USG6000v2 NAT模式下IPSEC 实验
拓扑图
公网配置OSPF路由协议（网络要求能通就行）
一、 总部配置
（一）交换机配置
1、 总部交换机到防火墙网段 192.168.10.0/24
2、 交换机G0/0设置成access端口划分vlan 10，网关 192.168.10.1/24
3、 交换机G0/1设置成access端口划分vlan 20 ,网关192.168.20.1/24
4、 默认路由配置 ip rout 0.0.0.0 0.0.0.0 192.168.10.2
（二）防火墙配置
1、g/2口配置ip地址192.168.10.2/24
2、g0/1口配置公网ip 10.1.1.2/24，网关地址指向10.1.1.1/24
3、配置NAT上网策略
5、 配置策略放通流量,放通内网192.168.10.0/24 192.168.20.0/24的上网流量（我这里默认any 没有写明细网段）
6、 配置出口路由（ip route-static 0.0.0.0 0.0.0.0 10.1.1.1）、回包路由（指向vlan10的网关地址(ip route-static 192.168.20.0 255.255.255.0 192.168.10.1)（配置完成后可使用内网PC机ping 外网地址是否能通）
7、 配置IPSEC ，协商秘钥、版本等,（两端是NAT点到点的需要选择V1模式），且感兴趣流需要再NAT策略里配置"不做转换"。
点击高级选择V1，其他默认
8、 配置策略放通总部-分部IPSEC流量，这里需要配置四条策略，也可以简化成两条。
(1)、放通分部-总部IKE协商报文策略、（Untrust-local）
(2)、放通总部-分部IKE协商报文策略（Local-Untrust）
(3)、放通分部-总部的流量策略 (Untrust-turst)
(4)、放通总部-分部的流量策略(turst-untrust)
9、 配置总部到分部172.16.20.0/24的默认路由
10、 配置源区域trust 源地址192.168.20.0/24 到目的区域untrust 目的地址 172.16.20.0/24 ，不作转换的NAT
二、分部配置
（一）交换机配置
11、 分部交换机到防火墙网段 172.16.10.0/24
12、 交换机G0/0设置成access端口划分vlan 10，网关 172.16.10.1/24
13、 交换机G0/1设置成access端口划分vlan 20 ,网关172.16.20.1/24
14、 默认路由配置 ip rout 0.0.0.0 0.0.0.0 172.16.10.1
（二）防火墙配置
1、g/2口配置ip地址172.16.10.2/24
2、g0/1口配置公网ip 10.1.5.2/24，网关地址指向10.1.5.1/24
3、配置NAT上网策略
4、配置策略放通流量
5、配置指向外网网关的默认路由；内网回包路由，指向vlan10的网关地址(ip route-static 172.16...20.0 255.255.255.0 172.16.10.1)
6、配置IPSEC ，协商秘钥、版本等，
7、配置策略放通总部-分部IPSEC流量（也是做四条放通策略，镜像总部的配置，源目的区域地址调换即可）
(1)、放通总部-分部IKE协商报文策略、（Untrust-local）
(2)、放通分部-总部部IKE协商报文策略、（local-untrust）
(3)、放通总部到分部的IPsec流量访问策略（Untrust-trust）
(4)、放通分部-总部的IPsec流量访问策略（trust-untrust）
8、配置到总部192.168.20.0/24网段的静态路由
9、配置源区域trust 源地址172.16.20.0/24 到目的区域untrust 目的地址 192.168.20.0/24 ，不作转换的NAT
三、测试
(一)、查看IPsec 是否建立成功
（二）、PC8 ping PC9,查看总部和分部网段是否能够通讯
如有问题可以留言或者加群交流 478075018