H3C华为-IPsecVPN配置教程
H3C&华为-IPsecVPN配置教程
第⼀篇：⽹关对⽹关IPSec-VPN
⼀、H3C路由1、型号：MER5200；软件版本： version 7.1.064, Release 0809P07；固定外⽹IP；
2、添加静态路由
添加⾄对端公⽹和对端私⽹路由两条，如下图：
3、创建IPsecVPN
3.1 “虚拟专⽹”---“IPsecVPN”---新建-如下图：
3.2 名称----⾃⾏编辑；接⼝---选择外⽹出⼝，组⽹⽅式---分⽀节点；对端⽹关---对端外⽹IP；认证⽅式---预共享密钥；预共享密钥要与对端路由⼀致；3.3 保护流配置
H3C路由器下有个内⽹段需要与对端通信，就添加⼏个。本例172.16.10.0/24与10.10.11.0/24为本地内⽹，172.24.0.0/24为对端内⽹。
注：H3C设备不需要单独再做NAT配置。
4、显⽰⾼级配置
4.1 ike配置：主模式、本地外⽹、对端外⽹，关闭对等体检测，算法组推荐。如下图：
4.2 IPsec配置：按照默认配置即可。
5、监控信息
待对端华为路由配置完成且正确后，监控会显⽰如下信息。
6、命令⾏检查
[H3C]dis acl all
Dis ike sa
Dis ipsec sa
⼆、华为路由1、型号：AR1220-S，软件版本：[V200R007C00SPC900]，固定外⽹IP。
2、添加静态路由
添加⾄对端公⽹和对端私⽹路由两条，如下图：
2、配置⾼级ACL
2.1 新建“nonat”，添加⽬的地址10.10.11.0/24,172.16.10.0/24不做NAT转换两条，其他允许NAT转换；如下图
2.2 新建“nj-g”,i添加本地内⽹172.24.0.0/24⾄⽬的内⽹10.10.11.0/24,172.16.10.0/24的acl，此路由⾛IPsec。如下图
2.3 创建“⽣效时间”
3、NAT应⽤⾼级acl
“ip业务”--“NAT”---“外⽹访问”---编辑----ACL名称选择“nonat”。
en 进入特权模式
conf 进入全局配置模式
in s0 进入 serial 0 端口配置
ip add 添加ip 地址和掩码，电信分配
enca hdlc/ppp 捆绑链路协议 hdlc 或者 ppp
ip unn e0?
exit 回到全局配置模式
in e0 进入以太接口配置
ip add 添加ip 地址和掩码，电信分配
exit 回到全局配置模式
ip
ena password 口令
write
exit
以上根据中国电信 ddn 专线多数情况应用 普通用户模式
enable 转入特权用户模式
exit 退出配置
help 系统帮助简述
language 语言模式切换
ping 检查网络主机连接及主机是否可达
show 显示系统运行信息
telnet 远程登录功能
tracert 跟踪到目的地经过了哪些路由器?
特权用户模式
#?
clear 清除各项统计信息
clock 管理系统时钟
configure 进入全局配置模式
debug 开启调试开关
disable 返回普通用户模式 download 下载新版本软件和配置文件
erase 擦除FLASH中的配置
exec-timeout 打开EXEC超时退出开关
exit 退出配置
first-config 设置或清除初次配置标志
help 系统帮助简述
language 语言模式切换
monitor 打开用户屏幕调试信息输出开关
no 关闭调试开关
ping 检查网络主机连接及主机是否可达
reboot 路由器重启
setup 配置路由器参数
show 显示系统运行信息
telnet 远程登录功能
tracert 跟踪到目的地经过了哪些路由器
unmonitor 关闭用户屏幕调试信息输出开关 write 将当前配置参数保存至FLASH MEM中
全局配置模式
aaa-enable 使能配置AAA(认证，授权和计费)
access-list 配置标准访问表
5
IPSec配置
关于本章
5.1 IPSec简介
5.2 IPSec原理描述
5.3 IPSec应用场景
5.4 IPSec配置任务概览
5.5 IPSec配置注意事项
5.6 IPSec缺省配置
5.7 配置采用ACL方式建立IPSec隧道
5.8 配置采用虚拟隧道接口方式建立IPSec隧道
5.9 配置采用Efficient VPN策略建立IPSec隧道
5.10 配置IKE
5.11 维护IPSec
5.12 IPSec配置举例
5.13 IPSec常见配置错误
5.1 IPSec简介
起源
随着Internet的发展，越来越多的企业直接通过Internet进行互联，但由于IP协议未考
虑安全性，而且Internet上有大量的不可靠用户和网络设备，所以用户业务数据要穿越
这些未知网络，根本无法保证数据的安全性，数据易被伪造、篡改或窃取。因此，迫
切需要一种兼容IP协议的通用的网络安全方案。
为了解决上述问题，IPSec（Internet Protocol Security）应运而生。IPSec是对IP的安
全性补充，其工作在IP层，为IP网络通信提供透明的安全服务。Huawei AR 系列物联网关
配置指南-VPN（命令行）5 IPSec配置
文档版本 08 (2020-08-31)版权所有 © 华为技术有限公司269定义
IPSec是IETF（Internet Engineering Task Force）制定的一组开放的网络安全协议。它
并不是一个单独的协议，而是一系列为IP网络提供安全性的协议和服务的集合，包括
认证头AH（Authentication Header）和封装安全载荷ESP（Encapsulating SecurityPayload）两个安全协议、密钥交换和用于验证及加密的一些算法等。
通过这些协议，在两个设备之间建立一条IPSec隧道。数据通过IPSec隧道进行转发，实
现保护数据的安全性。
受益
IPSec通过加密与验证等方式，从以下几个方面保障了用户业务数据在Internet中的安
H3C-ER系列路由器IPSEC-VPN的典型配置
H3CER 系列路由器 IPSECVPN 的典型配置
在当今数字化的时代，企业对于数据安全和远程访问的需求日益增长。IPSECVPN 作为一种常用的安全通信技术，能够为企业提供可靠的数据加密和远程接入服务。H3CER 系列路由器以其出色的性能和丰富的功能，成为了实现 IPSECVPN 的理想选择。接下来，我们将详细介绍 H3CER 系列路由器 IPSECVPN 的典型配置过程。
一、前期准备
在进行配置之前，我们需要明确一些基本信息和准备工作：
1、 确定两端路由器的公网 IP 地址，这是建立 VPN 连接的关键。
2、 规划好 IPSECVPN 的参数，如预共享密钥、IKE 策略、IPSEC
策略等。
3、 确保两端路由器能够正常连接到互联网，并且网络连接稳定。
二、配置步骤
1、 配置 IKE 策略 IKE（Internet Key Exchange，互联网密钥交换）策略用于协商建立
IPSEC 安全联盟所需的参数。在 H3CER 系列路由器上，我们可以按照以下步骤进行配置：
（1）进入系统视图：
｀｀｀
systemview
｀｀｀
（2）创建 IKE 安全提议：
｀｀｀
ike proposal 1
｀｀｀
（3）设置加密算法和认证算法：
｀｀｀
encryptionalgorithm aescbc-128
authenticationalgorithm sha1
｀｀｀
（4）创建 IKE 对等体：
｀｀｀ ike peer peer1
｀｀｀
（5）设置对等体的预共享密钥：
｀｀｀
presharedkey simple 123456
｀｀｀
（6）指定对等体使用的 IKE 提议：
｀｀｀
ikeproposal 1
｀｀｀
（7）指定对等体的对端 IP 地址：
｀｀｀
remoteaddress ＿___
｀｀｀
2、 配置 IPSEC 策略
