东用科技路由器与H3C Router构建IPSec VPN配置指导手册
一、h3c router配置：
system-view//进入配置模式
[h3crouter]local-user admin//添加本地用户
[h3crouter-luser-cisco]password simple admin//为添加的用户设置密码
[h3crouter-luser-cisco]service-type web//开启网页配置功能
[h3crouter-luser-cisco]quit
[h3crouter]ethernetinterface ethernet 0/0//进入接口配置模式
[h3crouter-ethernet0/0]ip address 123.15.36.140 255.255.255.128//配置外网接口地址
[h3crouter-ethernet0/0]quit//退出接口配置模式
[h3crouter-ethernet0/1]ip address 172.18.253.1 255.255.255.0//配置内外接口地址
[h3crouter-ethernet0/0]quit//退出接口配置模式
[h3crouter]ip route-static 0.0.0.0 0.0.0.0 123.15.36.129//配置静态路由
[h3crouter]acl number 3000//创建访问控制列表
[h3crouter-acl-3000]rule 5 permit ip source 172.18.253.0 0.0.0.255//允许内网网段访问公网
[h3crouter-ethernet0/0]quit//退出接口配置模式
[h3crouter]acl number 3001//创建访问控制列表
[h3crouter-acl-3001]rule 0 permit ip source 172.18.253.0 0.0.0.255 destination 192.168.0.0 0.0.255.255
rule 5 deny ip//拒绝除内网网段以为的网段访问远端子网
[h3crouter]ethernetinterface ethernet 0/0//进入接口配置模式
[h3crouter-ethernet0/0]nat outbound 3000//在外网接口上启用acl 3000
[h3crouter-ethernet0/0]quit//退出接口配置模式
[h3crouter]ike proposal 1//创建ike提议，并进入ike提议视图
[h3crouter]ike peer fenzhi//创建一个ike对等体，并进入ike-peer视图
[h3crouter-ike-peer-fenzhi]exchange-mode aggressive//配置ike第一阶段的协商为野蛮模式
[h3crouter-ike-peer-fenzhi]proposal 1//配置ike对等体引用的ike安全提议
[h3crouter-ike-peer-fenzhi]pre-shared-key simple abc123//配置采用预共享密钥认证时，所使用的预共享密钥
[h3crouter-ike-peer-fenzhi]id-type name//选择ike第一阶段的协商过程中使用id的类型
[h3crouter-ike-peer-fenzhi]remote-name fenzhi//配置对端安全网关的名字
[h3crouter-ike-peer-fenzhi]remote-address fenzhi dynamic//配置对端安全网关的ip地址
[h3crouter-ike-peer-fenzhi]local-address 123.15.36.140//配置本端安全网关的ip地址
h3crouter-ike-peer-fenzhi]local-name center//配置本端安全网关的名字
[h3crouter-ike-peer-fenzhi]nat traversal//配置ike/ipsec的nat穿越功能
[h3crouter-ike-peer-fenzhi]quit
[h3crouter]ipsec transform-set fenzhi//配置ipsec安全提议fenzhi
[h3crouter-ipsec-transform-set-tran1]encapsulation-mode tunnel//报文封装形式采用隧道模式
[h3crouter-ipsec-transform-set-tran1]transform esp//安全协议采用esp协议
[h3crouter-ipsec-transform-set-tran1]esp encryption-algorithm 3des//选择esp协议采用的加密算法
[h3crouter-ipsec-transform-set-tran1]esp authentication-algorithm md5//选择esp协议采用的认证算法
[h3crouter-ipsec-transform-set-tran1]quit
[h3crouter]ipsec policy 983040 1 isakmp//创建一条ipsec安全策略，协商方式为isakmp
[h3crouter-ipsec-policy-isakmp-use1-10]security acl 3001//引用访问控制列表3001
[h3crouter-ipsec-policy-isakmp-use1-10]transform-set fenzhi//引用ipsec安全提议
[h3crouter-ipsec-policy-isakmp-use1-10]ike-peer fenzhi//引用ike对等体
[h3crouter-ipsec-policy-isakmp-use1-10]quit
[h3crouter]interface ethernet 0/0//进入外部接口
[h3crouter-ethernet0/1]ipsec policy 983040//在外部接口上应用ipsec安全策略组
