技术支持中心：赵彪０４７０８
组网需求
分支和中心采用ＤＶＰＮ进行互通，同时要求私网网段之间的数据流采用ＩＰＳＥＣ隧道加密传输，分支和中心之间采用ＯＳＰＦ动态路由协议。组网图
配置步骤１．配置中心
配置本端ＩＫＥ名称ｉｋｅｌｏｃａｌ－ｎａｍｅｚｈｏｎｇｘｉｎ配置ＩＫＥ参数ｉｋｅｐｅｅｒ１ｅｘｃｈａｎｇｅ－ｍｏｄｅａｇｇｒｅｓｓｉｖｅｐｒｅ－ｓｈａｒｅｄ－ｋｅｙ１２３４５６ｉｄ－ｔｙｐｅｎａｍｅｒｅｍｏｔｅ－ｎａｍｅｆｅｎｚｈｉｎａｔｔｒａｖｅｒｓａｌ创建安全提议，采用默认参数ｉｐｓｅｃｐｒｏｐｏｓａｌ１创建ＩＰＳＥＣ模板，并引用ＩＫＥ和安全提议ｉｐｓｅｃｐｏｌｉｃｙ－ｔｅｍｐｌａｔｅｔｅｍｐ１ｉｋｅ－ｐｅｅｒ１ｐｒｏｐｏｓａｌ１创建ＩＰＳＥＣ策略ｉｐｓｅｃｐｏｌｉｃｙｐｏｌ１１ｉｓａｋｍｐｔｅｍｐｌａｔｅｔｅｍｐ定义ＮＡＴ转换的ＡＣＬａｃｌｎｕｍｂｅｒ３０００ｒｕｌｅ０ｐｅｒｍｉｔｉｐｓｏｕｒｃｅ１９２．１６８．１．００．０．０．２５５ｒｕｌｅ１ｄｅｎｙｉｐ
1
配置外网口ｉｎｔｅｒｆａｃｅＥｔｈｅｒｎｅｔ１／０ｉｐａｄｄｒｅｓｓ２０２．３８．１．２２５５．２５５．２５５．０ｎａｔｏｕｔｂｏｕｎｄ３０００ｉｐｓｅｃｐｏｌｉｃｙｐｏｌ１配置内网口ｉｎｔｅｒｆａｃｅＥ０／０ｉｐａｄｄｒｅｓｓ１９２．１６８．１．１２５５．２５５．２５５．０配置ＤＶＰＮ隧道接口ｉｎｔｅｒｆａｃｅＴｕｎｎｅｌ１ｉｐａｄｄｒｅｓｓ１０．０．０．１２５５．２５５．２５５．０ｔｕｎｎｅｌ－ｐｒｏｔｏｃｏｌｕｄｐｄｖｐｎｓｏｕｒｃｅＬｏｏｐＢａｃｋ０ｄｖｐｎｉｎｔｅｒｆａｃｅ－ｔｙｐｅｓｅｒｖｅｒｄｖｐｎｄｖｐｎ－ｉｄ１００ｏｓｐｆｎｅｔｗｏｒｋ－ｔｙｐｅｐ２ｍｐ配置ｌｏｏｐｂａｃｋ地址，用作ＤＶＰＮ的外层ＩＰ封装ｉｎｔｅｒｆａｃｅＬｏｏｐＢａｃｋ０ｉｐａｄｄｒｅｓｓ１．１．１．１２５５．２５５．２５５．２５５将接口加入到区域ｆｉｒｅｗａｌｌｚｏｎｅｔｒｕｓｔａｄｄｉｎｔｅｒｆａｃｅＥｔｈｅｒｎｅｔ１／０ｓｅｔｐｒｉｏｒｉｔｙ８５ｆｉｒｅｗａｌｌｚｏｎｅｕｎｔｒｕｓｔａｄｄｉｎｔｅｒｆａｃｅＥｔｈｅｒｎｅｔ０／０ａｄｄｉｎｔｅｒｆａｃｅＴｕｎｎｅｌ１ｓｅｔｐｒｉｏｒｉｔｙ５配置ＯＳＰＦｏｓｐｆ１ａｒｅａ０．０．０．０ｎｅｔｗｏｒｋ１０．０．０．００．０．０．２５５ｎｅｔｗｏｒｋ１９２．１６８．１．００．０．０．２５５启动ｄｖｐｎ服务ｄｖｐｎｓｅｒｖｉｃｅｅｎａｂｌｅ配置默认路由ｉｐｒｏｕｔｅ－ｓｔａｔｉｃ０．０．０．００．０．０．０２０２．３８．１．１２．配置Internet路由器接口配置ｉｎｔｅｒｆａｃｅＥｔｈｅｒｎｅｔ０／０ｉｐａｄｄｒｅｓｓ２０２．３８．１．１２５５．２５５．２５５．０ｉｎｔｅｒｆａｃｅＥｔｈｅｒｎｅｔ０／１ｉｐａｄｄｒｅｓｓ６１．１．１．１２５５．２５５．２５５．０将接口加入到区域
2
ｆｉｒｅｗａｌｌｚｏｎｅｕｎｔｒｕｓｔａｄｄｉｎｔｅｒｆａｃｅＥｔｈｅｒｎｅｔ０／０ａｄｄｉｎｔｅｒｆａｃｅＥｔｈｅｒｎｅｔ０／１ｓｅｔｐｒｉｏｒｉｔｙ５
