这周算是补了上周和上上周脱更的内容了&＃xff0c;下周好好继续研究&＃xff0c;大家一起学习&＃xff01;&＃xff01;j_0057.gif成为一名优秀的网工。


之前的文章里面有介绍过basic-policy-***和routing-***的区别&＃xff08;SSG系列&＃xff09;&＃xff0c;同时也列举的basic-policy-***的配置思路和配置方法。今天呢算是做一个补充&＃xff0c;介绍一下SSG基于tunnel接口的routing-***配置方法。


简单介绍下&＃xff1a;

基于路由的IPsec ×××: 在防火墙上建立虚拟接口tunnel接口&＃xff0c;设置到对端的数据丢进这个tunne接口中&＃xff0c;再有IPsec ×××进行加密


×××的配置思路&＃xff1a;

  1. 新增自定义zone

  2. 新建tunnel接口并关联zone配置IP地址。&＃xff08;类似GRE的配置&＃xff09;

  3. ipsec-***第一阶段配置

  4. ipsec-***第二阶段配置并绑定tunnel接口

  5. 写基于tunnel接口的目的路由

  6. 放行内网接口到tunnel接口zone的策略

  7. 测试网络是否正常


以上的思路均可根据自己经验和习惯进行微调&＃xff0c;没有准确的答案&＃xff0c;每个人的习惯决定每个人的配置手法&＃xff0c;注意一点即可。思路清晰&＃xff0c;做事严谨。


简单介绍下zone、tunnel接口如何配置&＃xff1a;

zone的新建&＃xff1a;

web-ui---network--zones&＃xff0c;找到系统自带trust&＃xff0c;观察里面属性。

wKiom1eLL-3xwzf7AACm7wExvZM011.png-wh_50


接着模仿配置一个新zone&＃xff0c;命名为ceshi&＃xff0c;如下所示。下面五个勾选框无需刻意勾选。

wKioL1eLL-2Tra57AAB-PIboVGo867.png-wh_50


创建完成之后如下图所示&＃xff1a;

wKiom1eLL-7wlyrfAAC_LbfLEMI652.png-wh_50


接着创建tunnel接口&＃xff0c;network-interface-右上角下拉找到tunnel IF&＃xff0c;点击new

wKioL1eLL-7SPRvZAADTubF3fXA484.png-wh_50


关联刚刚创建的zone-ceshi&＃xff0c;然后配置tunnel-ip地址&＃xff1a;10.255.255.1/30&＃xff0c;点击ok

wKiom1eLL--wqXR0AACqx0hqYbE935.png-wh_50


创建完成之后interface接口输出图如下&＃xff1a;

wKioL1eLL-7i6yr-AAC6ZS8AQAQ839.png-wh_50

此时第一步和第二步就已经完成了。我们可以开始配置×××呢。


×××的配置&＃xff0c;这里省略因为前面介绍的比较详细了&＃xff0c;所以如果配置思路和配置方法不清晰或者不明白的&＃xff0c;请在博主的***分类篇去找下Juniper-SSG的策略ipsec-***的配置方法。


非常感谢&＃xff0c;好了&＃xff0c;这里不做赘述。我继续&＃xff01;&＃xff01;


在ipsec-***配置完成之后&＃xff0c;一般默认情况下第一阶段就一起了&＃xff0c;进设备底层->get sa 方可进行查看。


从这里开始&＃xff0c;SSG的路由模式的×××的关键地方来了&＃xff0c;大家自信的往下看。

第四步&＃xff0c;ipsec-***第二阶段配置并绑定tunnel接口

在basic-policy-***第二阶段的配置中&＃xff0c;有个advance的配置&＃xff0c;进去勾选bind-tunnel&＃xff0c;下拉刚刚新建的tunnel接口&＃xff0c;如下图。

wKioL1eLMsWzMPfeAAB-JRHJlkc146.png-wh_50

通俗理解就是&＃xff1a;把该隧道绑定到tunnel接口上&＃xff0c;这一步就完成了ipsec绑定tunnel接口的配置。

这个和山石网科&＃xff0c;tunnel接口下绑定ipsec-***的手法完全一致&＃xff0c;只是山石做的更符合国人的思维而已。


第五步&＃xff1a;写基于tunnel接口的目的路由

如下图所示&＃xff1a;&＃xff08;写个目的路由&＃xff0c;菜单我就不介绍了&＃xff0c;太low&＃xff09;

wKiom1eLM96R9RCyAAA_ZPCYg7E163.png-wh_50

wKioL1eLM97B8oDwAABxuFmh3Ro720.png-wh_50


第六步&＃xff1a;放行内网接口到tunnel接口zone的策略。

注释&＃xff1a;为什么是内网接口的zone到tunnel接口的zone的策略放行&＃xff0c;而不是trust到untrust。这个就是routing-***的区别之处。

wKiom1eLNDnQDfF1AAAfvQVtK0k684.png-wh_50


流量基于tunnel接口和路由去转发&＃xff0c;而并非通过感兴趣流&＃xff08;源目地&＃xff09;去匹配&＃xff0c;一定程度上&＃xff0c;路由***比策略***灵活可控&＃xff0c;但是大家也明白tunnel接口数量是有上限的&＃xff0c;所以偶尔我们在规划配置的时候&＃xff0c;真的好考虑下设备的硬件支持&＃xff0c;不然悲剧中途该方案&＃xff0c;贼难受和贼不专业。


第七步&＃xff1a;内网互Ping&＃xff0c;即可。如果不同&＃xff0c;检查ipsec配置起来没&＃xff0c;其他的没了。***这类技术很久了&＃xff0c;百度、谷歌文档一大堆&＃xff0c;多研究多看书&＃xff0c;别做伸手党。



------------------------------来自一家二级运营商的网工分享