防火墙侧操作步骤
前提条件
深信服虚拟防火墙的基本网络配置已完成。
操作步骤
- 登录防火墙管理界面。
- 配置防火墙上行口。
- 选择。
- 在eth0所在行单击“操作”列的“编辑”按钮，对接口属性进行配置。
- “所属区域”选择“L3_trust_A”，“基本属性”勾选“WAN口”。
- 使能防火墙IPSecVPN能力。
- 选择。
- 在“VPN运行状态”区域，勾选“开启VPN服务”。
- 配置IPSecVPN线路。
- 选择。
- 在“IPSec VPN线路”区域，单击“新增线路”。
- 根据界面提示配置参数。
参数说明如表1所示。此处仅对关键参数进行说明，非关键参数请保持默认。
- 单击“高级”区域内“展开设置”按钮，将“VPN接口”设置为“自定义设置”，VPN接口IP地址为防火墙的公网IP。
- 配置访问控制策略。
- 选择。
- 在“策略配置”页签下，单击“新建”。
- 配置应用控制策略，如表2所示。此处仅对关键参数进行说明，非关键参数请保持默认。
- 配置源NAT策略。
- 配置VPN连接信息。
- 选择，单击“新增第三方设备”。
- 根据界面提示配置参数。
参数说明如表4所示。此处仅对关键参数进行说明，非关键参数请保持默认。
表4 参数说明 区域
参数
说明
取值参数
基础配置
设备名称
选择VPN对端名称。
hwvpn-01
启/禁用
选择“启用”。
启用
对端设备地址类型
选择“固定IP”。
固定IP
对端IP地址
仅“对端设备地址类型”为“固定IP”时填写。
1.1.1.2
对端域名地址
仅“对端设备地址类型”为“动态域名”时填写。
-
认证方式-预共享密钥
需要和表3配置的预共享密钥保持一致。
Test@123
本端连接线路
需要选择配置IPSecVPN线路的IPSecVPN线路。
eth0（中国联通互联网固定IP）
加密数据流
加密数据流务必是子网1V1配置，例如：用户数据中心内存在2个子网，华为云VPC内包含2个子网，共需配置4条加密数据流。
首次配置时请单击“新增”添加加密数据流信息。
加密数据流1
- 本端地址：
- 本端内网服务：ALL Services
- 对端地址：192.168.0.0/24
- 对端内网服务：ALL Services
- 阶段二安全提议:
配置IPSec策略的信息，需要与表3配置的IPSec策略信息保持一致。
- 协议：ESP
- 加密算法：SHA2-256
- 认证算法：AES-256
- 密钥完美向前保密（PFS）：group 15
- 优先级：128
加密数据流2：
- 本端地址：
- 本端内网服务：
- 对端地址：192.168.1.0/24
- 对端内网服务：
- 阶段二安全提议：
配置IPSec策略的信息，需要与表3配置的IPSec策略信息保持一致。
- 协议：ESP
- 加密算法：SHA2-256
- 认证算法：AES-256
- 密钥完美向前保密（PFS）：group 15
- 优先级：128
加密数据流3
- 本端地址：
- 本端内网服务：ALL Services
- 对端地址：192.168.0.0/24
- 对端内网服务：ALL Services
- 阶段二安全提议:
配置IPSec策略的信息，需要与表3配置的IPSec策略信息保持一致。
- 协议：ESP
- 加密算法：SHA2-256
- 认证算法：AES-256
- 密钥完美向前保密（PFS）：group 15
- 优先级：128
加密数据流4
- 本端地址：
- 本端内网服务：ALL Services
- 对端地址：192.168.1.0/24
- 对端内网服务：ALL Services
- 阶段二安全提议:
配置IPSec策略的信息，需要与表3配置的IPSec策略信息保持一致。
- 协议：ESP
- 加密算法：SHA2-256
- 认证算法：AES-256
- 密钥完美向前保密（PFS）：group 15
- 优先级：128
IKE配置
IKE版本
选择“IKEv2”。
IKEv2
主动连接
选择“启用”。
启用
本端身份类型
选择“IP地址（IPV4_ADDR）”。
IP地址（IPV4_ADDR）
本端身份ID
当“对端设备地址类型”为“固定IP”或“动态域名”时，“本端身份类型”为“IP地址（IPV4_ADDR）”或“证书标识名称（DN）”的本端身份ID，可不填；当两端设备之间存在NAT环境时，身份ID必须填写。
1.1.1.1
对端身份类型
选择“IP地址（IPV4_ADDR）”。
IP地址（IPV4_ADDR）
对端身份ID
当“对端设备地址类型”为“固定IP”或“动态域名”时，“对端身份类型”为“IP地址（IPV4_ADDR）”或“证书标识名称（DN）”的对端身份ID，可不填；当两端设备之间存在NAT环境时，身份ID必须填写。
1.1.1.2
IKE SA超时时间
安全联盟（Security Association，SA）的生存时间。
在超过生存时间后，安全联盟将被重新协商。
- 单位：秒。
- 取值范围：600~864000
3600
D-H群
选择“group 15”。
group 15
DPD
自动发送DPD（Dead Peer Detection）报文来检测对端是否存活，以便及时删除错误隧道；需要两端同时启用或禁用。
启用
检测时间
- 单位：秒。
- 取值范围：5~60
30
超时次数
取值范围：1~6
5
阶段一安全提议
配置IKE策略的信息，需要与表3配置的IKE策略信息保持一致。
安全提议将发送到对端和对端安全提议对比，最终选取一个双方都支持的提议使用。
首次配置时请单击“添加”新增IKE策略信息。
- 加密算法：AES256
- 认证算法：SHA2-256
- 伪随机数生成函数（PRF）：SHA2-256
IPSec配置
重试次数
针对单次协商，协商包丢失或未收到时，重新发送协商包的次数。
- 取值范围：1~20
10
IPSec SA 超时时间
安全联盟（Security Association，SA）的生存时间。
在超过生存时间后，安全联盟将被重新协商。
- 单位：秒。
- 取值范围：600~864000
28800
过期时间
选择“禁用”。
禁用
