MSR V5和MSR V7路由器IPSec VPN对接典型配置(野蛮模式)
1.组网需求
MSRV5路由器采用PPPoE拨号方式上网，IP地址不固定，MSRV7路由器采用固定IP地址上网，两台设备采用野蛮模式建立IPSecVPN保护内网互访的数据流。
2.配置步骤
1)MSR V5路由器
# 配置一个访问控制列表，定义由子网192.168.1.0/24去子网172.16.1.0/24的数据流。
<H3C>system-view
[H3C]aclnumber 3000
[H3C-acl-adv-3000]rule0 permitipsource192.168.1.00.0.0.255destination172.16.1.00.0.0.255
[H3C-acl-adv-3000]quit
#配置ACL 3001，用于外网口配置NAT引用，防止IPSec数据流被NAT优先转换。
[H3C]aclnumber 3001
[H3C-acl-adv-3001]rule0denyipsource192.168.1.00.0.0.255destination172.16.1.00.0.0.255
[H3C-acl-adv-3001]rule1 permitip
[H3C-acl-adv-3001]quit
[H3C]ikelocal-name v5//配置本端安全网关的名字
#创建一条IKE提议1
[H3C]ikeproposal 1
[H3C-ike-proposal-1]authentication-algorithm md5//指定IKE提议使用的认证算法为MD5
[H3C-ike-proposal-1]encryption-algorithm 3des-cbc//指定IKE提议使用的加密算法为3des-cbc
[H3C-ike-proposal-1]quit
#配置IPsec安全提议v5。
[H3C]ipsectransform-set v5
[H3C-ipsec-transform-set-v5]encapsulation-mode tunnel
[H3C-ipsec-transform-set-v5]transformesp
[H3C-ipsec-transform-set-v5]espencryption-algorithm 3des//ESP协议采用的加密算法为3des
[H3C-ipsec-transform-set-v5]espauthentication-algorithm md5//ESP协议采用的认证算法md5
[H3C-ipsec-transform-set-v5]quit
#创建IKE对等体
[H3C]ikepeer v5
[H3C-ike-peer-v5]exchange-mode aggressive//配置IKE第一阶段的协商模式为野蛮模式
[H3C-ike-peer-v5]pre-shared-key 123456//配置预共享密码
[H3C-ike-peer-v5]proposal 1//引用IKE安全提议1
[H3C-ike-peer-v5]id-type name//选择IKE第一阶段的协商过程中使用ID的类型为name
[H3C-ike-peer-v5]remote-address2.2.2.2//配置对端安全网关的IP地址，也就是对端设备的公网地址
[H3C-ike-peer-v5]remote-name v7//配置对端安全网关的名字
[H3C-ike-peer-v5]local-name v5//配置本端安全网关的名字，也就是之前配置的ikelocal-name
[H3C-ike-peer-v5]quit
# 创建一条IPSec安全策略，协商方式为isakmp。
[H3C]ipsecpolicy v5 1isakmp
[H3C-ipsec-policy-isakmp-v5-1]securityacl3000//引用安全ACL
[H3C-ipsec-policy-isakmp-v5-1]ike-peer v5//引用IKE对等体
[H3C-ipsec-policy-isakmp-v5-1]transform-set v5//引用IPSec安全提议
[H3C-ipsec-policy-isakmp-v5-1]quit
#在相应的Dialer口应用IPSec安全策略（本例假设使用Dialer 10）。
[H3C]interfaceDialer 10
[H3C-Dialer10]ipsecpolicy v5
[H3C-Dialer10]natoutbound 3001
[H3C-Dialer10]quit
[H3C]iproute-static 0.0.0.0 0.0.0.0dialer10//添加到公网的静态路由，出接口为实际Dialer拨号口
2)MSR V7路由器
# 配置一个访问控制列表，定义由子网172.16.1.0/24去子网192.168.1.0/24的数据流。
<H3C>system-view
[H3C]acladvanced 3000
[H3C-acl-ipv4-adv-3000]rule0 permitipsource172.16.1.00.0.0.255 destination192.168.1.00.0.0.255
