配置穿越NAT设备建立IPSec隧道的示例

组网需求

当进行IPSec协商的两个对端设备之间存在NAT网关时，建立IPSec隧道的两端需要进行NAT穿越能力协商，因此两端设备都必须具备NAT穿越的能力。

如图1所示，分支网络出口网关RouterA、总部网络出口网关RouterB之间通过NATER进行地址转换，RouterA、RouterB之间建立支持NAT穿越的野蛮模式IPSec。
图1IPSec穿越NAT功能组网图

操作步骤

RouterA的配置

screen 复制代码

<span style="color:#333333"><span style="background-color:#dddddd">#
 sysname RouterA  //设置设备的主机名
#
 ike local-name RouterA  //设置IKE协商时本设备的ID                                                      
# 
ipsec proposal rta  //创建一个IPSec提议
 esp authentication-algorithm sha2-256
 esp encryption-algorithm aes-192
#
ike proposal 5   //配置IKE提议
 encryption-algorithm aes-cbc-128   //V200R008及之后的版本，<strong id="ZH-CN_TASK_0176365526__zh-cn_task_0176365518_b351793642180141">aes-cbc-128</strong>参数修改为<strong id="ZH-CN_TASK_0176365526__zh-cn_task_0176365518_b450057110180141">aes-128</strong>
 dh group14
 authentication-algorithm sha2-256 
#
ike peer rta v1  //配置IKE对等体及其使用的协议时，不同的软件版本间的配置有差异：V200R008之前的版本命令为<strong>ike peer</strong> <em>peer-name</em> [ <strong>v1</strong> | <strong>v2</strong> ]。V200R008及之后的版本命令为<strong>ike peer</strong> <em>peer-name</em>和<strong>version</strong> { <strong>1</strong> | <strong>2</strong> }，如果对等体IKEv1和IKEv2版本同时启用，设备发起协商时会使用IKEv2协议，响应协商时则同时支持IKEv1协议和IKEv2协议。自V200R008版本到V200R021版本，缺省情况下，对等体IKEv1和IKEv2同时启用。如果设备需要使用IKEv1协议，则可以执行命令<strong>undo version 2</strong>；V200R021及之后版本，缺省情况下，启用对等体IKEv2版本。如果设备需要使用IKEv1协议，需要先执行命令<strong>version 1</strong>，再执行命令<strong>undo version 2</strong>。
 exchange-mode aggressive  //配置IKE的协商模式为野蛮模式
 pre-shared-key cipher %^%#JvZxR2g8c;a9~FPN~n'$7`DEV&=G(=Et02P/%\*!%^%#  //配置预共享密钥认证字为"YsHsjx_202206"，以密文显示，该命令在V2R3C00以前的版本中为"pre-shared-key YsHsjx_202206"，以明文显示
 ike-proposal 5
 local-id-type name  //配置IKE协商时本端的ID类型。V200R008及之后的版本，<strong id="ZH-CN_TASK_0176365526__zh-cn_task_0176365518_b323389292180141">name</strong>参数修改为<strong id="ZH-CN_TASK_0176365526__zh-cn_task_0176365518_b378136826180141">fqdn</strong>
 remote-name RouterB  //配置对端IKE peer名称,//配置对端IKE peer名称。V200R008及之后的版本，设备不支持命令<strong id="ZH-CN_TASK_0176365526__zh-cn_task_0176365518_b326044116180141">remote-name</strong>，其命令功能等同于命令<strong id="ZH-CN_TASK_0176365526__zh-cn_task_0176365518_b687140625180141">remote-id</strong>
 nat traversal   //使能NAT穿越功能。V200R008版本，设备默认使能NAT穿越功能，不支持配置此命令；但V200R008之后版本，支持配置此命令
#                       
ipsec policy-template rta_temp 1  //建一个安全策略模板
 ike-peer rta                             
 proposal rta                             
#
ipsec policy rta 1 isakmp template rta_temp  //指定采用策略模板创建安全联盟
#
interface Ethernet1/0/0
 ip address 1.2.0.1 255.255.255.0
 ipsec policy rta
#
interface Ethernet2/0/0
 ip address 10.1.0.1 255.255.255.0
#                                         
ip route-static 10.2.0.0 255.255.255.0 1.2.0.2  //配置到10.2.0.0网段的静态路由
#
return </span></span>

