HS防火墙ipse配置示例.docVIP

IPSEC VPN 配置采用IKE方式建立SA示例（预共享密钥） 组网需求 如图7-2所示，组网需求如下： ??????????? Host1与Host2之间进行安全通信，在USG2110 A与USG2110 B之间使用IKE自动协商建立安全通道。 ??????????? IKE验证方式为预共享密钥。 图7-2 采用IKE方式建立SA配置示例组网图（预共享密钥） ? 配置步骤 ??????????????????????????????? 步骤 1???? 配置USG2110 A。 # 进入系统视图。 USG2110 system-view # 配置本端设备的名称。 [USG2110] sysname USG2110 A # 进入Ethernet 0/0/0视图。 [USG2110 A] interface Ethernet 0/0/0 # 配置Ethernet 0/0/0的IP地址。 [USG2110 A-Ethernet0/0/0] ip address 16 # 关闭接口的快速转发功能。 [USG2110 A-Ethernet0/0/0] undo ip fast-forwarding qff # 退回系统视图。 [USG2110 A-Ethernet0/0/0] quit # 进入Ethernet 0/0/1视图。 [USG2110 A] interface Ethernet 0/0/1 # 配置Ethernet 0/0/1的IP地址。 [USG2110 A-Ethernet0/0/1] ip address 24 # 关闭接口的快速转发功能。 [USG2110 A-Ethernet0/0/1] undo ip fast-forwarding qff # 退回系统视图。 [USG2110 A-Ethernet0/0/1] quit # 进入Trust区域视图。 [USG2110 A] firewall zone trust # 配置Ethernet 0/0/1加入Trust区域。 [USG2110 A-zone-trust] add interface Ethernet 0/0/1 # 退回系统视图。 [USG2110 A-zone-trust] quit # 进入Untrust区域视图。 [USG2110 A] firewall zone untrust # 配置Ethernet 0/0/0加入Untrust区域。 [USG2110 A-zone-untrust] add interface Ethernet 0/0/0 # 退回系统视图。 [USG2110 A-zone-untrust] quit # 配置到达Host 2的静态路由。 [USG2110 A] ip route-static 24 # 配置ACL规则，允许Host 1所在网段的主机访问Host 2所在网段的主机。 [USG2110 A] acl 3000 [USG2110 A-acl-adv-3000] rule permit ip source 55 destination 55 # 退回系统视图。 [USG2110 A-acl-adv-3000] quit # 配置ACL规则，允许Host 2所在网段的主机访问。 [USG2110 A] acl 3001 [USG2110 A-acl-adv-3001] rule permit ip source 55 # 退回系统视图。 [USG2110 A-acl-adv-3001] quit # 进入Trust和Untrust域间视图。 [USG2110 A] firewall interzone trust untrust # 配置域间包过滤规则。 [USG2110 A-interzone-trust-untrust] packet-filter 3000 outbound [USG2110 A-interzone-trust-untrust] packet-filter 3001 inbound # 退回系统视图。 [USG2110 A-interzone-trust-untrust] quit # 配置域间缺省包过滤规则。 [USG2110 A] firewall packet-filter default permit interzone local untrust 配置Local和Untrust域间缺省包过滤规则的目的为允许IPSec隧道两端设备通信，使其能够协商SA。 # 配置名为tran1的IPSec提议。 [USG2110 A] ipsec proposal tran1 # 配置安全协议。 [USG2110 A-ipsec-pro