IPSEC VPN企业应用配置实例

需求分析

某公司总公司位于深圳,在北京、上海两地有分公司,现需要组建一个网络,达到三个机构能资源共享的目的,本文将通过一个实例来展示TL-ER3220G(总部)与TL-R479GPE-AC VPN(分公司)的解决方案和配置过程。

深圳总公司局域网网段为“192.168.0.0/24” 北京分公司为“192.168.1.0/24” 上海分公司为“192.168.2.0/24”

IPsec

产品介绍

TL-ER3220GTP-LINK专为企业应用而开发的VPN路由器,具备强大的数据处理能力,并且支持丰富的软件功能,包括VPNIP/MAC 地址绑定、常见攻击防护、访问控制列表、QQ/MSN/迅雷/金融软件限制、IP带宽控制、连接数限制等功能,适合企业、小区、酒店等组建安全、高效、易管理的网络。

TL-R479GPE-ACTP-LINK专为企业分支机构接入IPSEC VPN网络而开发的专用VPN路由器,支持10IPSec VPN隧道,支持IPMAC绑定,有效防范ARP攻击,支持DoS攻击防护,有效抵御各类广域网的网络攻击,支持带宽控制,灵活控制用户带宽,支持访问控制策略,可基于IP/MAC地址限定主机上网权限。

设置方法

一、深圳总部TL-ER3220G设置步骤

1、基本设置

(1) 设置路由器的WAN口模式

基本设置>> WAN口设置,进入 WAN口模式 标签页,根据需求设置WAN口数量,此处我们保持默认为WAN

(2) 设置路由器的WAN口网络参数

基本设置>> WAN口设置,在WAN1设置 标签页,设置WAN口网络参数以及该线路的上下行带宽值。

WAN2呢?

提醒VPN两端路由器WAN口中至少需要一端是公网IP,如没有公网IP则需要考虑NAT下的IPsec应用,请参考:[企业路由器应用] NAT下的IPSEC VPN配置实例》

2、IPsec VPN设置

此处以配置北京分公司与深圳总公司间的IPsec VPN为例,首先配置深圳总公司的TL-ER3220G

(1) 配置IPsec安全策略基本设置

VPN >> IPsec,进入IPsec安全策略 标签页,点击新增。

【参数含义】

A. 策略名称:设置IPsec安全策略名称。

B. 对端网关:填写对端IPsec VPN站点的IP地址或者域名,假设此处北京分公司TL-R479GPE-AC WANIP地址为“121.1.1.3”

C. 绑定接口:从下拉列表中指定TL-ER3220G的外网接口;对端北京的路由器设置的"对端网关地址"必须与该接口的IP地址相同。

D. 本地子网范围:设置本地子网范围,即深圳总公司局域网“192.168.0.0 /24”

E. 对端子网范围:设置对端子网范围,即北京分公司局域网“192.168.1.0 /24”

F. 预共享密钥:设置IKE认证的预共享密钥,通信双方的预共享密钥必须相同。

G. 状态:勾选“启用”,当前策略生效。

(2) 配置IPsec安全策略高级设置

在基本设置完成后,点击高级设置,包括两个部分:阶段1设置和阶段2设置。一般情况下,不需要配置高级设置,采用默认值即可。

1) 阶段设置:设定IKEv1的第一阶段的相关参数。

【参数含义】

A. 安全提议:选择合适的IPsec安全提议,注意需要与对端保持一致。

B. 交换模式:主模式(Main mode)适用于对身份保护要求较高的场合;野蛮模式(Aggressive mode)适用于对身份保护要求较低的场合,推荐使用主模式。

C. 协商模式:初始者模式会主动向对端发起连接,此时要求对端网关是路由可达,而响应者模式仅仅会等待对端发起连接。

D. 本地ID类型:作为对端的身份标识,支持两种类型:IP地址和NAME,默认选择"IP地址",如果选择NAME类型,则需要输入任意的字符串。

E. 生存时间 :用于IKE协商方式下IPsec会话密钥的生存时间。

F. DPD检测:Dead Peer Detect,检测对端在线状态,建议启用。

2) 阶段2设置:设定IKEv1的第二阶段的相关参数

【参数含义】

A. 封装模式:指定该策略是隧道模式还是传输模式,两者的区别在于:前者会在原始IP报文外多增加一个IP头,后者则不会。

B. 安全提议:选择IKEv1第二阶段合适的IPsec安全提议,注意需要与对端保持一致。

C. PFS 用于IKE协商方式下设置IPsec会话密钥的PFS属性,本地与对端的PFS属性必须一致。

D. 生存时间 :用于IKE协商方式下IPsec会话密钥的生存时间。

二、上海、北京分公司TL-R479GPE-AC VPN 配置方法

1、基本设置

设置路由器的WAN口模式:网络参数 >> WAN口设置,根据需求设置WAN口连接类型,此处我们选择为 静态IP,保存。

2、IPsec VPN设置

此处以配置北京分公司的TL-R479GPE-ACIPsec VPN功能为例。

1)配置IPsec安全策略基本设置:打开VPN >> IPsec 页面。

点击 新增,进行基本设置配置,填写策略名称、对端网关,选择绑定接口、填写本地子网范围、对段子网范围、预共享密码(与深圳总部相同的密钥),勾选启用

上图中各个选项意义上文TL-ER3220G中的意义相同。点击确定,生成IPsec条目。

2)配置IPsec安全策略高级设置:VPN >> IPsec

点击 高级设置,进行IKEv1阶段1和阶段2配置。如果总部保持的默认配置,分部也保存默认配置即可,如果总部做了修改,则分部应保持一致。

配置完成后点击确定,在IPsec安全策略列表中会出现一个条目:

配置完成,IPsec安全联盟建立成功后,可以在IPsec安全联盟中看到相应条目,北京分公司的局域网“192.168.1.0/24”与深圳总公司局域网“192.168.0.0 /24 ”间可相互访问。