攻城獅論壇-專題技術(shù)工程師培訓(xùn)上機(jī)指導(dǎo)書ipsec natl2ltp詳解

（學(xué)員 ISSUE 適用范 適用產(chǎn)品描 圖 IPSEC建立點(diǎn)到多點(diǎn)SA策略模板方 IPSEC的NAT穿越策略模板方 L2TPoverIPSEC組網(wǎng) 特性故障排 插圖 圖1-2USG2100后面 圖1-3USG2200產(chǎn)品交流機(jī)型前面 圖1-4USG2250產(chǎn)品直流機(jī)型前面 圖1-5USG產(chǎn)品后面 圖1-10USG5530S產(chǎn)品接口卡側(cè)面板 圖1-11USG5530S產(chǎn)品交流機(jī)型電源側(cè)面板 圖1-12USG5530/5550/5560產(chǎn)品接口卡側(cè)面板 圖1-13USG5550/5560直流機(jī)型電源側(cè)面板 圖1-14USG5530/5550/5560交流機(jī)型電源側(cè)面板 圖1-15USG9520直流機(jī)箱組成部件 圖1-16USG9520交流機(jī)箱組成部件 錯(cuò)誤！未定義書簽圖2-2設(shè)備上應(yīng)用DHCPSnoo典型組網(wǎng)圖 錯(cuò)誤！未定義書簽圖3-1主備備份雙機(jī)熱備實(shí)驗(yàn)組網(wǎng)圖 錯(cuò)誤！未定義書簽圖3-2雙機(jī)熱備會(huì)話快速備份實(shí)驗(yàn)組網(wǎng)圖 錯(cuò)誤！未定義書簽圖3-3負(fù)載分擔(dān)雙機(jī)熱備實(shí)驗(yàn)組網(wǎng)圖 錯(cuò)誤！未定義書簽 錯(cuò)誤！未定義書簽圖4-1虛擬配置實(shí)驗(yàn)圖 錯(cuò)誤！未定義書簽圖5-1點(diǎn)到多點(diǎn)SA策略模板實(shí)驗(yàn)組網(wǎng)圖 圖5-2NAT穿越實(shí)驗(yàn)組網(wǎng)圖 圖6-1基于IP地址的SYNFlood防范實(shí)驗(yàn)組網(wǎng)圖 錯(cuò)誤！未定義書簽圖6-2TCP反向源探測(cè)方式SYNFlood防范實(shí)驗(yàn)組網(wǎng)圖 錯(cuò)誤！未定義書簽圖6-3基于接口的ARPFlood防范實(shí)驗(yàn)組網(wǎng)圖 錯(cuò)誤！未定義書簽圖6-4地址掃描防范實(shí)驗(yàn)組網(wǎng)圖 錯(cuò)誤！未定義書簽手冊(cè)說USG2000產(chǎn)品描1.3G數(shù)據(jù)卡接 2.USB接 3.Flash卡接4.指示 5.系統(tǒng)復(fù)位如下圖所示，USG2100后面板包括交流電源模塊、MIC(Mi nterfaceCard)插并直接劃到具體的區(qū)域里。LAN口為交換口，不能在接口上配置IP地址，需要先創(chuàng)建VLAN，然后在VLAN上配置VLANinterface，再把該VLAN劃到圖1-2USG21001.接地端2.安全鎖3.4.WAN接5.LAN接6.Console7.MIC8.交流電源開9.交流電源接源開關(guān)和交流電源插孔；右側(cè)包括的固定接口包括：1個(gè)Console接口、2個(gè)GECombo接口、2個(gè)USB2.0接口、1個(gè)閃存接口。1.USB2.0接2.GECombo接3.閃存接4.Console接7.交流電源開5.一鍵恢8.6.交流電源插1.USB2.0接2.GECombo接3.閃存接4.Console接7.直流電源開5.一鍵恢8.6.直流電源插USG2210、USG2220、USG2230、USG2250后面板布局相同，如下圖所示，4MIC2FIC插槽。如果選用的插卡為交如果選用插卡的接口為路由口，則配置方式與USG3000/USG5000或者USG2100上的WAN口配置方式一致。圖1-5USG1.MIC12.MIC23.MIC34.MIC47.槽位標(biāo)5.FIC56.FIC6USG2200主板為0，其6個(gè)擴(kuò)展插槽的槽位（1～6）采用先從左到右，再?gòu)南碌缴希萂IC槽位后FIC槽位的原則。接口為interface-typeX/0/Y，interface-type為接口類型（如Ethernet均為0。Y表示接口序號(hào)。5FE-SW電接口卡從左到右的Ethernet接口：Ethernet1/0/0、Ethernet1/0/1、Ethernet1/0/2、Ethernet1/0/3、Ethernet1/0/4。2CE1接口卡從左到右接口為：controllere15/0/0、e15/0/1GECombo接口從左到右接口為：GigabitEthernet0/0/0、GigabitEthernet0/0/1。USG5100產(chǎn)品描2.復(fù)位3.Console接8.GECombo9.GECombo座1.MIC12.MIC2插3.MIC3插4.MIC4插10.8.FIC89.槽位標(biāo)1.防塵 2.指示 3.系統(tǒng)復(fù)位4.Console接 5.閃存接 6.USB2.0接7.GECombo接口 8.GECombo接口 9.GECombo接口10.GECombo接口 11.風(fēng)扇 12.ESD防靜電插13.防塵擋

