網絡運維|防火墻的IPSecVPN典型應用案例

2020-06-11 17:49 作者：艾銻無限 瀏覽量：

大家好，我是一枚從事IT外包的網絡安全運維工程師，今天和大家分享的是網絡安全設備維護相關的內容，在這里介紹下支持NAT穿越IPSec配置實例，網絡安全運維，從Web管理輕松學起,一步一步學成網絡安全運維大神。

網絡維護是一種日常維護，包括網絡設備管理(如計算機，服務器)、操作系統維護(系統打補丁，系統升級)、網絡安全(病毒防范)等。+

北京艾銻無限科技發展有限公司為您免費提供給您大量真實有效的北京網絡維護服務，北京網絡維修信息查詢，同時您可以免費資訊北京網絡維護，北京網絡維護服務，北京網絡維修信息。專業的北京網絡維護信息就在北京艾銻無限+
+

北京網絡維護全北京朝陽豐臺北京周邊海淀、大興、昌平、門頭溝、通州、西城區、燕郊、石景山、崇文、房山、宣武、順義、平谷、延慶全北京網絡維護信息
設備同時充當IPSec和NAT網關

當總部與分支機構均需要通過NAT轉換訪問Internet，且總部與分支機構之間需要建立IPSec隧道安全通信的情況下，可以配置設備同時充當IPSec和NAT網關。

組網需求

如圖10-14所示，總部通過USG_A與Internet連接，分支機構通過USG_B與Internet連接。

分支機構用戶PC2可以主動發起建立IPSec隧道請求與總部用戶PC1通信，且無需經過NAT轉換。

所有可以公開訪問的服務器均部署在總部，分支機構部署的服務器僅供分支機構使用，即總部無需主動發起建立IPSec隧道請求與分支機構通信。

分支機構用戶和總部用戶均需要通過NAT轉換訪問Internet。USG_A為總部的NAT設備，USG_B為分支機構的NAT設備。

圖  設備同時充當IPSec和NAT網關 

配置思路

1. 完成USG_A和USG_B的基本配置、包括接口、轉發策略、本地策略、路由的配置。

2. 在USG_A和USG_B上完成IPSec的配置。由于只有分支機構主動訪問總部服務器，因此在配置USG_A時，無需指定“對端地址”。

3. 在USG_A和USG_B上完成源NAT的配置。訪問Internet的數據流都要經過NAT轉換，而經過IPSec隧道的數據流不需要經過NAT轉換，故要在NAT配置中進行區分。

操作步驟

1. 配置USG_A的接口基本參數。

a. 選擇“網絡 > 接口 > 接口”。

b. 在“接口列表”中，單擊GE0/0/1對應的。

c. 在“修改GigabitEthernet”界面中，配置如下：

· 安全區域：trust

· IP地址：10.0.0.1

· 子網掩碼：255.255.255.0

d. 單擊“應用”。

e. 在“接口列表”中，單擊GE0/0/2對應的。

f. 在“修改GigabitEthernet”界面中，配置如下：

· 安全區域：untrust

· IP地址：200.0.0.1

· 子網掩碼：255.255.255.0

g. 單擊“應用”。

2. 配置USG_A的安全策略。

a. 配置Local安全區域和Untrust安全區域之間的安全策略。

. 選擇“防火墻 > 安全策略 > 本地策略”。

i. 在“本地策略”中單擊“新建”。配置如下參數：

· 源安全區域：untrust

· 源地址：200.0.1.0/24

· 動作：permit

ii. 單擊“應用”。

a. 配置Trust安全區域和Untrust安全區域之間的安全策略。

i. 選擇“防火墻 > 安全策略 > 轉發策略”。

ii. 在“轉發策略列表”中單擊“新建”。配置如下參數。

· 源安全區域：trust

· 目的安全區域：untrust

· 源地址：10.0.0.0/24

· 目的地址：10.0.1.0/24

· 動作：permit

iii. 單擊“應用”。

iv. 重新在“轉發策略列表”中單擊“新建”。配置如下參數。

· 源安全區域：untrust

· 目的安全區域：trust

· 源地址：10.0.1.0/24

· 目的地址：10.0.0.0/24

· 動作：permit

v. 單擊“應用”。

1. 參考1、2以及上面的表格，完成USG_B的基本配置。

2. 配置USG_A的IPSec隧道。

a. 選擇“VPN > IPSec > IPSec”，單擊“新建”，選擇“場景”為“點到點”。

b. 配置USG_A的IPSec策略基本信息。由于只有分支用戶主動訪問總部服務器，因此在配置USG_A的IPSec策略基本信息時，無需配置“對端地址”，預共享密鑰為abcde。

