網(wǎng)絡(luò)運(yùn)維|防火墻上支持NAT穿越的IPsec的配置

2020-06-11 17:39 作者：艾銻無限 瀏覽量：

大家好，我是一枚從事IT外包的網(wǎng)絡(luò)安全運(yùn)維工程師，今天和大家分享的是網(wǎng)絡(luò)安全設(shè)備維護(hù)相關(guān)的內(nèi)容，在這里介紹下支持NAT穿越IPSec配置實(shí)例，網(wǎng)絡(luò)安全運(yùn)維，從Web管理輕松學(xué)起,一步一步學(xué)成網(wǎng)絡(luò)安全運(yùn)維大神。

網(wǎng)絡(luò)維護(hù)是一種日常維護(hù)，包括網(wǎng)絡(luò)設(shè)備管理(如計(jì)算機(jī)，服務(wù)器)、操作系統(tǒng)維護(hù)(系統(tǒng)打補(bǔ)丁，系統(tǒng)升級(jí))、網(wǎng)絡(luò)安全(病毒防范)等。+

北京艾銻無限科技發(fā)展有限公司為您免費(fèi)提供給您大量真實(shí)有效的北京網(wǎng)絡(luò)維護(hù)服務(wù)，北京網(wǎng)絡(luò)維修信息查詢，同時(shí)您可以免費(fèi)資訊北京網(wǎng)絡(luò)維護(hù)，北京網(wǎng)絡(luò)維護(hù)服務(wù)，北京網(wǎng)絡(luò)維修信息。專業(yè)的北京網(wǎng)絡(luò)維護(hù)信息就在北京艾銻無限+
+

北京網(wǎng)絡(luò)維護(hù)全北京朝陽豐臺(tái)北京周邊海淀、大興、昌平、門頭溝、通州、西城區(qū)、燕郊、石景山、崇文、房山、宣武、順義、平谷、延慶全北京網(wǎng)絡(luò)維護(hù)信息

支持NAT穿越的IPSec隧道

在實(shí)際組網(wǎng)應(yīng)用中，如果IPSec隧道發(fā)起者位于一個(gè)私網(wǎng)內(nèi)部，而它希望穿越網(wǎng)關(guān)設(shè)備與遠(yuǎn)端響應(yīng)者之間直接建立一條IPSec隧道，這種情況會(huì)對部署IPSec VPN網(wǎng)絡(luò)造成障礙。這就需要支持NAT穿越的IPSec隧道。

組網(wǎng)需求

如圖10-11所示，分支機(jī)構(gòu)員工需要訪問總部內(nèi)部的服務(wù)器。由于服務(wù)器信息較機(jī)密，而且數(shù)據(jù)經(jīng)過Internet傳輸不安全，因此需要穿越NAT網(wǎng)關(guān)USG_B在USG_A與USG_C之間建立IPSec隧道，對傳輸數(shù)據(jù)進(jìn)行加密。

