华为路由器 IPSec VPN 配置

需求：
通过 IPSecVPN 实现上海与成都内网互通
拓扑图如下：

一、两地公网互通

成都路由器

acl number 3000  
  rule 5 deny ip source 192.168.100.0 0.0.0.255 destination 192.168.200.0 0.0.0.255 //目的地址为上海则不做地址转换
  rule 10 permit ip source 192.168.100.0 0.0.0.255 
interface GigabitEthernet0/0/0
 nat outbound 3000 //接口调用acl，实现nat地址转换，保证其它网络正常
ip route-static 0.0.0.0 0.0.0.0 12.0.0.1

上海路由器

acl number 3000  
  rule 5 deny ip source 192.168.200.0 0.0.0.255 destination 192.168.100.0 0.0.0.255 //目的地址为成都则不做地址转换
  rule 10 permit ip source 192.168.200.0 0.0.0.255 
interface GigabitEthernet0/0/0 
 nat outbound 300
ip route-static 0.0.0.0 0.0.0.0 13.0.0.1

网络测试：

可以看出在未配置vpn前，成都内网-上海内网的网络不通

下图为成都内网-上海接口：

根据途中反馈可以看出流量正常转发，抓包显示源地址为成都接口地址，地址正常转换

二、ipsec vpn配置

成都路由器

acl number 3001  
 rule 5 permit ip source 192.168.100.0 0.0.0.255 destination 192.168.200.0 0.0.0.255 //抓取去往上海内网的流量
ipsec proposal chengshang //配置IPSec安全提议。
 esp authentication-algorithm sha2-512 //认证方式
 esp encryption-algorithm aes-256	//加密方式
#
ipsec policy vpn 1 manual 	//手动协商
 security acl 3001			//关联加密流量
 proposal chengshang		//关联安全提议
 tunnel local 12.0.0.2 		//本端地址
 tunnel remote 13.0.0.3 	//对端地址
 sa spi inbound esp 12345	//标识符
 sa string-key inbound esp simple huawei@123 //认证密码
 sa spi outbound esp 54321	
 sa string-key outbound esp simple huawei@321
#
interface GigabitEthernet0/0/0
 ipsec policy vpn	//接口调用

上海路由器

acl number 3001  
 rule 5 permit ip source 192.168.200.0 0.0.0.255 destination 192.168.100.0 0.0.0.255 //抓取去往成都内网的流量 
#
ipsec proposal chengshang 配置IPSec安全提议。
 esp authentication-algorithm sha2-512  
 esp encryption-algorithm aes-256
#
ipsec policy vpn 1 manual
 security acl 3001
 proposal chengshang
 tunnel local 13.0.0.3
 tunnel remote 12.0.0.2
 sa spi inbound esp 54321
 sa string-key inbound esp simple huawei@321
 sa spi outbound esp 12345
 sa string-key outbound esp simple huawei@123

网络测试
成都内网-上海内网，如下图：

在上海外网接口地址抓包，结果如下图

通过以上抓包信息可以看出，两地内网已经互通，也的确走的是ESP协议