c. 在“待加密的數據流”中單擊“新建”，按如下數據增加一條數據流規則。

d. 展開“安全提議”中的“高級”，按如下參數配置IPSec安全提議。

下圖中所使用的安全提議參數全部為缺省配置，用戶可以直接使用而不用逐一對照配置。如果實際應用場景中對安全提議參數有明確要求時，可以對安全提議參數進行修改，且隧道兩端所使用的安全提議配置必須相同。

 
e. 單擊“應用”，完成USG_A的IPSec配置。

3. 在USG_A上完成源NAT的配置。

a. 選擇“防火墻 > NAT > 源NAT”。

b. 選擇“NAT地址池”頁簽。

c. 在“NAT地址池列表”中，單擊“新建”。

d. 在“新建NAT地址池”界面中，配置NAT地址池addresspool1，如圖10-15所示。

圖10-15  配置NAT地址池addresspool1 


e. 單擊“應用”。

f. 選擇“源NAT”頁簽。

g. 在“源NAT策略列表”中，單擊“新建”。

在“新建源NAT”界面中，配置總部用戶與分支機構用戶通信時不進行NAT轉換，

h. 單擊“應用”。

i. 在“源NAT策略列表”中，單擊“新建”。

在“新建源NAT”界面中，配置總部用戶訪問Internet時進行NAT轉換，引用NAT地址池addresspool1，

j. 單擊“應用”。

4. 配置到分支的缺省路由。

a. 選擇“路由 > 靜態 > 靜態路由”。

b. 在“靜態路由列表”中，單擊“新建”，依次輸入或選擇各項參數，具體參數配置如下：

· 目的地址：0.0.0.0

· 掩碼：0.0.0.0

· 下一跳：200.0.0.2

其他參數均為缺省值。

a. 單擊“應用”。

1. 配置USG_B的IPSec隧道。

a. 選擇“VPN > IPSec > IPSec”，單擊“新建”，選擇“場景”為“點到點”。

b. 配置USG_B的IPSec策略基本信息，并指定對端網關，預共享密鑰為abcde。

c. 在“待加密的數據流”中單擊“新建”，按如下數據增加一條數據流規則。

d. 展開“安全提議”中的“高級”，按如下參數配置IPSec安全提議。

本例中所使用的安全提議參數全部為缺省配置，用戶可以直接使用而不用逐一對照配置。如果實際應用場景中對安全提議參數有明確要求時，可以對安全提議參數進行修改，且隧道兩端所使用的安全提議配置必須相同。

 e. 單擊“應用”。完成USG_B的IPSec配置。

2. 在USG_B上完成源NAT的配置。

a. 選擇“防火墻 > NAT > 源NAT”。

b. 選擇“NAT地址池”頁簽。

c. 在“NAT地址池列表”中，單擊“新建”。

在“新建NAT地址池”界面中，配置NAT地址池addresspool1，

d. 單擊“應用”。

e. 選擇“源NAT”頁簽。

f. 在“源NAT策略列表”中，單擊“新建”。

g. 在“新建源NAT”界面中，配置分支用戶與總部機構用戶通信時不進行NAT轉換，

h. 單擊“應用”。

i. 在“源NAT策略列表”中，單擊“新建”。

在“新建源NAT”界面中，配置分支用戶訪問Internet時進行NAT轉換，引用NAT地址池addresspool1，

j. 單擊“應用”。

3. 配置到總部的缺省路由。

a. 選擇“路由 > 靜態 > 靜態路由”。

b. 在“靜態路由列表”中，單擊“新建”，依次輸入或選擇各項參數，具體參數配置如下：

· 目的地址：0.0.0.0

· 掩碼：0.0.0.0

· 下一跳：200.0.1.2

其他參數均為缺省值。

c. 單擊“應用”。

以上文章由北京艾銻無限科技發展有限公司整理