防火墙内网VPN设备的试验

需求：双机热备以主备模式，通过内网的VPN设备构建一条到达分公司的IPSEC VPN通道，保证办公区10.0.2.0/24网段可以访问到192.168.1.0/24网段

一、首先在FW1和FW3上做好双机热备的主备模式(FW1为主，FW3为备)，记得把VPN设备上的网关改成虚拟地址（10.0.4.3），如下图：

二、在FW1上配置安全策略，（1）放通隧道（放通源目udp500端口、目的UDP4500端口，放通esp协议），（2）放通VPN设备与办公区的所有流量，（3）放通从分公司网段到办公区网段的所有流量，(4)写一条到192.168.1.0/24的下一跳指向VPN设备，如下：

（1）放通隧道（放通源目udp500端口、目的UDP4500端口，放通esp协议）

（2）放通VPN设备与办公区的所有流量

（3）放通从分公司网段到办公区网段的所有流量

(4)写一条到192.168.1.0/24的下一跳指向VPN设备

三、在FW1上配置NAT策略，（1）配置从VPN设备到公网（移动、电信）的NAPT（地址池是访问公网的虚拟地址），（2）配置从公网到VPN设备的端口映射

（1）配置从VPN设备到公网（移动、电信）的NAPT（地址池是访问公网的虚拟地址）

（2）配置从公网到VPN设备的端口映射

四、（1）在VPN（FW5）设备上创建IPSec策略，（2）放通本地和隧道的安全策略

（1）在VPN（FW5）设备上创建IPSec策略

（2）放通本地和隧道的安全策略

五、在FW2上配置，（1）配置FW2的IPsec策略，（2）配置FW2的安全策略，放通隧道，（3）配置FW2的NAT策略

（1）配置FW2的IPsec策略

（2）配置FW2的安全策略，放通隧道，放通分公司和办公区的所有流量

（3）配置FW2的NAT策略

六、进行测试