1.MIC12.MIC2插3.MIC3插4.MIC4插10.FIC10插11.9.FIC9USG5500產(chǎn)品描1.防靜電手腕帶插 2.系統(tǒng)復(fù)位 3.指示燈區(qū)4.Micro-SD卡插 5.FIC2插 6.管理7.光電互斥接口 10.Console接 11.USB2.0接

1.接地端2.電源指示4.5.電源接6.風(fēng)扇USG5530/5550/5560由機(jī)箱、擴(kuò)展接口卡組成。USG5530/5550/5560的機(jī)箱尺寸為19口卡擴(kuò)展插槽。其中，6FIC4DFIC接口卡擴(kuò)展插槽，2MIC接口卡擴(kuò)展插槽可合并為1個(gè)DMIC接口卡擴(kuò)展插槽。USG5530/5550/5560暫不支持MIC和DFIC接口卡。1.防靜電手腕帶插 2.系統(tǒng)復(fù)位 3.USB2.0接4.指示燈區(qū) 5.Console接 6.Micro-SD卡插7.管理 8.10/100/1000M自適應(yīng)以太網(wǎng)電接 9.光電互斥接

MIC2/DMIC2插 12.MIC3插13.FIC9插 14.FIC7/DFIC7插 15.假面 17.FIC8插 18.FIC6/DFIC6插19.假面 21.接地端如下圖所示，USG5530沒有直流機(jī)型，只有交流機(jī)型；USG5550/5560具有直1.防塵2.電源開3.4.電源接7.5.電源風(fēng)扇8.風(fēng)扇6.電源指示USG9500產(chǎn)品描USG9000系列產(chǎn)品都采用機(jī)箱，可安裝在N68E-22機(jī)柜或深度不小于800mmIEC（InternationalElectrotechnicalCommission）19英寸標(biāo)準(zhǔn)機(jī)柜中。USG9000產(chǎn)品外觀如下圖所示。圖1-15USG95201.掛2.ESD防靜電插3.LPU槽4.MPU槽5.走線6.進(jìn)風(fēng)7.風(fēng)10.防塵8.直流電源模11.把9.保護(hù)接地端圖1-16USG95201.掛2.3.交流電源模4.ESD防靜電插5.LPU槽6.MPU槽7.走線8.進(jìn)風(fēng)9.風(fēng)10.保護(hù)接地端11.防塵12.把圖1-17USG95601.進(jìn)風(fēng)2.掛3.單板槽位4.ESD插5.走線6.把7.風(fēng)8.電源濾波模9.保護(hù)接地端10.交流電源管理接11PEM模12.集中模1.進(jìn)風(fēng)2.單板槽位3.ESD插4.走線5.掛6.把7.風(fēng)扇模8.電源濾波模9.PEM模10.交流電源管理接11.集中模12.保護(hù)接地端 高級(jí)技術(shù)實(shí)實(shí)驗(yàn)?zāi)縄PSec點(diǎn)到多點(diǎn)SA組網(wǎng)設(shè)實(shí)驗(yàn)拓?fù)淇偛縁WA為固定公網(wǎng)地址FWBFWCIP(IP模擬動(dòng)IP,IPSEC的配置,現(xiàn)網(wǎng)可能是通過ADSLPPPOEIP)。分支機(jī)構(gòu)PC2PC3PC1PC2PC3與PC1能夠安全通信之后,PC2PC3能夠通過FWA進(jìn)行安全通信,FWA與FWBFWC之間使用IKE野蠻模式建立安全通道,FWBFWC不直接建立任何IPSEC連接。配置步IP（VLANIF三個(gè)的缺省路由下一跳皆分別指向這三個(gè)三層接口IP（VLANIF。##定義用于濾和加密的數(shù)據(jù)流,ACL3000定義到所有分支機(jī)構(gòu)FWBFWC網(wǎng)段的數(shù)據(jù)流,Soure定義為總部，destination定義為各個(gè)分支的明細(xì)網(wǎng)段。[FWA-acl-adv-3000]rulepermitipsource10.0.0.00.0.0.255destination10.0.2.00.0.0.255#配置trust與untrust域間濾規(guī)則[FWA]firewallpacket-filterdefaultpermitinterzonetrustuntrust#配置untrust與local域間濾規(guī)則 .#tran1IPSec#配置安全協(xié)議。Esp為默認(rèn)安全協(xié)議,可以不配置#Tunnel為默認(rèn)封裝類型,可以不配置#md5為默認(rèn)ESP協(xié)議的認(rèn)證算法,可以不配置#[FWA-IPSec-proposal-tran1]espencryption-algorithmdesdes為默認(rèn)ESP協(xié)議的加密算法,可以不配置#[FWA-ike-proposal-10]authentication-methodpre-sharepre-shared-key驗(yàn)證方法為默認(rèn)驗(yàn)證方法,可以不配置#配置使用SHA1驗(yàn)證算法。