山石网科-Hillstone-路由模式的IPSEC-***之配置终结篇

首先，当然第一件事情，是要理清思路了，这一点对一个工程师来讲是必须且非常重要的一步。

第一步，新建IPsec-***。

第二步，配置第一阶段相关参数。（高级可选参数，DPD对端存活检测/NAT穿越都可以勾选上，这个不是协商参数）

第三步，配置第二阶段相关参数。注意（如果俩端都是山石设备，即可以不用配置代理ID，选择自动即可，若不是，请填写代理ID。PS：代理ID只是协商让IPsecUP的一项参数，并非定义感兴趣）

        高级可选参数中，将自动连接、×××隧道监测、×××隧道状态通知勾选。

第四步，配置tunnel接口，注意建立独立zone，并在配置时绑定刚刚建立的Ipsec

第五步，（可选，但一般为了优化，都会建立一条目的路由===对端公网/32位到本地公网接口的网关）

第六步，写目的路由tunnel接口到对端内网的路由，注意IP/掩码（10.1.1.0/24）

第七步，策略开放，这里可写any可精确到本地内网和对端内网。

        配置思维。DMZ区域流量通过tunnel接口区域-访问对端内网主机，并建立双向策略。

好了，不多说，上菜！！

第一步：建立IPsec ×××。IPsec ×××---新建，如下图所示。

   第二步：配置IKE的第一阶段参数。

            对端名称：命名-最好规范写方便维护

            接口：选择公网出接口

            模式：一般主模式

            类型：静态IP即可（后面再介绍动态IP、用户组）

            对端地址：对端设备的公网地址

            本地ID：默认不选

            对端ID：默认不选

            提议1：两端配置一样即可

            与共享密钥：俩端配置一样即可

      

           同时将高级参数中，将对端存活监测打开：基于DPD的一种监测方式。如下图所示：

      

      

     第三步：配置IKE的第二阶段参数。

              对端名称：请规范命名

              模式：默认使用tunnel

              P2提议：第二阶段协商算法，俩端配置一样即可

              代理ID：若两端设备都是山石设备直接默认选择自定即可。不一样的话填写俩端内网段

     同时开启高级参数当中的自动连接与×××隧道监测、通知×××隧道状态

第四步：将对端的设备配置完结，这样。我们的IPsec ×××就配置成功了。

        即到这一步后，两端的隧道就能建立起来了，如果没有建立起来，就需要检查配置了。

     查看方式见下图：

     显示如下：可看到，第一阶段已经正常起来了。使用的是UDP500端口，使用了NAT穿越之后使用UDP4500端口

     

     查看第二阶段：如下图：

    显示如下：可以看到active了，那就说明我们搞定了ipsec-***的配置。

第五步：然后现在我们建立tunnel接口和独立zone。

        网络连接---区域新建

    如下图：命名确认即可。其他的可选

    

    紧接着建立tunnel接口：

          

    参数配置如下： 

      tunnel接口IP地址，与内网不冲突。建议最好做好规范，方便后期维护。

      

     同时下拉到下面，将刚刚建立的ipsec-***绑定在这个tunnel接口上。

好了，到这里，我们的隧道和独立zone也建立完成了。我们现在就需要做路由了。

第六步：写隧道目的路由。路由---目的路由--，如下图

     配置如下：

     需要访问的对端内网段。下一跳指定tunnel接口。

   

这样就完成了，路由的配置就完成了。但是别忘了策略的放行，防火墙可是要放行策略才允许流量命中的。

第七步：找到策略，配置策略放行。

     注意，路由模式的ipsec-***，是基于路由做的。所以我们一定要弄清楚这个流量的走向。

这里简单的赘述一下，流量的走下。

     内网的流量------tunnel接口，通过tunnel接口到达对端----对端内网。

     所以我们这里的策略放行，源应该是dmz。也就是内网接口的区域

                                           目的是tunnel接口所在zone。

所以正确的写法如下：

好了，终于结束了，说了这么多，我都感觉有点low了。。

最后请各位测试内网互通。山石网科的×××延迟很小，作者经历了很多种类的防火墙，从线路上、内网中间件上的的选择。最后都是山石网科的延迟低一些。广告一枚吧。总之。

后期会补上冗余×××的配置方法以及日常维护心得。请各位看官敬请期待

     

转载于:https://blog.51cto.com/allen686/1679636