防火墙配置IPSecVPN-点到点
配置目标
总公司内网与分公司内网互通
拓扑
配置ISP路由器
<Huawei>u t m
<Huawei>sys
[Huawei]sys ISP[ISP]interface g0/0/0
[ISP-GigabitEthernet0/0/0]ip address 100.1.1.102 24
[ISP-GigabitEthernet0/0/0]q[ISP]interface g0/0/1
[ISP-GigabitEthernet0/0/1]ip address 200.1.1.201 24
防火墙初始配置
FW1
<USG6000V1>sys
[FWA]user-interface console 0
[FWA-ui-console0]idle-timeout 0
[FWA-ui-console0]q[FWA]web-manager timeout 1440
[FWA]interface g0/0/0
[FWA-GigabitEthernet0/0/0]ip address 192.168.10.100 24
[FWA-GigabitEthernet0/0/0]service-manage enable
[FWA-GigabitEthernet0/0/0]service-manage all permit
FW2
<USG6000V1>u t m
<USG6000V1>sys[FWB]user-interface console 0
[FWB-ui-console0]idle-timeout 0
[FWB-ui-console0]q[FWB]web-manager timeout 1440
[FWB]interface g0/0/0
[FWB-GigabitEthernet0/0/0]ip address 192.168.20.100 24
[FWB-GigabitEthernet0/0/0]service-manage enable
[FWB-GigabitEthernet0/0/0]service-manage all permit
配置接口及安全区域
FW1
FW2
配置地址及地址组对象
FW1/FW2 
配置安全策略
FW1
FW2
配置IPSec
FW1
FW2
验证
配置默认路由
FW1
FW2
NAT和VPN连用的小问题
数据包到达防火墙之后的顺序： 1）路由表 2）安全策略 3）NAT策略 4）IPSce策略
- 现象：可以访问互联网，但是不能访问分公司
- 原因：访问分公司的数据包先发生了地址转换，转换之后无法被IPSec策略匹配，不能进入VPN隧道
- 解决办法：添加一条NAT策略，让进入VPN隧道的数据包不做地址转换
IPSec VPN技术详解
介绍
IPSec VPN技术的主要作用是在公共网络（如互联网）上建立安全、加密的通信隧道，以实现不同网络之间的安全数据传输。
核心作用
1. 数据保密性
通过使用强加密算法，IPSec VPN确保数据在传输过程中不会被未授权的第三方读取或窃取。这对于保护敏感信息（如个人身份信息、财务数据等）至关重要。
2. 数据完整性
IPSec VPN使用身份验证头（AH）和封装安全有效载荷（ESP）协议来验证数据的完整性，确保数据在传输过程中未被篡改。
3. 身份验证
IPSec VPN可以验证通信双方的身份，确保数据只在预期的发送者和接收者之间传输，防止了伪装和重放攻击。
4. 远程访问
IPSec VPN允许远程用户安全地连接到企业内部网络，就像他们直接连接到本地网络一样。这对于远程工作、移动办公和分支机构的连接非常有用。
5. 站点到站点连接
IPSec VPN可以连接两个或多个网络站点，创建一个安全的、虚拟的专用网络。这对于连接地理位置分散的办公室、数据中心或分支机构非常有价值。
6. 成本节约
通过使用IPSec VPN，企业可以利用现有的公共网络基础设施来传输数据，而无需投资昂贵的专用线路，从而降低了网络建设和维护的成本。
7. 灵活性和可扩展性
IPSec VPN可以轻松地添加新的用户和站点，扩展网络以适应不断变化的业务需求。
8. 遵守法规
对于需要遵守特定数据保护法规的组织，如金融服务、医疗保健等行业，IPSec VPN提供了符合法规要求的数据传输安全保障。
总的来说，IPSec VPN技术提供了一种可靠、安全的方式来保护数据传输，无论是在企业内部网络之间还是在远程用户访问企业资源时。通过在公共网络上创建加密的隧道，IPSec VPN确保了数据的保密性、完整性和可用性。
使用场景
实例 1：远程办公安全连接
场景：一家企业有多个分支机构，员工经常需要远程访问公司内部网络处理工作。
解决方案：企业在总部和分支机构的网络边界设备（如防火墙或路由器）上配置IPSec VPN。员工在家中或旅途中通过VPN客户端连接到公司网络，就像直接连接到公司局域网一样。
优势：员工可以安全地访问公司资源，如内部文件服务器、电子邮件系统和内部应用程序，而不必担心数据在互联网上被截获或篡改。
实例 2：跨地区分支机构互联
场景：一家跨国公司在不同国家设有分支机构，需要安全地共享数据和资源。
解决方案：公司在每个分支机构的网络中配置IPSec VPN，建立跨地区的安全隧道。分支机构之间的通信通过这些隧道进行，确保数据传输的安全性。
优势：分支机构之间的通信就像在一个封闭的、安全的网络中进行，无需担心数据泄露或被第三方监听。此外，相比于租用专线，IPSec VPN大幅降低了成本。
实例 3：云服务提供商的数据传输
场景：一家云服务提供商需要确保客户数据在传输到云端时的安全性。
解决方案：云服务提供商在其数据中心的网络出口配置IPSec VPN，客户在上传和下载数据时通过VPN隧道进行。这样，即使数据在传输过程中经过多个网络节点，也能保持加密状态。
优势：客户数据的安全性得到了保障，客户对使用云服务的信任度提高。同时，云服务提供商也能展示其对数据安全的承诺和能力。
实例 4：政府机构的保密通信
场景：政府部门需要在不同机构之间安全地传输敏感信息，防止信息泄露。
解决方案：政府机构在其网络中部署IPSec VPN，确保所有跨机构的数据传输都在加密隧道中进行。只有授权的用户和系统才能访问这些隧道。
优势：敏感信息得到了强有力的保护，满足了政府对数据保密性的严格要求。
