sangfor 对接启明星辰防火墙
- 格式：docx
- 大小：5.28 MB
- 文档页数：13
引：IPsec 报文原理
这次说说IPsec另外两种场景，一种是做外网网关部署环境，一种是旁挂模式部署环境，一般防火墙直接挂在外网然后使用IPsec属于外网网关部署环境，如果VPN设备旁挂于核心或者防火墙之后非公网地址为单臂模式环境。
拓扑图：参旁挂模式拓扑。
针对单臂环境
注：启明防火墙为旁挂模式部署
一、引：启明星辰防火墙映射VPN需要的UDP 500与4500
6.4 配置步骤
（1）配置网络连通性
保证防火墙外网接口到互联网能够连通，内网接口到服务器能够连通。
（2）定义 IP 地址对象、开放端口对象
在【防火墙】--【地址】--【地址】定义内网服务器地址。
在【防火墙】--【服务】--【基本服务】定义开放的端口号
注：源端口低和高一般不需要填写，除非是客户端限定了访问源端口
（3）配置端口映射规则
在【防火墙】--【策略】--【NAT策略】--选择端口映射
公开地址：需要映射的外网口地址（必须为物理接口或者别名设备地址）
拨号用户选择拨号获取到的公网地址即可
内部地址：在地址列表里定义的服务器地址
对外服务：需要对外开放的端口，此处选择vpn端口
注：系统预定义大量常用端口，可以直接使用
对内服务：内网服务器需要开放的端口，此处选择vpn端口500、4500
隐藏内部地址：可选。
如果取消选中，既能通过公开地址和端口访问内部服务器，也可以直接访问服务器；如果选中，只能通过公开地址和端口访问内部服务器如果需要内网用户通过访问公网地址来实现访问内网服务器，则需要将源地址转换为选择为防火墙内网接口地址。
（4）配置安全规则
源地址选择any，目的地址选择为vpn，服务选择为vpn端口。
二、设置启明星辰配置
（1）配置启明星辰VPN 接口地址
进入【网络管理】-【网络接口】-【物理设备】，设置eth1和eth2为内外网口地址。
（2）配置防火墙IPsec基本属性
（2）配置启明星辰VPN IPSEC---VPN规则
进入【VPN】-【IPSec】-【VPN规则】-添加，设置本地保护子网为192.168.83.0/24，对端保护子网为192.168.82.0/24。
设置本地保护子网为192.168.83.0/24，对端保护子网为192.168.82.0/24。
（3）配置启明星辰VPN的IKE配置
进入【VPN】-【IPSec】-【IKE配置】-添加
这里的预共享密钥和协商模式必须与sangfor设置相同。
如果选择野蛮模式，务必设置ID。
（4）配置启明星辰VPN的网关隧道配置
进入【VPN】-【IPSec】-【网关隧道配置】-添加
这里选择外网口为VPN接口，完美向前保密必须和Sangfor设置相同。
缺省策略尽量选择允许，如果选择包过滤需要单独到防火墙策略页面加安全策略（保护网段双向放通）。
（5）隧道监控—启动隧道
三、设置深信服配置
选择外网接口为IPsec线路模式。
红色区域勾选。
登入深信服防火墙配置VPN
1、选择第三方对接，选择新建第一阶段配置
点击高级配置，设置ike密钥。
ISAKMP存活时间必须一致。
ISAKMP算法只需要和启明星辰4种算法其中一种保持一致即可。
DPD要么都开要么都不开。
启明参考：
点击确认保存。
2、选择第二阶段配置
入站为对端IPsec的子网网端，出站为本地内网网端。
设置入站策略
点击确认保存
设置出站策略
SA生存时间参考
注：如果对端设备开启了启用密钥完美向前保密（PFS），本段也必须要开。
否则报错为：
点击确认保存。
3、设置IPsec加密算法（其他设备在第二阶段加密）
4、配置安全策略（放行），放行vpn到LAN，与LAN到VPN.
注意：深信服与其他友商不一样的地方是不需要配置IPsec的感兴趣流，在LAN口直接转发到VPN虚拟接口，不会转发到公网的出接口，所以不需要配置，只需要配置第二阶段的出入向配置。
查看VPN状态
查看路由表：不要在意细节0.0
测试：使用namp进行对天融信内网扫描，发现大量存活主机，ping测试访问正常，远程桌面正常。
（未截图）
注意：单臂模式总部的核心交换机需要将访问对端的路由下一跳指向VPN设备。
因为VPN对接后本地自动生成ipsec隧道的路由。
图例：
正对外网网关场景
提示：本场景不需要考虑端口映射与静态路由即可。
不过多说明。
附：NAT端口映射内网用户想要用公网地址访问的双向NAT问题随笔。
