER5200,分别为RouterA和RouterB,RouterA处为静态IP,RouterB处为拨号方式获取的IP。
现在客户想在两个分支之间建立VPN来实现互通。
二、组网图:
三、配置步骤:
当一边的地址都是静态IP(RouterA),另外一边是拨号IP(RouterB)时,可采用野蛮模式建立IPSECVPN。
RouterA设置:
(1)设置虚接口:
VPN→VPN设置→虚接口
选择一个虚接口名称和与其相应的WAN1口绑定,单击<增加>按钮。
(2)设置IKE安全提议
VPN→VPN设置→IKE安全提议
输入安全提议名称,并设置验证算法和加密算法分别为MD5、3DES,单击<增加>按钮。
(3)设置IKE对等体
VPN→VPN设置→IKE对等体
输入对等体名称,选择对应的虚接口ipsec0。
在“对端地址”文本框中输入RouterB的IP地址为全0,选择野蛮模式的NAME类型,分别填写两端的ID。
(4)设置IPSec安全提议
VPN→VPN设置→IPSec安全提议
输入安全提议名称,选择安全协议类型为ESP,并设置验证算法和加密算法分别为MD5、3DES,单击<增加>按钮。
(5)设置IPSec安全策略
VPN→VPN设置→IPSec安全策略
RouterB设置:
(1)设置虚接口、
(2)设置IKE安全提议、(4)设置IPSEC安全提议、(5)设置IPSec安全策略,以上四步的设置与RouterA对应的步骤设置一致。
(3)设置IKE对等体
VPN→VPN设置→IKE对等体
输入对等体名称,选择对应的虚接口ipsec0。
在“对端地址”文本框中输入RouterA的IP地址,选择野蛮模式的NAME类型,分别填写两端的ID。
(6)路由设置
高级设置→路由设置→静态路由。
RouterA端设置:
RouterB端设置:
四、配置关键点:
1、首先要检查双方的公网链路是否互通,以确保VPN链路能正常建立。
建立好VPN后,作为VPN的分支端(RouterB)需要向总部(RouterA)主动ping包来触发VPN隧道的建立。
但是ER系列设备默认都是禁止pingWAN口地址的,所以在ping包之前需要实施以下步骤:
将“WAN口Ping扫描”选项前面的勾去掉并点击应用即可。
2、其次,在VPN的配置中要注意双方的参数一定要一致:
设置IKE安全提议时,验证算法和加密算法要一致;设置IKE对等体时,域共享密钥、DPD功能使用要一致;设置IPSec安全提议时,安全协议类型、验证算法和加密算法要一致;设置IPSec安全策略时,“本地子网IP/掩码”和“对端子网/IP掩码”要根据设置端如实填写,注意两端的配置正好相反。
3、静态路由配置要注意填写目的地址时,需要填写对端的子网地址,不要填写下一跳地址,直接选IPSEC子接口为出接口。
4、注意:
ER2100做IPSECVPN时,不需要配置静态路由。
ER系列路由器一端地址是静态IP,另一端是拨号方式获取IP时主模式下的一对一IPSECVPN的典型配置
一、组网需求:
某公司存在分支机构A和分支机构B,两端的出口路由器都是ER5200,分别为RouterA和RouterB,RouterA处为静态IP,RouterB处为拨号方式获取的IP。
现在客户想在两个分支之间建立VPN来实现互通。
二、组网图:
三、配置步骤:
当一边的地址都是静态IP(RouterA),另外一边是拨号方式获取的IP(RouterB)时,可采用主模式下的域名形式来建立VPN(前提是已经在www.3322.org网站申请好域名,分支B的域名为rb.3322.org)。
RouterA设置:
(1)设置虚接口:
VPN→VPN设置→虚接口
选择一个虚接口名称和与其相应的WAN1口绑定,单击<增加>按钮。
(2)设置IKE安全提议
VPN→VPN设置→IKE安全提议
输入安全提议名称,并设置验证算法和加密算法分别为MD5、3DES,单击<增加>按钮。
(3)设置IKE对等体
VPN→VPN设置→IKE对等体
输入对等体名称,选择对应的虚接口ipsec0。
在“对端地址”文本框中输入RouterB的域名,为rb.3322.org,选择主模式,并选择已创建的安全提议等信息,单击<增加>按钮。
(4)设置IPSec安全提议
VPN→VPN设置→IPSec安全提议
输入安全提议名称,选择安全协议类型为ESP,并设置验证算法和加密算法分别为MD5、3DES,单击<增加>按钮。
(5)设置IPSec安全策略
VPN→VPN设置→IPSec安全策略
RouterB设置与RouterA的设置类似,在设置IKE对等体时,需要在“对端地址”这栏填写RouterA的公网IP地址。
