# 山石-G防火墙(V5.5)对接华为云配置指引
 #### 华为云配置信息说明
VPN网关IP：11.11.11.11
VPC子网：192.168.10.0/24，192.168.20.0/24
客户侧网关IP：22.22.22.22
客户侧子网：172.16.10.0/24，172.16.20.0/24，172.16.30.0/24
协商策略详情：
一阶段策略（IKE Policy）
认证算法（Authentication Algorithm）: sha2-256
加密算法（Encryption Algorithm）: aes-128
版本（Version）: v1
DH算法（DH Algorithm ）: group14
生命周期（Life Cycle）: 86400
协商模式（Exchange-mode ）: main
二阶段策略（IPsec Policy）
传输协议（Transfer Protocol）: esp
认证算法（Authentication Algorithm）: sha2-256
加密算法（Encryption Algorithm）: aes-128
完美前向安全（PFS）：DH-group14
生命周期（Life Cycle）: 86400
#### 客户侧设备组网与基础配置假设
内网接口：ethnet0/0 所属zone为Trust，接口IP为b.b.b.1/24。
外网接口：ethnet0/1 所属zone为Untrust，接口IP为B.B.B.Y/24。
缺省路由：目标网段0.0.0.0/0 出接口ethnet0/1，下一跳为ethnet0/1的网关IP,如B.B.B.1。
安全策略：Trust访问Untrust，源地址、目标地址及服务均为any，动作放行。
NAT策略：源地址为内网网段，目标地址为ANY，转换为出接口IP。
#### VPN配置过程
登录设备WEB管理界面，在导航栏中选择"VPN ＞ IPsec VPN"。
1. 配置P1提议：输入提议名称，选择认证方式为Pre-share，认证算法、加密算法和DH组等参数，详细参数参见[华为云配置信息说明]。
2. 配置P2提议：输入提议名称，协议选择、认证算法、加密算法和PFS等参数，详细参数参见[华为云配置信息说明]，不启用压缩和生存大小。
3. 配置VPN 对端列表：
   1. 基本配置：输入名称，选择公网接口ethnet0/1，选择协议标准（只支持V1版本）和认证模式，类型选择静态IP，对端IP地址键入华为云VPN网关IP地址11.11.11.11，本地ID选择IPv4 22.22.22.22，调用已配置好的P1提议并输入与华为云侧相同的预共享密钥。
   
   2. 高级配置：建议配置如下，连接类型选择双向，启用NAT穿越，开启对端存活检测，DPD间隔与重试时间默认即可，不启用XAUTH服务器。
    
4. 配置IKE VPN列表
   1. 基本配置： 对端：调用对端列表已有配置；
      隧道：输入名称，模式选择tunnel，调用P2提议，代理ID选择手工，即配置感兴趣流，使用IP+掩码的格式进行配置配置的条目数等于本端子网与远端子网数量的乘积。
      
   
   2. 高级配置：选择默认配置即可，可以开启VPN隧道检测，源地址为本地私网IP和目标地址为华为云私网的IP（推荐选择真实可用地址）。
    
5. 接口配置：
   1. 在导航栏安全域下新建一个VPN的安全域，进行命名为VPN，类型选择三层安全域。
   
   2. 在导航栏接口下新建一隧道接口，完成名称编号，所属安全域（划入新建的VPN安全域）；IP配置选择静态IP，不填写IP信息；隧道类型为IPsec VPN，隧道绑定配置选择已创建的IKE VPN列表名称。
    

6. 安全策略，新建以下安全策略，并将该策略置顶。
   1. 新建源区域为trust，目标区域为VPN区域，服务为any，动作为允许。
   
   2. 新建源区域为VPN区域，目标区域为trust，服务为any，动作为允许。
    

7. 配置路由 目标网段为华为云私网（192.168.10.0/24，192.168.20.0/24），下一跳选择为接口，接口选择为VPN使用的tunnel口。
![](https://support.huaweicloud.com/admin-vpn/public_sys-resources/caution_3.0-zh-cn.png)
- 安全策略中需要添加本地公网IP与华为云网关IP的互访规则，协议为UDP的500、4500和IP协议ESP与AH，确保协商流和加密流数据正常传输。
- 代理ID（待加密数据流的网段）请填写真实IP和掩码，请勿调用地址对象。
- 若客户侧网络存在多出口时，请确保客户侧访问华为云VPN网关IP及私网网段从建立连接的公网出口流出，推荐使用静态路由配置选择出口网络。
 
#### 功能验证
VPN连接配置完成后，深信服设备勾选主动连接后会主动发起协商，云上不会主动触发隧道建立。
华为云触发方式：私网间数据流触发，例如用192.168.10.0/24网段的主机去ping 172.16.10.0/24网段主机。
![](https://support.huaweicloud.com/admin-vpn/public_sys-resources/caution_3.0-zh-cn.png)
用私网地址ping对端公网网关IP不触发隧道协商，例如172.16.10.0/24网段主机ping 11.11.11.11是不会触发隧道建立的。