189 8069 5689
实现***的另一种协议是ipsec ，准确的说ipsec是一个多种协议组合的框架。它的实现可以分为下面四个步骤：
创新互联是专业的郁南网站建设公司，郁南接单;提供成都网站制作、网站建设,网页设计,网站设计,建网站,PHP网站建设等专业做网站服务;采用PHP框架,可快速的进行郁南网站开发网页制作和功能扩展;专业做搜索引擎喜爱的网站,专业的做网站团队,希望更多企业前来合作!1. 实现数据流的筛选控制(靠acl实现控制)
2. 安全提议（实现工作模式，安全协议的选择，验证算法，若为esp协议则还要有加密算法的一致性选择）
3. 创建安全策略（acl+安全提议+ike邻居），一般策略的实现都是选择自动协商的，所以要建立ike邻居
4. 策略应用到端口
下面是此次实验的拓扑图(sw 为防火墙 isp 为交换机):
下面为isp上的一些配置：
[Quidway]sysname isp
[isp]int vlan 10
[isp-vlan10]port Ethernet 0/2
[isp-vlan10]vlan 20
[isp-vlan20]port Ethernet 0/10
[isp-vlan20]vlan 30
[isp-vlan30]port Ethernet 0/3
[isp-vlan30]vlan 40
[isp-vlan40]port Ethernet 0/20
[isp-vlan40]qu
[isp]int Vlan-interface 10
[isp-Vlan-interface10]ip add 61.130.132.2 255.255.255.252
[isp-Vlan-interface10]qu
[isp]int vlan 20
[isp-Vlan-interface20]ip add 61.130.134.2 255.255.255.252
[isp-Vlan-interface20]qu
[isp]int vlan 30
[isp-Vlan-interface30]ip add 61.130.133.2 255.255.255.252
[isp-Vlan-interface30]qu
[isp]int vlan 40
[isp-Vlan-interface40]ip add 61.130.135.2 255.255.255.252
Sw1上的一些配置：
[H3C]sysname sw1
[sw1]int eth0/0
[sw1-Ethernet0/0]ip add 192.168.1.254 24
[sw1-Ethernet0/0]int eth0/3
[sw1-Ethernet0/3]ip add 61.130.132.1 30
[sw1-Ethernet0/3]int eth 0/4
[sw1-Ethernet0/4]ip add 61.130.133.1 30
[sw1-Ethernet0/4]qu
[sw1]firewall zone trust
[sw1-zone-trust]add interface e0/0
[sw1-zone-trust]qu
[sw1]firewall zone untrust
[sw1-zone-untrust]add int e0/3
[sw1-zone-untrust]add int e0/4
Sw3上的一些配置：
[H3C]sysname sw3
[sw3]int e0/4
[sw3-Ethernet0/4]ip add 61.130.135.1 255.255.255.252
[sw3-Ethernet0/4]int eth0/0
[sw3-Ethernet0/0]ip add 192.168.3.254 255.255.255.0
[sw3-Ethernet0/0]loopback
[sw3-Ethernet0/0]qu
[sw3]firewall zone untrust
[sw3-zone-untrust]add int e0/4
[sw3]ip route 0.0.0.0 0 61.130.135.2
Sw2上的一些配置：
[H3C]sysname sw2
[sw2]int e0/4
[sw2-Ethernet0/4]ip add 61.130.134.1 255.255.255.252
[sw2-Ethernet0/4]int e0/0
[sw2-Ethernet0/0]ip add 192.168.2.254 255.255.255.0
[sw2-Ethernet0/0]loopback
[sw2-Ethernet0/0]qu
[sw2]firewall zone untrust
[sw2-zone-untrust]add int e0/4
[sw2]ip route 0.0.0.0 0 61.130.134.2
在sw1上实现ipsec 的配置：
// 利用acl实现流筛选
[sw1]acl number 3000 match-order auto
[sw1-acl-adv-3000]rule 10 permit ip source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255
[sw1-acl-adv-3000]rule 20 deny ip source any destination any
[sw1-acl-adv-3000]qu
// 制作安全提议
[sw1]ipsec proposal tran3
[sw1-ipsec-proposal-tran3]encapsulation-mode tunnel
[sw1-ipsec-proposal-tran3]transform esp
[sw1-ipsec-proposal-tran3]esp authentication-algorithm md5
[sw1-ipsec-proposal-tran3]esp en des
[sw1-ipsec-proposal-tran3]quit
// 配置ike邻居
[sw1] ike peer fw3
[sw1-ike-peer-fw3]pre-shared-key simple 12345
[sw1-ike-peer-fw3]local-address 61.130.132.1
[sw1-ike-peer-fw3]remote-address 61.130.134.1
[sw1-ike-peer-fw3]qu
// 配置策略
[sw1]ipsec policy policy3 10 isakmp
[sw1-ipsec-policy-isakmp-policy3-10]security acl 3000
[sw1-ipsec-policy-isakmp-policy3-10]proposal tran3
[sw1-ipsec-policy-isakmp-policy3-10]ike-peer fw3
[sw1-ipsec-policy-isakmp-policy3-10]qu
// 应用到接口
[sw1]int eth0/3
[sw1-Ethernet0/3]ipsec policy policy3
[sw1-Ethernet0/3]qu
同样，在sw2和sw3上做同样的设置即可，要注意提议与ike pre-shared-key的一致性
结果如下：
另外有需要云服务器可以了解下创新互联scvps.cn，海内外云服务器15元起步，三天无理由+7*72小时售后在线，公司持有idc许可证，提供“云服务器、裸金属服务器、高防服务器、香港服务器、美国服务器、虚拟主机、免备案服务器”等云主机租用服务以及企业上云的综合解决方案，具有“安全稳定、简单易用、服务可用性高、性价比高”等特点与优势，专为企业上云打造定制，能够满足用户丰富、多元化的应用场景需求。