防御保护----IPSEC VPPN实验

实验拓扑:

实验背景:FW1和FW2是双机热备的状态。

实验要求:在FW和FW3之间建立一条IPSEC通道,保证10.0.2.0/24网段可以正常访问到192.168.1.0/24

IPSEC VPPN实验配置(由于是双机热备状态,所以FW1和FW2只需要配置FW1主设备即可):

场景选用点到点,配置好FW1的出接口地址和对端FW3的接口地址,认证方式选用预共享密钥(密钥自己设置),身份认证选用IP地址

新建ACL待加密数据流的配置

安全提议配置:

IKE参数配置:

IPSec参数:

FW3的配置:

同样选择点到点,只是IP地址配置和FW1相反

新建ACL待加密数据流的配置

安全提议的配置和FW1一样

然后去FW1安全策略里面放通IKE(UPD500)报文的策略,服务不仅要允许IKE的流量,也要允许IPSec加密流量ESP的放通,允许它从内网往外网发送。

新建一个对应IKE的服务

在FW3也同样如此

此时查看IPSec策略,就可以看见已经协商成功了

此时,内网的数据可以到达外网,但外网的数据在经过防火墙时,防火墙并不允许外网的流量进来。

在新建一个针对IPSec的数据流量的安全策略(FW1和FW2一样)。

由于NAT地址转换是上游配置,而IPSec隧道是下游配置,一般流量出防火墙会先做NAT转换,但是做了NAT转换就不能进入IPSec隧道,所以在这新建一个NAT策略

FW1

FW2

由于NAT匹配策略是由上往下,所以这里把精细的IPSec的NAT策略放在上面。

相关推荐
北极光SD-WAN组网2 小时前
从0到1搭建某铝箔智慧工厂网络:5G与WiFi 6助力智能制造
网络·5g·制造
阿昭L2 小时前
HTTP原理
网络·网络协议·http
hazy1k3 小时前
STM32H750 RTC介绍及应用
网络·stm32·实时音视频
没书读了3 小时前
考研复习-计算机网络-第三章-数据链路层
网络·计算机网络·考研
on the way 1233 小时前
多线程之HardCodedTarget(type=OssFileClient, name=file, url=http://file)异常
网络·网络协议·http
WhoisXMLAPI3 小时前
WhoisXML API再次荣登2025年美国Inc. 5000快速成长企业榜单
网络·安全
阿sir1984 小时前
ZYNQ 自定义IP
服务器·网络·tcp/ip
星马梦缘5 小时前
计算机网络4 第四章 网络层——网络间的通信问题(省际之间如何规划信件运输路线)
网络·计算机网络·路由·ip地址·子网掩码·icmp·ipv4/ipv6
hsjkdhs7 小时前
万字详解网络编程之socket
网络·tcp/ip·udp·socket
@是你太难忘8 小时前
计算机网络IP协议
网络·tcp/ip·计算机网络