拓扑图
前面的基础配置不再说，这里只说ipsec vpn的配置
需求
FW8和FW9建立ipsec隧道，实现总公司的10.0.3.0/24网段能ping通分公司的192.168.1.0/24网段
分析
- FW8作为vpn设备下沉到内网中，并且存在nat环境，那么ike的模式就只能选择野蛮模式，并且封装协议也只能选择esp+隧道模式
- 建立ipsec隧道时也要注意FW8需要做一个源目标nat转换，源nat直接可以做，目标nat需要做一个服务器映射，将公网防火墙的公网接口的UDP500和4500端口的流量映射到FW8（ipsec在nat环境下需要NAT-T穿越技术，该技术允许ipsec在建立隧道时源端口不为500）
- 放通防火墙策略
实现过程
1.建立ipsec隧道
首先在SW2交换机上配置，创建vlan30，创建access接口，trunk通道允许通过
然后为内网vpn设备配置IP，并划入untrust区域
公网防火墙在g1/0/2接口创建子接口作为网关
放通安全策略，让ike协商，FW8和9都需要做，因为是防火墙自己和对方通信，所以是local to untrust（双向），注意这里的ike服务需要自己新建，udp的500和4500端口
FW8和9都如下，至于为什么放通esp，是因为隧道的通信都是esp封装过后的，需要放通
公网防火墙因为它只是作为中间人传输，所以是trust to untrust（双向）
源目nat配置
我这条策略就已经包含了trust to untrust
然后服务器映射
FW8 ipsec隧道的搭建，这里的ID不能选择IP，地址如下
野蛮模式
隧道+esp
FW9类似，只是换个IP和地址组
上面做完ipsec隧道应该就能协商成功了，然后就开始考虑数据通信了
2.数据通信
FW8和9都放通私网流量
公网防火墙作为中间人转发数据也需要放通
写静态路由
拓扑图中，因为vpn设备在旁边，如果不写这个静态，10.0.3.0/24到192.168.1.0/24的流量走到网关后，防火墙查路由表直接就走缺省了，就不会走隧道了
最后公网防火墙上还需要写一条BG to trust的策略
效果