验证配置结果
[h3crouter]display ike proposal
priority authentication authentication encryption diffie-hellman duration
method algorithm algorithm group(seconds)
---------------------------------------------------------------------------
10 pre_shared md5 des_cbc modp_768 5000
default pre_shared sha des_cbc modp_768 86400
[h3crouter]display ike proposal
priority authentication authentication encryption diffie-hellman duration
method algorithm algorithm group(seconds)
---------------------------------------------------------------------------
default pre_shared sha des_cbc modp_768 86400
可通过如下显示信息查看到ike协商成功后生成的两个阶段的sa。
[h3crouter]display ike sa
total phase-1 sas:1
connection-id peer flag phase doi
----------------------------------------------------------
1 219.140.142.211 rd|st 1 ipsec
2 219.140.142.211 rd|st 2 ipsec
flag meaning
rd--ready st--stayalive rl--replaced fd--fading to—timeout rk-rekey
ike第二阶段协商生成的ipsec sa用于保护子网10.1.1.0/24与子网10.1.2.0/24之间的数据流，可通过如下显示信息查看。
[h3crouter]display ipsec sa
===============================
interface:ethernet0/1
path mtu:1500
===============================
-----------------------------
ipsec policy name:map1
sequence number:10
acl version:acl4
mode:isakmp
-----------------------------
pfs:n,dh group:none
tunnel:
local address:123.15.36.140
remote address:219.140.142.211
flow:
sour addr:172.18.253.0/255.255.255.0 port:0 protocol:ip
dest addr:192.168.2.0/255.255.255.0 port:0 protocol:ip
[inbound esp sas]
spi:0x3d6d3a62(1030568546)
transform:esp-encrypt-des esp-auth-sha1
in use setting:tunnel
connection id:1
sa duration(kilobytes/sec):1843200/3600
sa remaining duration(kilobytes/sec):1843199/3590
anti-replay detection:enabled
anti-replay window size(counter based):32
udp encapsulation used for nat traversal:n
[outbound esp sas]
spi:0x553faae(89389742)
transform:esp-encrypt-des esp-auth-sha1
in use setting:tunnel
connection id:2
sa duration(kilobytes/sec):1843200/3600
sa remaining duration(kilobytes/sec):1843199/3590
anti-replay detection:enabled
anti-replay window size(counter based):32
udp encapsulation used for nat traversal:n
二、东用科技路由器ipsec vpn配置
● orb305
● orb301
深天马A：四季度柔性OLED价格整体处于涨价趋势
大数据下的数据存储技术是怎样的
苹果将在今年10月份发布新一代iPad并会搭载后置三摄像头
当机器人安家在下水道，会发生什么有趣现象？
超导体电阻是绝对为零吗？
东用科技路由器与H3C Router构建IPSec VPN配置指导手册
DS3641 兼容于SPI的安全监控电路，具有1kB加密保护
基于LabVIEW和MCS-51单片机实现数据采集与信息分析系统的设计
负氧离子监测仪有着强大的监测功能，其特点是什么
继上海车库事件后,特斯拉ModelS又“自燃”了
人工智能的商业化才是AI数据真正的突破点
如何构建用户画像系统？
康宁研发出专为可穿戴设备新型SR+大猩猩玻璃材料
浅析RISC-V的短板与本土IP公司的机遇
Cortex-M3是一款ARM处理器内核
SK海力士以90亿美元收购NAND内存与储存事业部
苹果加速造车工程，挖走50名特斯拉专家
如何解决Wi-Fi与V2X间的共存问题方案详解
生态构建非一日之功，国产桌面操作系统道阻且长