(6)路由设置
高级设置→路由设置→静态路由。
RouterA端设置:
RouterB端设置:
设置路由地址,配置静态路由时,指定目的地址网段后不需要指定下一跳地址,直接配置使用正确的IPSec虚接口即可。
四、配置关键点:
1、动态域名需要到www.3322.org网站申请,注册成功后,需要双方互ping对端的域名来验证彼此的公网地址是否可以成功解析并实现互通。
建立好VPN后,也需要ping包来触发VPN隧道的建立。
但是ER系列设备默认都是禁止pingWAN口地址的,通过域名解析出来的公网地址也必然不通,所以在ping包之前需要实施以下步骤:
将“WAN口Ping扫描”选项前面的勾去掉并点击应用即可。
2、在VPN的配置中要注意双方的参数一定要一致:
设置IKE安全提议时,验证算法和加密算法要一致;设置IKE对等体时,域共享密钥、DPD功能使用要一致;设置IPSec安全提议时,安全协议类型、验证算法和加密算法要一致;设置IPSec安全策略时,“本地子网IP/掩码”和“对端子网/IP掩码”要根据设置端如实填写,注意两端的配置正好相反。
3、静态路由配置要注意填写目的地址时,需要填写对端的子网地址,不要填写下一跳地址,直接选IPSEC子接口为出接口。
4、注意:
ER2100做IPSECVPN时,不需要配置静态路由。
ER系列路由器两端地址为静态IP时一对一IPSECVPN的典型配置
一、组网需求:
某公司存在分支机构A和分支机构B,两端的出口路由都是ER5200,分别为RouterA和RouterB,两端的公网地址都是静态IP形式。
现在客户想在两个分支之间建立VPN来实现互通。
二、组网图:
三、配置步骤:
当两边的地址都是静态IP时,可采用主模式建立IPSECVPN。
RouterA设置:
(1)设置虚接口:
VPN→VPN设置→虚接口
选择一个虚接口名称和与其相应的WAN1口绑定,单击<增加>按钮。
(2)设置IKE安全提议
VPN→VPN设置→IKE安全提议
输入安全提议名称,并设置验证算法和加密算法分别为MD5、3DES,单击<增加>按钮。
(3)设置IKE对等体
VPN→VPN设置→IKE对等体
输入对等体名称,选择对应的虚接口ipsec0。
在“对端地址”文本框中输入RouterB的IP地址,并选择已创建的安全提议等信息,单击<增加>按钮。
(4)设置IPSec安全提议
VPN→VPN设置→IPSec安全提议
输入安全提议名称,选择安全协议类型为ESP,并设置验证算法和加密算法分别为MD5、3DES,单击<增加>按钮。
(5)设置IPSec安全策略
VPN→VPN设置→IPSec安全策略
输入安全策略名称,在“本地子网IP/掩码”和“对端子网/IP掩码”文本框中分别输入客户分支机构A和B所处的子网信息,并选择协商类型为“IKE协商”、对等体为“ra”、安全提议为“ipsec”,单击<增加>按钮。
RouterB设置与RouterA的设置类似。
(6)路由设置
高级设置→路由设置→静态路由。
RouterA端设置:
RouterB端设置:
设置路由地址,配置静态路由时,指定目的地址网段后不需要指定下一跳地址,直接配置使用正确的IPSec虚接口即可。
(7)验证VPN是否建立成功
当VPN建立成功并触发后,可以通过查看“VPN→VPN状态”中的隧道是否建立来判断,隧道正确建立,则表示VPN建立成功。
四、配置关键点:
1、建立VPN时,要保证双方的公网地址可以互相ping通,建立好VPN后,也需要ping包来触发VPN隧道的建立。
但是ER系列设备默认都是禁止pingWAN口地址的,所以在ping包之前需要实施以下步骤:
将“WAN口Ping扫描”选项前面的勾去掉并点击应用即可。
2、在VPN的配置中要注意双方的参数一定要一致:
设置IKE安全提议时,验证算法和加密算法要一致;设置IKE对等体时,域共享密钥、DPD功能使用要一致;设置IPSec安全提议时,安全协议类型、验证算法和加密算法要一致;设置IPSec安全策略时,“本地子网IP/掩码”和“对端子网/IP掩码”要根据设置端如实填写,注意两端的配置正好相反。
3、静态路由配置要注意填写目的地址时,需要填写对端的子网地址,不要填写下一跳地址,直接选IPSEC子接口为出接口。
4、注意:
ER2100做IPSECVPN时,不需要配置静态路由。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 优选 CER 系列 路由器 ISECVN 典型 配置