h3c防火墙自动建立×××

试验拓扑图:

 

两端地址static ip  -----static  ip
1．自动建立ipsec

[fw-1]firewall zone untrust
[fw-1-zone-untrust]add interface Ethernet 0/3
[fw-1]firewall zone trust
[fw-1-zone-untrust]add interface Ethernet 0/2

[fw-1]int Ethernet0/3
[fw-1-Ethernet0/4]ip add 4.4.4.1 24
[fw-1]int Ethernet0/2
[fw-1-Ethernet0/4]ip add 192.168.1.1 24
[fw-1-Ethernet0/4]loopback
[fw-1]ip route 0.0.0.0 0 4.4.4.1
[fw-1]acl number 3000
[fw-1-acl-adv-3000]rule 10 permit ip source 192.168.2.0 0.0.0.255 destination 192.168.1.0 0.0.0.255
[fw-1-acl-adv-3000]rule 20 deny ip source any destination any
[fw-1]ipsec proposal prop
[fw-1-ipsec-proposal-prop]encapsulation-mode tunnel
[fw-1-ipsec-proposal-prop]transform esp
[fw-1-ipsec-proposal-prop]esp authentication-algorithm md5
[fw-1-ipsec-proposal-prop]esp encryption-algorithm des
[fw-1-ipsec-proposal-prop]quit
[fw-1]ipsec policy policy 10 isakmp
[fw-1-ipsec-policy-isakmp-policy-10]security acl 3000
[fw-1-ipsec-policy-isakmp-policy-10]proposal prop
[fw-3-ipsec-policy-isakmp-policy-10]ike-peer peer
[fw-1-ipsec-policy-isakmp-policy-10]quit
[fw-1]ike peer peer
[fw-1-ike-peer-peer]local-address 3.3.3.3
[fw-1-ike-peer-peer]remote-address 4.4.4.4
[fw-1-ike-peer-peer]pre-shared-key simple 123456
[fw-1]int Ethernet0/3
[fw-1-Ethernet0/3]ipsec policy policy

 

[fw-3]firewall zone untrust
[fw-3-zone-untrust]add interface Ethernet 0/3
[fw-3]int Ethernet0/3
[fw-3-Ethernet0/3]ip add 4.4.4.1 24
[fw-3]int Ethernet0/2
[fw-3-Ethernet0/3]ip add 192.168.2.1 24
[fw-3]ip route 0.0.0.0 0 4.4.4.1
[fw-3]acl number 3000
[fw-3-acl-adv-3000]rule 10 permit ip source 192.168.2.0 0.0.0.255 destination 192.168.1.0 0.0.0.255
[fw-3-acl-adv-3000]rule 20 deny ip source any destination any
[fw-3]ipsec proposal prop
[fw-3-ipsec-proposal-prop]encapsulation-mode tunnel
[fw-3-ipsec-proposal-prop]transform esp
[fw-3-ipsec-proposal-prop]esp authentication-algorithm md5
[fw-3-ipsec-proposal-prop]esp encryption-algorithm des
[fw-3-ipsec-proposal-prop]quit
[fw-3]ipsec policy policy 10 isakmp
[fw-3-ipsec-policy-isakmp-policy-10]security acl 3000
[fw-3-ipsec-policy-isakmp-policy-10]proposal prop
[fw-3-ipsec-policy-isakmp-policy-10]ike-peer peer
[fw-3-ipsec-policy-isakmp-policy-10]quit
[fw-3]ike peer peer
[fw-3-ike-peer-peer]local-address 4.4.4.4
[fw-3-ike-peer-peer]remote-address 3.3.3.3
[fw-3-ike-peer-peer]pre-shared-key simple 123456
[fw-3]int Ethernet0/3
[fw-3-Ethernet0/3]ipsec policy policy

[R10]int e1
[R10-Ethernet1]ip add 4.4.4.1 24
[R10-Ethernet1]int e0
[R10-Ethernet0]ip add 3.3.3.1 24

 