[FWA-ike-proposal-10]authentication-algorithmsha1Sha1為默認(rèn)驗(yàn)證算法,可以不配置#[FWA-ike-proposal-10]saduration8640086400秒為默認(rèn)AKMPSA的生存周期aIKEpeer[FWA]ikepeera#IKE安全提議#配置IKE的協(xié)商方式為野蠻模式。#配置驗(yàn)證字為“ #map1tmp[FWA]IPSecpolicy-templatemap1tmp10#ike-peera。#名為tran1的安全提議[FWA-IPSec-policy-templet-map1tmp-10]proposaltran1#組號(hào)為3000的ACL。[FWA-IPSec-policy-templet-map1tmp-10]securityacl3000#退回系統(tǒng)視圖。#創(chuàng)建IPSEC安全策略map1#進(jìn)入以太網(wǎng)接口視圖。[FWAinterfaceEthernet1/0/0#IPSec策略。#[FWB]iproute-static0.0.0.00.0.0.0定義用于濾和加密的數(shù)據(jù)流,為了實(shí)現(xiàn)和總部及分支的通信,source定義為分支節(jié)點(diǎn)的明細(xì)網(wǎng)段,destination定義為總部和分支的所有網(wǎng)段. permitipsource10.0.1.00.0.0.255destination#配置trust與untrust域間濾規(guī)[FWB]firewallpacket-filterdefaultpermitinterzonetrustuntrust#配置untrust與local域間濾規(guī)則#tran1IPSec[FWB]IPSecproposaltran1#配置安全協(xié)議。[FWB-IPSec-proposal-tran1]transformespEsp為默認(rèn)安全協(xié)議,可以不配置#[FWB-IPSec-proposal-tran1]encapsulation-modetunnelTunnel為默認(rèn)封裝類型,可以不配置#[FWB-IPSec-proposal-tran1]espauthentication-algorithmmd5md5為默認(rèn)ESP協(xié)議的認(rèn)證算法,可以不配置#[FWB-IPSec-proposal-tran1]espencryption-algorithmdesdes為默認(rèn)ESP協(xié)議的加密算法,可以不配置# [FWB]ikeproposal#[FWB-ike-proposal-10]authentication-methodpre-sharepre-shared-key驗(yàn)證方法為默認(rèn)驗(yàn)證方法,可以不配置#配置使用SHA1驗(yàn)證算法。[FWB-ike-proposal-10]authentication-algorithmsha1Sha1為默認(rèn)驗(yàn)證算法,可以不配置#[FWB-ike-proposal-10]saduration8640086400秒為默認(rèn)IAKMPSA的生存周期bIKEpeer[FWB]ikepeerb#IKE安全提議#[FWB-ike-peer-b]exchange-modeaggressive#配置隧道對(duì)端IP地址。[FWB-ike-peer-b]remote-address200.0.0.1#配置驗(yàn)證字為“ #[FWBIPSecpolicymap110isakmp#ike-peerb。[FWB-IPSec-policy-isakmp-map1-10]ike-peerb#名為tran1的安全提議。[FWB-IPSec-policy-isakmp-map1-10]proposaltran1#組號(hào)為3000的ACL。[FWB-IPSec-policy-isakmp-map1-10]securityacl3000#退回系統(tǒng)視圖。#進(jìn)入以太網(wǎng)接口視圖。[FWBinterfaceEthernet1/0/0#IPSec策略。結(jié)果檢[FWA]displayikeconnection-id 0180102902flag<FWB>displayikeconnection-id 12實(shí)驗(yàn)?zāi)拷M網(wǎng)設(shè)PC主機(jī)2臺(tái)、USG5000系列3實(shí)驗(yàn)拓?fù)渑渲貌?A、B、C之間需保證互通。B配置NAT后，需保證C能夠在做地址轉(zhuǎn)換后與A互通。