[H3C-acl-ipv4-adv-3000]quit
# 配置ACL 3001，用于外网口配置NAT引用，防止IPSec数据流被NAT优先转换。
[H3C]acladvanced 3001
[H3C-acl-ipv4-adv-3001]rule0 denyipsource172.16.1.0 0.0.0.255 destination192.168.1.0 0.0.0.255
[H3C-acl-ipv4-adv-3001]rule1 permitip
[H3C-acl-adv-3001]quit
#创建一条IKE提议1
[H3C]ikeproposal 1
[H3C-ike-proposal-1]authentication-algorithm md5//指定IKE提议使用的认证算法为MD5,配置必须与V5端一致
[H3C-ike-proposal-1]encryption-algorithm 3des-cbc//指定IKE提议使用的加密算法为3des-cbc，配置必须与V5端一致
[H3C-ike-proposal-1]quit
[H3C]ikeidentityfqdnv7//配置本端FQDN名称
#创建IKE keychain,由于对端地址不固定，配置成0.0.0.0匹配所有。
[H3C]ikekeychain v7
[H3C-ike-keychain-v7]pre-shared-key address 0.0.0.0 0.0.0.0 key simple 123456//此处配置的预共享密钥必须与V5端IKE对等体视图下配置的预共享密钥相同
[H3C-ike-keychain-v7]quit
# 创建并配置IKE profile，名称为v7。
[H3C]ikeprofile v7
[H3C-ike-profile-v7]keychain v7//引用上面配置的keychain
[H3C-ike-profile-v7]exchange-mode aggressive//配置IKE第一阶段的协商模式为野蛮模式
[H3C-ike-profile-v7]local-identityfqdnv7//配置本端身份信息
[H3C-ike-profile-v7]match remote identityfqdnv5//指定需要匹配对端身份类型为FQDN，取值v5
[H3C-ike-profile-v7]proposal 1//引用之前配置IKE提议
[H3C-ike-profile-v7]quit
#配置IPsec安全提议v7。
[H3C]ipsectransform-set v7
[H3C-ipsec-transform-set-v7]encapsulation-mode tunnel
[H3C-ipsec-transform-set-v7]espencryption-algorithm 3des-cbc//ESP协议采用的加密算法为3des-cbc
[H3C-ipsec-transform-set-v7]espauthentication-algorithm md5//ESP协议采用的认证算法为md5
[H3C-ipsec-transform-set-v5]quit
# 创建一个模板名字为1，顺序号为1的安全策略模板。
[H3C]ipsecpolicy-template 1 1
[H3C-ipsec-policy-template-1-1]transform-set v7//指定引用的ipsec安全提议
[H3C-ipsec-policy-template-1-1]securityacl3000//引用安全ACL
[H3C-ipsec-policy-template-1-1]ike-profile v7//指定引用的IKE profile
[H3C-ipsec-policy-template-1-1]quit
# 引用IPSec策略模板1，创建名字为policyv7、顺序号为1的IPsec安全策略。
[H3C]ipsecpolicy v7 1isakmptemplate 1
#在接口GigabitEthernet0/1上应用IPsec安全策略
[H3C]interfaceGigabitEthernet0/1
[H3C-GigabitEthernet0/1]natoutbound 3001
[H3C-GigabitEthernet0/1]ipsecapply policy v7
[H3C-GigabitEthernet0/1]quit
[H3C]iproute-static 0.0.0.0 0.0.0.0X.X.X.X//添加到公网的静态路由，其中X.X.X.X请配置公网接口的网关地址
注：配置完成之后，由拨号端主动发起访问，触发建立IPSec隧道。
优质内容筛选与推荐>>1、++a和a++的区别
2、Unity UGUI——Rect Transform包（Anchors）
3、[Audio processing] Harmonic change detection function (HCDF)
4、javascript -- 预定义函数
5、LeetCode:Contains Duplicate II