防御保护----IPSEC VPPN实验

实验背景：FW1和FW2是双机热备的状态。
实验要求：在FW和FW3之间建立一条IPSEC通道，保证10.0.2.0/24网段可以正常访问到192.168.1.0/24
IPSEC VPPN实验配置（由于是双机热备状态，所以FW1和FW2只需要配置FW1主设备即可）： 
场景选用点到点，配置好FW1的出接口地址和对端FW3的接口地址，认证方式选用预共享密钥（密钥自己设置），身份认证选用IP地址

1   配置FW1 IP Sec策略并新建加密流

IKE参数配置：

IP Sec参数并新建加密流：

安全提议的配置和FW1一样并去FW1安全策略里面放通IKE（UPD500）报文的策略，服务不仅要允许IKE的流量，也要允许IPSec加密流量ESP的放通，允许它从内网往外网发送。

由于NAT匹配策略是由上往下，所以把IPSec的NAT策略放上面

Ipsec VPN针对Client to LAN的场景，存在的弱势点：

1，IKEV1不支持远程用户接入，IKEV2支持，但是采用EAP认证的方法，目前尚未普及；

2，因为需要进行参数协商，所以，我们的PC设备需要安装专门的应用程序来进行支持；

3，因为IPSEC VPN需要抓取感兴趣流，但是，PC设备所谓私网网段不固定，需要不断的调整 策略，导致部署不灵活。

4，因为IPSEC VPN主要通过抓取感兴趣流来进行访问控制，最多可以深入到服务层面，但 是，无法深入到应用层面。所以，如果需要进行更细颗粒度的控制，则IPSEC VPN略显不 足。

SSL VPN的优势

1，SSL VPN采用的是一种基于B/S架构的模式，不需要额外安装客户端，可以直接通过浏览 器进行访问。

2，部署更加灵活，因为他的封装位置在于传输层和应用层之间，不会保护传输层和网络层的 数据，所以，不会影响到网络环境。

3，因为SSL VPN针对的是应用层进行控制，所以，可以实现更细颗粒的控制，可以深入到应 用层面。