本文详细介绍了如何通过设置IPsec安全联盟（SA）和感兴趣流，实现总部与两个分支机构之间的加密隧道通信。首先，确保总部与每个分支机构建立IPsecSA，然后在各防火墙上配置相应的感兴趣流，例如支部1的192.168.2.0/24到支部2的192.168.3.0/24，以及相反方向的流。通过这种方式，流量能够通过隧道安全转发，实现分支机构间的加密通信。
如图所示，左边的防火墙是总部，中间的防火墙是支部1，右边的防火墙是支部2，三台防火墙我用cloud进行web界面管理。
如果要实现支部1借助总部和支部2之间的隧道进行加密通信，那么该如何实现？
1、保证总部与支部1，支部2之间建立好IPsec SA
这是一个毋庸置疑的前提，因为只有总部建立好了隧道之后，它们之间才能进行隧道转发
2、感兴趣流的设置
在这种转发模式下，感兴趣流是十分关键的，因为只有隧道双方的感兴趣流一致后才能进行隧道加密转发。下面是三台防火墙的感兴趣流设置：
因为支部之间需要进行隧道加密转发，所以我们必须创建相对应的感兴趣流，这样才能保证对应的流被隧道转发出去，总部是一个关键点，因为它要承载支部与支部之间隧道流量，所以它也要创建相对应的感兴趣流，不然将导致支部间的流量无法进行隧道转发。如上面几张图所示：
支部1为了可以借助总部去往支部2创建了感兴趣流：192.168.2.0/24 ---->192.168.3.0/24
支部2为了可以借助总部去往支部1创建了感兴趣流：192.168.3.0/24 ---->192.168.2.0/24
总部为了可以与支部1互为镜像流去承载相关转发流量创建感兴趣流：
192.168.3.0/24--->192.168.2.0/24
总部为了可以与支部2互为镜像流去承载相关转发流量创建感兴趣流：
192.168.2.0/24--->192.168.3.0/24
扫一扫
1846
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