B只需做普通NAT配置。##定義用于濾和加密的數(shù)據(jù)流,在模板方式下,總部只建立一個(gè)ACL,ACL的源可對(duì)于每一個(gè)分支機(jī)構(gòu),建議配置一個(gè)rule.[FWA-acl-adv-3000]rulepermitipsource10.0.0.00.0.0.255destination10.0.1.00.0.0.255#配置trust與untrust域間濾規(guī)則[FWA]firewallpacket-filterdefaultpermitinterzonetrustuntrust#配置untrust與local域間濾規(guī)則.AIPSec安全提議#配置IKE本地名稱#tran1IPSec#配置安全協(xié)議。Esp為默認(rèn)安全協(xié)議,可以不配置#Tunnel為默認(rèn)封裝類型,可以不配置#md5為默認(rèn)ESP協(xié)議的認(rèn)證算法,可以不配置#[FWA-IPSec-proposal-tran1]espencryption-algorithmdesdes為默認(rèn)ESP協(xié)議的加密算法,可以不配置##[FWA-ike-proposal-10]authentication-methodpre-sharepre-shared-key驗(yàn)證方法為默認(rèn)驗(yàn)證方法,可以不配置#配置使用SHA1驗(yàn)證算法。[FWA-ike-proposal-10]authentication-algorithmsha1Sha1為默認(rèn)驗(yàn)證算法,可以不配置#[FWA-ike-proposal-10]saduration8640086400秒為默認(rèn)AKMPSA的生存周期#aIKEpeer,模板方式下,peer[FWA]ikepeera#IKE安全提議#配置驗(yàn)證字為“ [FWA-ike-peer-a]pre-shared-key#配置ID類型為name方式#配置對(duì)端認(rèn)證使用的name#配置IKE的協(xié)商方式為野蠻模式。#配置NAT穿越。#退回系統(tǒng)視圖。#[FWAIPSecpolicy-templatemap1tmp10#ike-peera。[FWA-IPSec-policy-templet-map1tmp-10]ike-peera#名為tran1的安全提議。[FWA-IPSec-policy-templet-map1tmp-10]proposaltran1#組號(hào)為3000的ACL。[FWA-IPSec-policy-templet-map1tmp-10]securityacl3000#退回系統(tǒng)視圖。#進(jìn)入以太網(wǎng)接口視圖。[FWAinterfaceEthernet1/0/0#IPSec策略。#[FWC]iproute-static0.0.0.00.0.0.0#定義用于濾和加密的數(shù)據(jù)流,分支ACL的源定義為分支明細(xì)網(wǎng)段,destination定義建議配置一個(gè)ACL即可. permitipsource10.0.1.00.0.0.255destination#配置trust與untrust域間濾規(guī)[FWC]firewallpacket-filterdefaultpermitinterzonetrustuntrust#配置untrust與local域間濾規(guī)則 .CIPSec安全提議#配置IKE本地名稱#tran1IPSec[FWC]IPSecproposaltran1#配置安全協(xié)議。[FWC-IPSec-proposal-tran1]transformespEsp為默認(rèn)安全協(xié)議,可以不配置#[FWC-IPSec-proposal-tran1]encapsulation-modetunnelTunnel為默認(rèn)封裝類型,可以不配置#[FWC-IPSec-proposal-tran1]espauthentication-algorithmmd5md5為默認(rèn)ESP協(xié)議的認(rèn)證算法,可以不配置#[FWC-IPSec-proposal-tran1]espencryption-algorithmdesdes為默認(rèn)ESP協(xié)議的加密算法,可以不配置#[FWC]ikeproposal#[FWC-ike-proposal-10]authentication-methodpre-sharepre-shared-key驗(yàn)證方法為默認(rèn)驗(yàn)證方法,可以不配置#配置使用SHA1驗(yàn)證算法。