配置USG12000系列防火墙和华为USG6000E系列防火墙在NAT穿越场景下建立IPSec隧道

组网需求

如图2-66所示，USG6000E系列防火墙为企业总部网关，USG12000系列防火墙为企业分支网关，网络出口部署有NAT设备。现分支需要穿越NAT设备与总部建立IPSec隧道，实现分支和总部业务安全互通。

图2-66 配置USG12000系列防火墙和USG6000E系列防火墙在NAT穿越场景下建立IPSec隧道组网图

数据规划

配置项		USG6000E系列防火墙	USG12000系列防火墙
IPSec安全提议	封装模式	隧道模式	隧道模式
	安全协议	ESP	ESP
	ESP协议验证算法	SHA2-256	SHA2-256
	ESP协议加密算法	AES-256	AES-256
IKE安全提议	认证方法	预共享密钥	预共享密钥
	加密算法	AES-256	AES-256
	认证算法	SHA2-256	SHA2-256
	DH组	Group14	Group14
IKE对等体	IKE版本	V2	V2
	预共享密钥	YsHsjx_202206	YsHsjx_202206
	身份类型	IP	IP

配置思路

1. 配置接口的IP地址和到对端的静态路由，保证两端路由可达。

   防火墙还需要配置接口加入安全区域、域间安全策略。

2. 配置ACL，以定义需要IPSec保护的数据流。
3. 配置IPSec安全提议，定义IPSec的保护方法。
4. 配置IKE安全提议，定义IKE协商的参数。
5. 配置IKE对等体，定义对等体间IKE协商时的属性。
6. 配置IPSec安全策略，确定对何种数据流采取何种保护方法。
7. 在接口上应用IPSec安全策略，使接口具有IPSec的保护功能。