圖10-11  支持NAT穿越的IPSec隧道組網(wǎng)圖 

配置思路

1. 完成USG_A、USG_B和USG_C的基本配置、包括接口、轉(zhuǎn)發(fā)策略、本地策略、路由的配置。

2. 在USG_B上完成源NAT的配置。

3. 在USG_A和USG_C上完成IPSec的配置，需要注意的是在配置安全提議時(shí)要開啟NAT穿越功能。

操作步驟

1. 配置USG_A的接口基本參數(shù)。

a. 選擇“網(wǎng)絡(luò) > 接口 > 接口”。

b. 在“接口列表”中，單擊GE0/0/1對應(yīng)的。

c. 在“修改GigabitEthernet”界面中，配置如下：

· 安全區(qū)域：trust

· IP地址：192.168.0.1

· 子網(wǎng)掩碼：255.255.255.0

d. 單擊“應(yīng)用”。
e. 在“接口列表”中，單擊GE0/0/2對應(yīng)的。

f. 在“修改GigabitEthernet”界面中，配置如下：

· 安全區(qū)域：untrust

· IP地址：200.1.1.1

· 子網(wǎng)掩碼：255.255.255.0

2. 配置USG_A的安全策略。

a. 配置Local安全區(qū)域和Untrust安全區(qū)域之間的安全策略。

. 選擇“防火墻 > 安全策略 > 本地策略”。

i. 在“本地策略”中單擊“新建”。配置如下參數(shù)：

· 源安全區(qū)域：untrust


· 源地址：202.1.1.0/24

· 動(dòng)作：permit

ii. 單擊“應(yīng)用”。

a. 配置Trust安全區(qū)域和Untrust安全區(qū)域之間的安全策略。

i. 選擇“防火墻 > 安全策略 > 轉(zhuǎn)發(fā)策略”。

ii. 在“轉(zhuǎn)發(fā)策略列表”中單擊“新建”。配置如下參數(shù)。

· 源安全區(qū)域：trust

· 目的安全區(qū)域：untrust

· 源地址：192.168.0.0/24

· 目的地址：192.168.1.0/24

· 動(dòng)作：permit

iii. 單擊“應(yīng)用”。

iv. 重新在“轉(zhuǎn)發(fā)策略列表”中單擊“新建”。配置如下參數(shù)。

· 源安全區(qū)域：untrust

· 目的安全區(qū)域：trust

· 源地址：192.168.1.0/24

· 目的地址：192.168.0.0/24

· 動(dòng)作：permit

v. 單擊“應(yīng)用”。

1. 參考1、2以及上面的表格，完成USG_B和USG_C的基本配置。

2. 在USG_B上完成源NAT的配置，使分支機(jī)構(gòu)中的用戶使用NAT地址池中的公網(wǎng)IP地址訪問Internet。

a. 選擇“防火墻 > NAT > 源NAT”。

b. 選擇“NAT地址池”頁簽。

c. 在“NAT地址池列表”中，單擊“新建”。

在“新建NAT地址池”界面中，配置NAT地址池addresspool1，

d. 單擊“應(yīng)用”。

e. 選擇“源NAT”頁簽。

f. 在“源NAT策略列表”中，單擊“新建”。

在“新建源NAT”界面中，配置Trust與Untrust域間的源NAT，引用NAT地址池addresspool1，

g. 單擊“應(yīng)用”。

3. 配置USG_A的IPSec隧道。

a. 選擇“VPN > IPSec > IPSec”，單擊“新建”，選擇“場景”為“點(diǎn)到點(diǎn)”。

b. 配置USG_A的IPSec策略基本信息。

由于對端網(wǎng)關(guān)NAT轉(zhuǎn)換后的公網(wǎng)地址不固定，因此不指定對端網(wǎng)關(guān)地址。此時(shí)，只能由分支用戶來訪問總部，而總部用戶不能主動(dòng)訪問分支。

c. 在“待加密的數(shù)據(jù)流”中單擊“新建”，按如下數(shù)據(jù)增加一條數(shù)據(jù)流規(guī)則。

d. 展開“安全提議”中的“高級(jí)”，按如下參數(shù)配置IPSec安全提議。

本例中所使用的安全提議參數(shù)全部為缺省配置（見下圖），用戶可以直接使用而不用逐一對照配置。如果實(shí)際應(yīng)用場景中對安全提議參數(shù)有明確要求時(shí)，可以對安全提議參數(shù)進(jìn)行修改，且隧道兩端所使用的安全提議配置必須相同。

 e. 單擊“應(yīng)用”。完成USG_A的配置。

4. 配置USG_C的IPSec隧道。

a. 配置USG_C的IPSec策略基本信息，并指定對端網(wǎng)關(guān)，預(yù)共享密鑰為abcde。

b. 在“待加密的數(shù)據(jù)流”中單擊“新建”，按如下數(shù)據(jù)增加一條數(shù)據(jù)流規(guī)則。
 
c. 展開“安全提議”中的“高級(jí)”，按如下參數(shù)配置IPSec安全提議。

本例中所使用的安全提議參數(shù)全部為缺省配置，用戶可以直接使用而不用逐一對照配置。如果實(shí)際應(yīng)用場景中對安全提議參數(shù)有明確要求時(shí)，可以對安全提議參數(shù)進(jìn)行修改，且隧道兩端所使用的安全提議配置必須相同。
 
d. 單擊“應(yīng)用”。完成USG_C的配置。
 
以上文章由北京艾銻無限科技發(fā)展有限公司整理