３．配置分支配置本端ＩＫＥ名称ｉｋｅｌｏｃａｌ－ｎａｍｅｆｅｎｚｈｉ配置ＩＫＥ参数ｉｋｅｐｅｅｒ１ｅｘｃｈａｎｇｅ－ｍｏｄｅａｇｇｒｅｓｓｉｖｅｐｒｅ－ｓｈａｒｅｄ－ｋｅｙ１２３４５６ｉｄ－ｔｙｐｅｎａｍｅｒｅｍｏｔｅ－ｎａｍｅｚｈｏｎｇｘｉｎｒｅｍｏｔｅ－ａｄｄｒｅｓｓ２０２．３８．１．２ｎａｔｔｒａｖｅｒｓａｌ创建安全提议，采用默认参数ｉｐｓｅｃｐｒｏｐｏｓａｌ１创建ＩＰＳＥＣ策略ｉｐｓｅｃｐｏｌｉｃｙｐｏｌ１１ｉｓａｋｍｐｓｅｃｕｒｉｔｙａｃｌ３０００ｉｋｅ－ｐｅｅｒ１ｐｒｏｐｏｓａｌ１配置ＤＶＰＮＳｅｒｖｅｒ的息ｄｖｐｎｃｌａｓｓｚｈｏｎｇｘｉｎｐｕｂｌｉｃ－ｉｐ１．１．１．１ｐｒｉｖａｔｅ－ｉｐ１０．０．０．１指定去往中心私网的数据流ａｃｌｎｕｍｂｅｒ３０００ｒｕｌｅ０ｐｅｒｍｉｔｉｐｓｏｕｒｃｅ１．１．１．２０ｄｅｓｔｉｎａｔｉｏｎ１．１．１．１０ｒｕｌｅ１ｄｅｎｙｉｐ定义ｎａｔｏｕｔｂｏｕｎｄ的网段ａｃｌｎｕｍｂｅｒ３００１ｒｕｌｅ０ｄｅｎｙｉｐｓｏｕｒｃｅ１９２．１６８．２．００．０．０．２５５ｄｅｓｔｉｎａｔｉｏｎ１９２．１６８．１．００．０．０．２５５ｒｕｌｅ１ｄｅｎｙｉｐｓｏｕｒｃｅ１．１．１．２０ｄｅｓｔｉｎａｔｉｏｎ１．１．１．１０ｒｕｌｅ２ｄｅｎｙｉｐ配置外网口ｉｎｔｅｒｆａｃｅＥｔｈｅｒｎｅｔ０／０ｉｐａｄｄｒｅｓｓ６１．１．１．２２５５．２５５．２５５．０ｎａｔｏｕｔｂｏｕｎｄ３００１ｉｐｓｅｃｐｏｌｉｃｙｐｏｌ１配置内网口ｉｎｔｅｒｆａｃｅＥｔｈｅｒｎｅｔ１／０
3
ｉｐａｄｄｒｅｓｓ１９２．１６８．２．１２５５．２５５．２５５．０配置ＤＶＰＮ隧道接口ｉｎｔｅｒｆａｃｅＴｕｎｎｅｌ１ｉｐａｄｄｒｅｓｓ１０．０．０．２２５５．２５５．２５５．０ｔｕｎｎｅｌ－ｐｒｏｔｏｃｏｌｕｄｐｄｖｐｎｓｏｕｒｃｅＬｏｏｐＢａｃｋ０ｄｖｐｎｄｖｐｎ－ｉｄ１００ｄｖｐｎｓｅｒｖｅｒｚｈｏｎｇｘｉｎｏｓｐｆｎｅｔｗｏｒｋ－ｔｙｐｅｐ２ｍｐ配置ｌｏｏｐｂａｃｋ地址，用作ＤＶＰＮ的外层ＩＰ封装ｉｎｔｅｒｆａｃｅＬｏｏｐＢａｃｋ０ｉｐａｄｄｒｅｓｓ１．１．１．２２５５．２５５．２５５．２５５将接口加入到区域ｆｉｒｅｗａｌｌｚｏｎｅｔｒｕｓｔａｄｄｉｎｔｅｒｆａｃｅＥｔｈｅｒｎｅｔ１／０ｓｅｔｐｒｉｏｒｉｔｙ８５ｆｉｒｅｗａｌｌｚｏｎｅｕｎｔｒｕｓｔａｄｄｉｎｔｅｒｆａｃｅＥｔｈｅｒｎｅｔ０／０ａｄｄｉｎｔｅｒｆａｃｅＴｕｎｎｅｌ１ｓｅｔｐｒｉｏｒｉｔｙ５配置ＯＳＰＦｏｓｐｆ１ａｒｅａ０．０．０．０ｎｅｔｗｏｒｋ１０．０．０．００．０．０．２５５ｎｅｔｗｏｒｋ１９２．１６８．２．００．０．０．２５５启动ｄｖｐｎ服务ｄｖｐｎｓｅｒｖｉｃｅｅｎａｂｌｅ配置默认路由ｉｐｒｏｕｔｅ－ｓｔａｔｉｃ０．０．０．００．０．０．０６１．１．１．１配置关键点
１、ＳｅｃＰａｔｈ安全产品Ｖ１Ｒ６版本ＤＶＰＮ服务默认是关闭的；２、Ｔｕｎｎｅｌ口下，指定ＯＳＰＦ的网络类型为Ｐ２ＭＰ类型；
３、启用ｏｓｐｆ，包含Ｔｕｎｎｅｌ网段和私网网段，注意不要包含Ｌｏｏｐｂａｃｋ地址。
4
因篇幅问题不能全部显示，请点此查看更多更全内容