瞄准SiC MOS出货量飙升，五大策略应对市场挑战
system-view//进入配置模式
[h3crouter]local-user admin//添加本地用户
[h3crouter-luser-cisco]password simple admin//为添加的用户设置密码
[h3crouter-luser-cisco]service-type web//开启网页配置功能
[h3crouter-luser-cisco]quit
[h3crouter]ethernetinterface ethernet 0/0//进入接口配置模式
[h3crouter-ethernet0/0]ip address 123.15.36.140 255.255.255.128//配置外网接口地址
[h3crouter-ethernet0/0]quit//退出接口配置模式
[h3crouter-ethernet0/1]ip address 172.18.253.1 255.255.255.0//配置内外接口地址
[h3crouter-ethernet0/0]quit//退出接口配置模式
[h3crouter]ip route-static 0.0.0.0 0.0.0.0 123.15.36.129//配置静态路由
[h3crouter]acl number 3000//创建访问控制列表
[h3crouter-acl-3000]rule 5 permit ip source 172.18.253.0 0.0.0.255//允许内网网段访问公网
[h3crouter-ethernet0/0]quit//退出接口配置模式
[h3crouter]acl number 3001//创建访问控制列表
[h3crouter-acl-3001]rule 0 permit ip source 172.18.253.0 0.0.0.255 destination 192.168.0.0 0.0.255.255
rule 5 deny ip//拒绝除内网网段以为的网段访问远端子网
[h3crouter]ethernetinterface ethernet 0/0//进入接口配置模式
[h3crouter-ethernet0/0]nat outbound 3000//在外网接口上启用acl 3000
[h3crouter-ethernet0/0]quit//退出接口配置模式
[h3crouter]ike proposal 1//创建ike提议，并进入ike提议视图
[h3crouter]ike peer fenzhi//创建一个ike对等体，并进入ike-peer视图
[h3crouter-ike-peer-fenzhi]exchange-mode aggressive//配置ike第一阶段的协商为野蛮模式
[h3crouter-ike-peer-fenzhi]proposal 1//配置ike对等体引用的ike安全提议
[h3crouter-ike-peer-fenzhi]pre-shared-key simple abc123//配置采用预共享密钥认证时，所使用的预共享密钥
[h3crouter-ike-peer-fenzhi]id-type name//选择ike第一阶段的协商过程中使用id的类型
[h3crouter-ike-peer-fenzhi]remote-name fenzhi//配置对端安全网关的名字
[h3crouter-ike-peer-fenzhi]remote-address fenzhi dynamic//配置对端安全网关的ip地址
[h3crouter-ike-peer-fenzhi]local-address 123.15.36.140//配置本端安全网关的ip地址
h3crouter-ike-peer-fenzhi]local-name center//配置本端安全网关的名字
[h3crouter-ike-peer-fenzhi]nat traversal//配置ike/ipsec的nat穿越功能
[h3crouter-ike-peer-fenzhi]quit
[h3crouter]ipsec transform-set fenzhi//配置ipsec安全提议fenzhi
[h3crouter-ipsec-transform-set-tran1]encapsulation-mode tunnel//报文封装形式采用隧道模式
[h3crouter-ipsec-transform-set-tran1]transform esp//安全协议采用esp协议
[h3crouter-ipsec-transform-set-tran1]esp encryption-algorithm 3des//选择esp协议采用的加密算法
[h3crouter-ipsec-transform-set-tran1]esp authentication-algorithm md5//选择esp协议采用的认证算法
[h3crouter-ipsec-transform-set-tran1]quit
[h3crouter]ipsec policy 983040 1 isakmp//创建一条ipsec安全策略，协商方式为isakmp
[h3crouter-ipsec-policy-isakmp-use1-10]security acl 3001//引用访问控制列表3001
[h3crouter-ipsec-policy-isakmp-use1-10]transform-set fenzhi//引用ipsec安全提议
[h3crouter-ipsec-policy-isakmp-use1-10]ike-peer fenzhi//引用ike对等体
[h3crouter-ipsec-policy-isakmp-use1-10]quit
[h3crouter]interface ethernet 0/0//进入外部接口
[h3crouter-ethernet0/1]ipsec policy 983040//在外部接口上应用ipsec安全策略组
验证配置结果