RouterB的配置

screen 复制代码

<span style="color:#333333"><span style="background-color:#dddddd">#
 sysname RouterB  //设置设备的主机名
#                                         
 ike local-name RouterB  //设置IKE协商时本设备的ID                                                       
# 
acl number 3000  //配置ACL
 rule 0 permit ip source 10.2.0.0 0.255.255.255 destination 10.1.0.0 0.255.255.255 
#                                         
ipsec proposal rtb  //创建一个IPSec提议
 esp authentication-algorithm sha2-256
 esp encryption-algorithm aes-192
#                           
ike proposal 5   //配置IKE提议
 encryption-algorithm aes-cbc-128   //V200R008及之后的版本，<strong id="ZH-CN_TASK_0176365526__zh-cn_task_0176365518_b351793642180141_1">aes-cbc-128</strong>参数修改为<strong id="ZH-CN_TASK_0176365526__zh-cn_task_0176365518_b450057110180141_1">aes-128</strong>
 dh group14
 authentication-algorithm sha2-256 
#
ike peer rtb v1  //配置IKE对等体及其使用的协议时，不同的软件版本间的配置有差异：V200R008之前的版本命令为<strong>ike peer</strong> <em>peer-name</em> [ <strong>v1</strong> | <strong>v2</strong> ]。V200R008及之后的版本命令为<strong>ike peer</strong> <em>peer-name</em>和<strong>version</strong> { <strong>1</strong> | <strong>2</strong> }，如果对等体IKEv1和IKEv2版本同时启用，设备发起协商时会使用IKEv2协议，响应协商时则同时支持IKEv1协议和IKEv2协议。自V200R008版本到V200R021版本，缺省情况下，对等体IKEv1和IKEv2同时启用。如果设备需要使用IKEv1协议，则可以执行命令<strong>undo version 2</strong>；V200R021及之后版本，缺省情况下，启用对等体IKEv2版本。如果设备需要使用IKEv1协议，需要先执行命令<strong>version 1</strong>，再执行命令<strong>undo version 2</strong>。
 exchange-mode aggressive  //配置IKE的协商模式为野蛮模式
 pre-shared-key cipher %^%#K{JG:rWVHPMnf;5\|,GW(Luq'qi8BT4nOj%5W5=)%^%#  //配置预共享密钥认证字为"YsHsjx_202206"，以密文显示，该命令在V2R3C00以前的版本中为"pre-shared-key YsHsjx_202206"，以明文显示
 ike-proposal 5
 local-id-type name  //配置IKE协商时本端的ID类型。V200R008及之后的版本，<strong id="ZH-CN_TASK_0176365526__zh-cn_task_0176365518_b323389292180141_1">name</strong>参数修改为<strong id="ZH-CN_TASK_0176365526__zh-cn_task_0176365518_b378136826180141_1">fqdn</strong>
 remote-name RouterA   //配置对端IKE peer名称。V200R008及之后的版本，设备不支持命令<strong id="ZH-CN_TASK_0176365526__zh-cn_task_0176365518_b326044116180141_1">remote-name</strong>，其命令功能等同于命令<strong id="ZH-CN_TASK_0176365526__zh-cn_task_0176365518_b687140625180141_1">remote-id</strong>
 remote-address 1.2.0.1  //配置对端IKE peer地址
 nat traversal   //使能NAT穿越功能。V200R008版本，设备默认使能NAT穿越功能，不支持配置此命令；但V200R008之后版本，支持配置此命令
#
ipsec policy rtb 1 isakmp  //配置IPSec策略
 security acl 3000
 ike-peer rtb
 proposal rtb
#                                         
interface Ethernet1/0/0                   
 ip address 192.168.0.2 255.255.255.0
 ipsec policy rtb
#                                         
interface Ethernet2/0/0                   
 ip address 10.2.0.1 255.255.255.0
#                                         
ip route-static 0.0.0.0 0.0.0.0 192.168.0.1  //配置静态路由
#
return </span></span>

NATER的配置

screen 复制代码

<span style="color:#333333"><span style="background-color:#dddddd">#
 sysname NATER  //设置设备的主机名
#
acl number 3000  //配置ACL
 rule 0 permit ip source 192.168.0.0 0.0.0.255 destination 1.2.0.0 0.0.0.255
#                                         
interface Ethernet1/0/0                   
 ip address 1.2.0.2 255.255.255.0         
 nat outbound 3000  //接口下配置nat outbound
#                                         
interface Ethernet2/0/0            
 ip address 192.168.0.1 255.255.255.0  
#
return </span></span>