¿Cómo configuro una VPN en un dispositivo local? (Ejemplo de configuración de VPN en un firewall de Huawei serie USG6600)
La configuración de VPN en el dispositivo de su centro de datos local debe ser coherente con la de la nube. De lo contrario, no se puede establecer la VPN.
Para configurar una VPN, también debe configurar un túnel de VPN IPsec en el router o firewall en su centro de datos local. El método de configuración varía según el dispositivo de red en uso. Para obtener más información, consulte la guía de configuración de su dispositivo de red.
El siguiente ejemplo utiliza un firewall de Huawei serie USG6600 que ejecuta V100R001C30SPC300 para describir cómo configurar una VPN en un dispositivo local.
Supongamos que las subredes de un centro de datos local son 192.168.3.0/24 y 192.168.4.0/24, y la dirección IP pública de la salida del túnel IPsec en el centro de datos local es 1.1.1.2. Las subredes de una VPC son 192.168.1.0/24 y 192.168.2.0/24, y la dirección IP pública de la salida del túnel IPsec en la VPC es 1.1.1.1.
Procedimiento
- Inicie sesión en la interfaz de línea de comandos (CLI) del firewall.
- Compruebe la información de la versión del firewall.
display version 17:20:502017/03/09 Huawei Versatile Security Platform Software Software Version: USG6600 V100R001C30SPC300 (VRP (R) Software, Version 5.30)
- Cree una ACL.
acl number 3065 vpn-instance vpn64 rule 1 permit ip source 192.168.3.0 0.0.0.255 destination 192.168.1.0 0.0.0.255 rule 2 permit ip source 192.168.3.0 0.0.0.255 destination 192.168.2.0 0.0.0.255 rule 3 permit ip source 192.168.4.0 0.0.0.255 destination 192.168.1.0 0.0.0.255 rule 4 permit ip source 192.168.4.0 0.0.0.255 destination 192.168.2.0 0.0.0.255 q
- Cree una propuesta IKE.
ike proposal 64 dh group5 authentication-algorithm sha1 integrity-algorithm hmac-sha2-256 sa duration 3600 q
- Cree un par IKE y vincúlelo a la propuesta IKE creada. La dirección IP del par es 1.1.1.1.
ike peer vpnikepeer_64 pre-shared-key ******** (******** indicates a pre-shared key.) ike-proposal 64 undo version 2 remote-address vpn-instance vpn64 1.1.1.1 sa binding vpn-instance vpn64 q
- Configure una propuesta de IPsec.
IPsec proposal IPsecpro64 encapsulation-mode tunnel esp authentication-algorithm sha1 q
- Configure una política IPsec y vincule la propuesta IPsec a ella.
IPsec policy vpnIPsec64 1 isakmp security acl 3065 pfs dh-group5 ike-peer vpnikepeer_64 proposal IPsecpro64 local-address 1.1.1.2 q
- Aplique la política IPsec a la subinterfaz correspondiente.
interface GigabitEthernet0/0/2.64 IPsec policy vpnIPsec64 q
- Prueba de conectividad.
Pruebe la conectividad entre su ECS en la nube y un host en su centro de datos local, como se muestra en Figura 1.