[FWC-ike-proposal-10]authentication-algorithmsha1Sha1為默認(rèn)驗(yàn)證算法,可以不配置#[FWC-ike-proposal-10]saduration8640086400秒為默認(rèn)ISAKMPSA的生存周期##cIKEpeer,一個(gè)分支節(jié)點(diǎn)只需要?jiǎng)?chuàng)建一個(gè)Peer[FWC]ikepeerc#IKE安全提議#配置隧道對(duì)端IP地址,此處為FWA[FWC-ike-peer-c]remote-address200.0.0.1#配置驗(yàn)證字為“ #配置ID類型為name方式[FWA-ike-peer-clocal-id-typename#配置對(duì)端認(rèn)證使用的name#配置IKE的協(xié)商方式為野蠻模式。[FWC-ike-peer-cexchange-modeaggressive#配置NAT穿越。[FWC-ike-peer-cnattraversal#退回系統(tǒng)視圖。12.C配置安全策[FWC]IPSecpolicymap110isakmp#ike-peerc[FWC-IPSec-policy-isakmp-map1-10]ike-peerc#名為tran1的安全提議。[FWC-IPSec-policy-isakmp-map1-10]proposaltran1#組號(hào)為3000的ACL。[FWC-IPSec-policy-isakmp-map1-10]securityacl3000#退回系統(tǒng)視圖。13.C安全策#進(jìn)入以太網(wǎng)接口視圖。[FWCinterfaceEthernet0/0/0#IPSec策略。結(jié)果檢PC2發(fā)起,之后PC1與PC2之間可以相互PC2同時(shí)可以到公網(wǎng),FWA的200.0.0.1可以 查看NAT轉(zhuǎn)換session表項(xiàng)<FWB>disfirewallsessiontableIPSECSA協(xié)商 101502flag <FWC>disike 2162總部FWA上可以查看到一對(duì)雙向的IPSECSA,對(duì)應(yīng)兩個(gè)分支FWC,nattraversal:Y表示IPSEC的NAT穿越生效IPSecpolicyname:"map1"sequencenumber:10mode:template:connectionid:5encapsulationmode:tunneltunnellocal:200.0.0.1 tunnelremote:200.0.1.1 source:100.0.0/255.0.0.00/0spi:3716495275:saremainingkeyduration(bytes/sec):1886658472/1187maxreceivedsequence-number:11447spi:3704042965:saremainingkeyduration(bytes/sec):1886475336/1187maxsentsequence-number:11447L2TPoverIPSEC組網(wǎng) 實(shí)驗(yàn)?zāi)拷M網(wǎng)設(shè)實(shí)驗(yàn)拓?fù)渑渲貌?創(chuàng)建虛擬接口模板。[FWA]interfaceVirtual-Template1#配置虛擬接口模板的IP地址,[FWA-Virtual-Template1]ipaddress1.1.1.1[FWA-Virtual-Template1]pppauthentication-modechap#配置為對(duì)端接口分配IP地址池中的地址。[FWA-Virtual-Template1]remoteaddresspool[FWA]firewallzone[FWA-zone-trust]addinterfaceVirtual-TemplateL2TP[FWA]l2tpenable#配置L2TP組。[FWA]l2tp-group1[FWA-l2tp1]allowl2tpvirtual-template1[FWA-l2tp1]tunnelauthentication#配置L2TP隧道認(rèn)證。[FWA-l2tp1]tunnelpasswordsimple#配置隧道本端名稱。[FWA-l2tp1]tunnelnamelns#退回系統(tǒng)視圖。[FWA-l2tp1]quitAAA[FWA]aaa[FWA-aaa]local-userpcbpasswordsimple[FWA-aaa]local-userpcbservice-typeppp#配置公共IP地址池。[FWA-aaa]ippool1100.0.0.1[FWA]firewallpacket-filterdefaultpermitinterzonelocaluntrust[FWA]firewallpacket-filterdefaultpermitinterzonelocaltrust打開local和untrust域間的缺省過濾規(guī)則。[FWA]acl[FWA-acl-adv-3000]rulepermitudpsource200.0.0.10source-porteq1701trustuntrust的