配置示例基于路由動態(tài)

1、4.0R4的動態(tài)IPSEC配置示例，朱建英于2010年7月解釋。注意：這種情況假設(shè)防火墻已經(jīng)完成了基本的互聯(lián)網(wǎng)配置。示例功能描述：防火墻FW-A具有合法的靜態(tài)IP地址，防火墻FW-B的外部網(wǎng)絡(luò)為PPPOE動態(tài)獲取的IP地址，其中防火墻FW-A的內(nèi)部保護子網(wǎng)為192.168.1.0/24防火墻FW-A。要求在防火墻和防火墻之間建立IPSec虛擬專用網(wǎng)絡(luò)，這樣兩端的保護子網(wǎng)可以通過虛擬專用網(wǎng)絡(luò)隧道相互訪問。拓?fù)洵h(huán)境描述，本例采用“預(yù)共享密鑰認(rèn)證”機制：步驟1，建議步驟2，建議步驟3，創(chuàng)建虛擬專用網(wǎng)對等體4，創(chuàng)建IPSEC隧道5，創(chuàng)建隧道接口，指定安全域，并將創(chuàng)建的隧道綁定到接口6，添加隧道路由7，

2、添加安全策略，F(xiàn)W-A防火墻配置步驟，定義IKE 1第一步是創(chuàng)建IKE第一階段建議，定義IKE第二階段的協(xié)商內(nèi)容，兩個防火墻之間應(yīng)該一致。第二步，創(chuàng)建IKE第二階段方案，創(chuàng)建虛擬專用網(wǎng)對等體并定義相關(guān)參數(shù)；第三步，創(chuàng)建虛擬專用網(wǎng)對等體，創(chuàng)建到防火墻FW-B的虛擬專用網(wǎng)隧道，并定義相關(guān)參數(shù)。第四步是創(chuàng)建IPSEC隧道，創(chuàng)建到防火墻FW-B的VPN隧道，并定義相關(guān)參數(shù)。創(chuàng)建隧道接口，綁定三層安全域，并將創(chuàng)建的IPSec隧道綁定到它。步驟5，創(chuàng)建一個隧道接口，在路由表中添加一條路由到相對的保護子網(wǎng)，這條路由的下一跳是隧道接口隧道1。步驟6:添加隧道路由，在添加安全策略之前定義代表兩端保護子網(wǎng)的地址對

3、象，并在下圖中只列出一個地址簿。步驟7:添加安全策略-創(chuàng)建地址簿，添加安全策略，并允許本地虛擬專用網(wǎng)保護子網(wǎng)訪問相對的虛擬專用網(wǎng)保護子網(wǎng)。步驟7:添加安全策略，添加安全策略，并允許相對的虛擬專用網(wǎng)保護子網(wǎng)訪問本地虛擬專用網(wǎng)保護子網(wǎng)。添加安全策略，F(xiàn)W-B防火墻配置步驟，本例采用“預(yù)共享密鑰認(rèn)證”機制，第一步，創(chuàng)建IKE，第二步，第二步，第三步，創(chuàng)建虛擬專用網(wǎng)對等體，第四步，創(chuàng)建IPSEC隧道，第五步，創(chuàng)建隧道接口，指定安全域，并將創(chuàng)建的隧道綁定到接口，第六步，添加隧道路由，第七步，添加安全策略，定義IKE，第一步，第一步，創(chuàng)建IKE第一階段方案，定義IKE第二階段的協(xié)商內(nèi)容，兩個防火墻之間應(yīng)保

4、持一致。第二步，創(chuàng)建IKE第二階段方案，創(chuàng)建虛擬專用網(wǎng)對等體并定義相關(guān)參數(shù)；第三步，創(chuàng)建虛擬專用網(wǎng)對等體，創(chuàng)建到防火墻FW-B的虛擬專用網(wǎng)隧道，并定義相關(guān)參數(shù)。第四步是創(chuàng)建到防火墻FW-B的IPSEC隧道和虛擬專用網(wǎng)隧道，并定義相關(guān)參數(shù)。創(chuàng)建隧道接口，綁定三層安全域，并將創(chuàng)建的IPSec隧道綁定到它。步驟5，創(chuàng)建一個隧道接口，在路由表中添加一條路由到相對的保護子網(wǎng)，這條路由的下一跳是隧道接口隧道1。步驟6:添加隧道路由，在添加安全策略之前定義代表兩端保護子網(wǎng)的地址對象，并在下圖中只列出一個地址簿。步驟7:添加安全策略-創(chuàng)建地址簿，添加安全策略，并允許本地虛擬專用網(wǎng)保護子網(wǎng)訪問相對的虛擬專用網(wǎng)保護子網(wǎng)。步驟7:添加安全策略，添加安全策略，并允許相對的虛擬專用網(wǎng)保護子網(wǎng)訪問本地虛擬專用網(wǎng)保護子網(wǎng)。添加安全策略，在兩個階段檢查防火墻的隧道狀態(tài)，檢查防火墻狀態(tài)，在兩個階段檢查防火墻狀態(tài)，檢查防火墻狀態(tài)，1。建立ipsec隧道的條件必須動態(tài)獲取地址結(jié)束觸發(fā)器，2。隧道接口地址已設(shè)置，如果未設(shè)置，一端的局域網(wǎng)無法ping通另一個防火墻的內(nèi)部網(wǎng)絡(luò)地址；Ping此外，如果設(shè)置了隧道地址，可以通過ping防火墻a上的防火墻b的隧道地址來觸發(fā).3.IPSEC VPN隧道中代理標(biāo)識的概念，指的是本地加密子網(wǎng)和對等加密子網(wǎng)。如果兩端都是數(shù)字中國