[h3crouter]display ike proposal
priority authentication authentication encryption diffie-hellman duration
method algorithm algorithm group(seconds)
---------------------------------------------------------------------------
10 pre_shared md5 des_cbc modp_768 5000
default pre_shared sha des_cbc modp_768 86400
[h3crouter]display ike proposal
priority authentication authentication encryption diffie-hellman duration
method algorithm algorithm group(seconds)
---------------------------------------------------------------------------
default pre_shared sha des_cbc modp_768 86400
可通过如下显示信息查看到ike协商成功后生成的两个阶段的sa。
[h3crouter]display ike sa
total phase-1 sas:1
connection-id peer flag phase doi
----------------------------------------------------------
1 219.140.142.211 rd|st 1 ipsec
2 219.140.142.211 rd|st 2 ipsec
flag meaning
rd--ready st--stayalive rl--replaced fd--fading to—timeout rk-rekey
ike第二阶段协商生成的ipsec sa用于保护子网10.1.1.0/24与子网10.1.2.0/24之间的数据流，可通过如下显示信息查看。
[h3crouter]display ipsec sa
===============================
interface:ethernet0/1
path mtu:1500
===============================
-----------------------------
ipsec policy name:map1
sequence number:10
acl version:acl4
mode:isakmp
-----------------------------
pfs:n,dh group:none
tunnel:
local address:123.15.36.140
remote address:219.140.142.211
flow:
sour addr:172.18.253.0/255.255.255.0 port:0 protocol:ip
dest addr:192.168.2.0/255.255.255.0 port:0 protocol:ip
[inbound esp sas]
spi:0x3d6d3a62(1030568546)
transform:esp-encrypt-des esp-auth-sha1
in use setting:tunnel
connection id:1
sa duration(kilobytes/sec):1843200/3600
sa remaining duration(kilobytes/sec):1843199/3590
anti-replay detection:enabled
anti-replay window size(counter based):32
udp encapsulation used for nat traversal:n
[outbound esp sas]
spi:0x553faae(89389742)
transform:esp-encrypt-des esp-auth-sha1
in use setting:tunnel
connection id:2
sa duration(kilobytes/sec):1843200/3600
sa remaining duration(kilobytes/sec):1843199/3590
anti-replay detection:enabled
anti-replay window size(counter based):32
udp encapsulation used for nat traversal:n
二、东用科技路由器ipsec vpn配置
● orb305
● orb301
深天马A：四季度柔性OLED价格整体处于涨价趋势
大数据下的数据存储技术是怎样的
苹果将在今年10月份发布新一代iPad并会搭载后置三摄像头
当机器人安家在下水道，会发生什么有趣现象？
超导体电阻是绝对为零吗？
东用科技路由器与H3C Router构建IPSec VPN配置指导手册
DS3641 兼容于SPI的安全监控电路，具有1kB加密保护
基于LabVIEW和MCS-51单片机实现数据采集与信息分析系统的设计
负氧离子监测仪有着强大的监测功能，其特点是什么
继上海车库事件后,特斯拉ModelS又“自燃”了
人工智能的商业化才是AI数据真正的突破点
如何构建用户画像系统？
康宁研发出专为可穿戴设备新型SR+大猩猩玻璃材料
浅析RISC-V的短板与本土IP公司的机遇
Cortex-M3是一款ARM处理器内核
SK海力士以90亿美元收购NAND内存与储存事业部
苹果加速造车工程，挖走50名特斯拉专家
如何解决Wi-Fi与V2X间的共存问题方案详解
生态构建非一日之功，国产桌面操作系统道阻且长
瞄准SiC MOS出货量飙升，五大策略应对市场挑战