基于虚拟隧道的IPsec -华三 MSR26 路由器对接Juniper SSG

Posted

tags:

篇首语:本文由小常识网(cha138.com)小编为大家整理,主要介绍了基于虚拟隧道的IPsec -华三 MSR26 路由器对接Juniper SSG相关的知识,希望对你有一定的参考价值。

业务需要,做个IPSec,本来想做传统的基于策略的IPsec,后面想了下还是做基于虚拟隧道的IPSec*后续方便扩展。这种不同厂商设备做 威皮N 本来就各种问题,做之前就心有揣之。

果不其然配置过程遇到几个问题,找了厂家,厂家回复说很少做基于虚拟隧道的*,一时半会找不到问题,后续还是自己一步步排查**

H3C路由配置:
配置第一阶段协商参数比较重要,华三路由器有默认的,但是不同厂商之间默认参数有时候会对不上

ike local-name h3c                //设置本地ID

ike proposal 20  //配置第一阶段参数
 dh group2
 authentication-algorithm md5
 encryption-algorithm des-cbc 
 authentication-method pre-share

ike peer juniperfw                  //配置对等体,因为本端ADSL无固定IP,本地ID跟对端ID 要两端匹配上
 exchange-mode aggressive
 proposal 20
 pre-shared-key cipher 123456
 id-type name
 remote-name juniper
 local-name h3c

ipsec transform-set method1       //配置二阶段参数
 encapsulation-mode tunnel
 transform esp
 esp authentication-algorithm md5
 esp encryption-algorithm des

ipsec profile tojuniper
 ike-peer juniperfw
 transform-set method1

interface Tunnel10
 ip address 1.1.1.1 255.255.255.252
 tunnel-protocol ipsec ipv4
 source Dialer10        //引用拨号口
 destination <对端公网IP>
 ipsec profile tojuniper

ip route-static 172.31.1.1 255.255.255.0 Tunnel10

Juniper 配置:
创建tunnel口,IP地址跟对端对上

技术图片

配置Ipsec 网关:

技术图片

对端是adsl无固定地址,选择Dynamic IPaddress (peer ID 要对上对端的配置)

技术图片

点高级,local ID 也要两端对上 ,出接口选对,阶段1 proposal 要跟对端proposal匹配上,选择野蛮模式

技术图片

页面选择s-AutoKEY IKE : 创建IKE 这里设置阶段2的参数:

技术图片

点高级:阶段2参数两端一致 , 选择tunnel接口

技术图片

最后写上duidu对端路由指向 tunnel口 ,然后配置放行策略。

以上是关于基于虚拟隧道的IPsec -华三 MSR26 路由器对接Juniper SSG的主要内容,如果未能解决你的问题,请参考以下文章

[转帖] IPsec相关知识 --未知来源

ASA防火墙上实现IPSec 虚拟专用网

IPsec篇(7.0) 04. 如何快速删除IPsec安全隧道 ❀ 飞塔 (Fortinet) 防火墙

配置GRE 隧道

PPTP,L2TP,IPSec和SSL VPN的区别

IPsec ××× 总结