企业网络安全架构设计之IPSec VPN应用配置举例

1. 需求分析

组网拓扑：

组网需求：

1. 分支机构内部业务Vlan为vlan 10与vlan 20，通过FW1的DHCP服务获取相关网络配置信息。分支机构中Vlan 30为外网Vlan，PC5只可以访问公网，无法通过IPSec访问总部内网资源。

2. 分支机构Client1与PC2需要访问总部内部的FTP服务器，为保证数据访问的安全性，采用IPSec VPN的方式通过公网进行资源访问。

3. 为保证分支机构访问总部数据的可靠性，总部出口处采用双击热备的方式进行组网。

2. 地址规划

终端设备地址规划：

名称	所属Vlan	IP地址/掩码
Client1	10	10.1.1.2/24【不支持DHCP，采用手工静态配置】
PC2	20	DHCP获取【网段10.1.1.0/24】
PC5	30	DHCP获取【网段192.168.30.0/24】
公网DNS	/	8.8.8.8
Web	100	172.18.17.10/24
FTP	200	192.168.2.2/24
PC4	300	192.168.3.2/24

网络设备地址规划：

名称	接口	IP地址/掩码	备注
FW1	GE1/0/1.10	10.1.1.1/24	Vlan10网关地址
	GE1/0/1.20	10.1.2.1/24	Vlan20网关地址
	GE1/0/1.30	192.168.30.1/24	Vlan30网关地址
	GE1/0/0	111.160.10.2/30	外网出口地址
R1	GE0/0/0	111.160.10.1/30	分支机构互联网网关地址
	GE0/0/2	8.8.8.1/24	公网DNS网关地址
	GE0/0/1	111.160.20.1/30	总部互联网网关地址
FW2	GE1/0/0	172.16.1.1/27	互联网侧实地址，虚地址为111.160.20.2/30
	GE1/0/2	1.1.1.1/24	心跳地址
	GE1/0/1	192.168.100.3/27	内网侧实地址，虚地址为192.168.100.1/27
FW3	GE1/0/0	172.16.1.2/27	互联网侧实地址，虚地址为111.160.20.2/30
	GE1/0/2	1.1.1.2/24	心跳地址
	GE1/0/1	192.168.100.4/27	内网侧实地址，虚地址为192.168.100.1/27
LSW3	Vlanif100	172.18.17.1/24	Vlan100网关地址
	Vlanif200	192.168.2.1/24	Vlan200网关地址
	Vlanif300	192.168.3.1/24	Vlan300网关地址
	Vlanif1000	192.168.100.2/27	上联防火墙地址

3. 防火墙接口区域规划

名称	接口	所属区域
FW1	GE1/0/1	Trust
	GE1/0/1.10	Trust
	GE1/0/1.20	Trust
	GE1/0/1.30	Trust
	GE1/0/0	Untrust
FW2	GE1/0/0	Untrust
	GE1/0/2	DMZ
	GE1/0/1	Trust
FW3	GE1/0/0	Untrust
	GE1/0/2	DMZ
	GE1/0/1	Trust

4. 分支机构内网配置

LSW4交换机配置

• 创建Vlan

vlan batch 10 20 30

• 配置接口模式，连接终端的接口开启边缘端口加快转发

interface GigabitEthernet0/0/1

 port link-type access

 port default vlan 10

 stp edged-port enable

#

interface GigabitEthernet0/0/2

 port link-type access

 port default vlan 20

 stp edged-port enable

#

interface GigabitEthernet0/0/3

 port link-type access

 port default vlan 30

 stp edged-port enable

#

interface GigabitEthernet0/0/4

 port link-type trunk

 undo port trunk allow-pass vlan 1

 port trunk allow-pass vlan 10 20 30

 stp edged-port enable

FW1防火墙配置

防火墙初始用户名与密码：admin/Admin@123【初次登陆需要修改密码，修改后的密码为huawei@123】

• 开启DHCP服务

dhcp enable

• 创建业务Vlan

vlan batch 10 20 30

• 创建内网三层子接口，设置封装类型与关联的Vlan id；配置IP地址，并开启DHCP服务，DNS配置公网DNS 8.8.8.8

interface GigabitEthernet1/0/1.10

 vlan-type dot1q 10

 ip address 10.1.1.1 255.255.255.0

 service-manage ping permit

 dhcp select interface

 dhcp server dns-list 8.8.8.8

#

interface GigabitEthernet1/0/1.20

 vlan-type dot1q 20

 ip address 10.1.2.1 255.255.25