文档首页/ 虚拟专用网络 VPN/ 管理员指南/ 站点入云VPN经典版/ 示例：深信服防火墙配置
更新时间：2024-11-29 GMT+08:00
查看PDF
分享

示例：深信服防火墙配置

操作场景

用户数据中心的出口防火墙选用深信服设备，同时在DMZ区域旁路接入了一台IPsec VPN设备，需要通过VPN接入华为云网络。

拓扑连接

拓扑连接方式：

  • 使用防火墙设备直接和云端建立VPN连接。
  • 使用DMZ区域的专用VPN设备结合NAT穿越与云端建立VPN连接。

VPN接入方式的配置指导，相关信息说明如下：

  • 用户数据中心VPN设备私网IP：10.10.10.10/24
  • 用户数据中心用户子网：10.0.0.0/16
  • 防火墙出口IP：11.11.11.2/24，公网网关：11.11.11.1，VPN设备的NAT IP：11.11.11.11
  • 云端VPN网关IP：22.22.22.22，云端子网：172.16.0.0/16

现通过创建VPN连接方式来连通本地网络到VPC子网。

图1 深信服NAT场景

华为云端的VPN连接资源策略配置按照图2所示信息配置，使用DMZ区域专用的VPN设备进行NAT穿越连接时，协商模式修改为野蛮模式；使用防火墙进行连接协商模式选择缺省。

图2 华为云VPN策略配置

配置步骤

本示例以华为云端VPN配置信息为基础，详细介绍用户侧深信服设备的VPN配置。

  1. 配置IPsec VPN

    1. IKE一阶段配置

    选择“VPN > IPsec VPN > 第三方对接 > 第一阶段 ”，确认线路出口（深信服设备会针对该接口自动下发VPN路由信息），单击“新增”。

    图3 IKE一阶段配置

    在弹窗界面配置一阶段基本信息和高级配置项，配置界面如图4所示。

    图4 参数配置

    基本信息：

    • 设备名称：自主命名一阶段连接名称，二阶段会调用此设备名称下的相关配置。
    • 设备地址类型：选择“对端是固定IP”。
    • 固定IP：云端VPN网关IP，本示例IP：22.22.22.22
    • 认证方式：预共享密钥，即PSK，与云端密钥相同。
    • 启用设备/启用主动连接：可选。

    高级配置：

    • ISAKMP存活时间：与云端相同86400s。
    • 支持模式：深信服设备存在NAT穿越场景时请选择“野蛮模式”。
    • D-H群：与云端一致，选择“MODP1536群（5）”。
    • 本端/远端身份类型：IP地址，身份ID选择网关IP，NAT场景选择NAT后的IP。
    • 使用DMZ专用VPN设备选择开启NAT穿越，选择防火墙不开启NAT穿越。
    • DPD为可选配置（推荐不选），加密和认证算法与云端一致。
    1. IPsec二阶段配置

    选择“ VPN > IPsec VPN > 第三方对接 > 第二阶段 ”，分别新增“入站策略”和“出站策略”，详细配置如图5所示。

    图5 IPsec二阶段配置

    入站策略：

    • 策略名称：自主命名。
    • 源IP类型：选择“子网和掩码”。
    • 子网及掩码：填入流入本地设备的子网信息，多个子网逐条创建。
    • 对端设备：调用IKE一阶段配置的对端IP，此处选择一阶段【设备名称】。
    • 入站服务选择所有，生效时间选择全天，并启用该策略。

    出站策略：

    • 策略名称：自主命名策略。
    • 源IP类型：选择“子网和掩码”。
    • 子网及掩码：填入流出本地设备的子网信息，多个子网逐条创建。
    • 对端设备：调用IKE一阶段配置的对端IP，此处选择一阶段【设备名称】。
    • SA生存时间：选择和云端一致的3600s
    • 出站服务选择所有，生效时间选择全天，并启用该策略。
    • 密钥完美向前保密：启用，即开启PFS，DH group选择与IKE相同。
    1. 安全选项配置

      选择“ VPN > IPsec VPN > 第三方对接 > 安全选项 ”，单击“新增”，在弹出页面配置自定义名称，协议选择与云端相同的“ESP”，认证和加密算法也与云端配置相同，详细配置如图6所示。

      图6 安全选项配置

  2. 配置路由

    选择“ 网络 > 路由 > 静态路由 ”，单击“新增”。不同类别设备的操作页面存在差异。

    1. 使用DMZ区域专用VPN设备配置连接。
    • VPN设备使用原有缺省路由即可，对应VPN路由在IPsec配置时会自动生成；
    • 防火墙添加目标地址为云端子网，下一跳为VPN设备建立VPN连接的私网IP；
    1. 使用防火墙配置VPN连接（该场景下不涉及专用VPN设备配置）。
    • 防火墙添加目标地址为云端子网，下一跳为出接口的公网IP。

  3. 配置策略及NAT

    1. 选择“ 网络 > 地址转换 ”单击“新增”，配置NAT信息。
    2. 选择“ 访问控制 > 应用控制策略 ”单击“新增”，配置访问策略。

      在本示例拓扑中，选择防火墙或DMZ区域专用的VPN设备，在策略及NAT配置同样存在不同之处。

    3. 使用DMZ区域专用VPN设备配置连接。
      • 先配置网关地址两个方向的NAT信息

        WAN→DMZ（VPN设备所在区域）源地址ANY，目标地址：11.11.11.11，源端口ANY，目标端口选择AH、ESP、ICMP及UDP的500、4500，转换后IP:10.10.10.10。

        DMZ→ WAN 源地址：10.10.10.10，目标地址：22.22.22.22，源端口ANY，目标端口选择AH、ESP、ICMP及UDP的500、4500，转换后IP：11.11.11.11。

      • 配置云端子网和本地子网互访的两个方向放行策略

        WAN→LAN 源地址：172.16.0.0/16，目标地址：10.0.0.0/16，服务为ANY，策略为放行（不配置该网段访问的NAT）。

        LAN→ WAN 源地址：10.0.0.0/16，目标地址：172.16.0.0/16，服务为ANY，策略为放行（不配置该网段访问的NAT）。

    4. 使用防火墙配置VPN连接

      不需要配置NAT信息，需要配置子网间的放行策略，并添加VPN连接建立的放行策略。

      WAN→ DMZ（VPN设备所在区域） 源地址为ANY，目标地址：11.11.11.2（防火墙出接口地址），服务为AH、ESP、ICMP及UDP的500、4500，策略为放行。

      DMZ→ WAN 源地址：11.11.11.2，目标地址为ANY，服务为AH、ESP、ICMP及UDP的500、4500，策略为放行。

配置验证

本地子网与云上子网互访正常。

相关文档