两端地址static  ip  ----  dynamic  ip 
野蛮模式建立ipsec
(1)        配置fw1 静态一端
# 配置本端防火墙设备的名字。
[fw1] ike local-name fw1
# 配置acl。
[fw1] acl number 3000
[fw1-acl-adv-3000] rule permit ip source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255
#配置默认路由到internet
[fw1]ip route 0.0.0.0 0 3.3.3.1
# 配置IKE对等体peer。
[fw1] ike peer peer  //IKE网关名  peer
[fw1-ike-peer-peer] exchange-mode aggressive   /野蛮模式
[fw1-ike-peer-peer] pre-shared-key 123456   //双方共享密钥
[FW1-ike-peer-peer] id-type name   /name  设置名字作为ID
[FW1-ike-peer-peer] remote-name fw3 //指定对方名称
# 创建IPsec安全提议prop。
[FW1] ipsec proposal prop   /配置IPSec安全提议
[FW1-ipsec-proposal-prop] encapsulation-mode tunnel  /提议走隧道
[FW1-ipsec-proposal-prop] transform esp  /transform           设置用于对报文进行转换的安全协议
[FW1-ipsec-proposal-prop] esp encryption-algorithm des  /des加密算法
[FW1-ipsec-proposal-prop] esp authentication-algorithm sha1  /sha验证
# 创建安全策略policy并指定通过IKE协商建立安全联盟。
[FW1] ipsec policy policy 10 isakmp
# 配置安全策略policy引用ike对等体peer。
[FW1-ipsec-policy-isakmp-policy-10] ike-peer peer
# 配置安全策略policy引用访问控制列表3000。
[FW1-ipsec-policy-isakmp-policy-10] security acl 3000
# 配置安全策略policy引用IPsec安全提议prop。
[FW1-ipsec-policy-isakmp-policy-10] proposal prop
# 进入E0/3并配置IP地址。
[FW1] interface Ethernet0/3
[FW1-Ethernet0/3] ip address 3.3.3.3 255.255.255.0
# 配置E0/3引用安全策略组policy。
[FW1-Ethernet0/3] ipsec policy policy
(2)        配置SecPathB  动态一端
# 配置本端防火墙设备的名字。
[FW3] ike local-name fw3   /指定设置本端ID
# 配置acl。
[FW3] acl number 3000
[FW3-acl-adv-3000] rule permit ip source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255
# 配置IKE对等体peer。
[FW3] ike peer peer
[FW3-ike-peer-peer] exchange-mode aggressive
[FW3-ike-peer-peer] pre-shared-key 123456
[FW3-ike-peer-peer] id-type name
[FW3-ike-peer-peer] remote-name fw1
[FW3-ike-peer-peer] remote-address 3.3.3.3
# 创建IPsec安全提议prop。
[FW3] ipsec proposal prop
[FW3-ipsec-proposal-prop] encapsulation-mode tunnel
[FW3-ipsec-proposal-prop] transform esp
[FW3-ipsec-proposal-prop] esp encryption-algorithm des
[FW3-ipsec-proposal-prop] esp authentication-algorithm sha1
# 创建安全策略policy并指定通过IKE协商建立安全联盟。
[FW3] ipsec policy policy 10 isakmp
# 配置安全策略policy引用ike对等体peer。
[FW3-ipsec-policy-isakmp-policy-10] ike-peer peer
# 配置安全策略policy引用访问控制列表3000。
[FW3-ipsec-policy-isakmp-policy-10] security acl 3000
# 配置安全策略policy引用IPsec安全提议prop。
[FW3-ipsec-policy-isakmp-policy-10] proposal prop
# 进入E0/3并配置接口动态协商IP地址。
# 配置Ethernet0/3引用安全策略组policy。
[FW3- Ethernet0/3] ipsec policy policy 
我们这是模拟动态ip端口，不能从isp获得动态的拨号地址，只能手动修改此端口的ip地址。但是地址只能与路由器端的地址在一个ip网段。
[FW3- Ethernet0/3]ip  add  4.4.4.4 24

 

[R10]int e1
[R10-Ethernet1]ip add 4.4.4.1 24
[R10-Ethernet1]int e0
[R10-Ethernet0]ip add 3.3.3.1 24

 

注意:
在FW3 SecPath F100-C这种低端防火墙上,只能动态的一端去访问静态一端才能建立连接..