system: [SYSTEM]

user: 3 设备的配置 3.1. 接口参数配置 将数据的接口打开然后输入对应的IP地址，如图1左侧的防火墙上面的g1/0/2接口Int g0/2 进入接口 Ip add 192.168.1.1255.255.255.0 将地址设为192.168.1.1，后面是掩码地址。 作为一个24网络位地址，当公司网络规模较大时，还可以通过借用主机位的方式增加我们可以使用的网段数量。 3.2. 路由配置 在输入各个接口后，将各个接口的地址宣告进OSPF协议 [ 6 ] 之中，具体如下： OSPF 1 创建OSPF Area 0 创建骨干区域0 Net 192.168.1.1 0.0.0.0 将地址信息录入OSPF路由表中 OSPF是常见的一种动态协议，通过有关于区域的定义对路由进行管理，必须使用area0才能够将不同区域连接起来，从而相互传输数据。 在防火墙处配置一个用来访问外网的静态路由 IP route-static 0.0.0.0 0.0.0.0 1.1.1.2 完成上述操作，公司的总部的网络之间和公司分部的网络之间可以分别连通了。 3.3. 进入WEB页面 使用自带的web界面对防火墙进行配置，这里需要先把地址改成与管理口同一网段的地址，因为只有当主机的地址与要接入的端口地址在一个网段时才能通信，本网络中这个的地址是192.168.0.1。 将防火墙管理口g1/0/1连接到主机的网口，然后再输入 security-zone name Trust import interface g1/0/1 创建一个名为Trust的安全域并且将g1/0/1加入此安全域，防火墙拥有安全域的概念，只有不同的安全域才能进行访问，通过将各种接口划分进去，可以更加方便的对网络进行管理，增强安全性能 [H3C]object-policy ip ma [H3C-object-policy-ip-ma]rule pass 创建策略并且使得流量可以得到顺利的通行 [H3C]zone-pair security source trust destination local [H3C-zone-pair-security-Trust-Local]object-policy apply ipma 在trust安全域和local安全域之间使用刚刚写好的名为ma有利于流量的策略 [H3C]ip http en [H3C]ip https en local-user admin class ma password simple admin service-type http https authorization-attribute user-role network-admin 创建一个管理员账号作为我们登录的依据，同样的要使用http协议，最下面那句是为了说明创建的是管理员用户。 接下来的图形化界面是为了建立IPSEC，是一种加密，但并没有建立起隧道。如图2所示，在出现的登录防火墙的界面上，用上面设置的用户账户登进去。 图2. 登录界面 将接口手动输入IP地址，并划分到untrust安全域中，如果操作出了问题也可以在防火墙命令行输入下面内容： Int g1/0/2 Ip add x.x.x.x Int后面的内容要根据对应的链路接口修改，IPadd后面加上实际的地址和掩码。 最后再根据之前进入web界面的配置加入安全域，配置安全策略，使安全域间互通，因为默认安全域之间是不会互通的。 3.4. IPSEC的配置 为了协商算法和密钥的存在时间，首先需要配置一个IKE提议 [ 7 ]，配置IPSEC主要用来建立总部和分部的连接隧道。 图3. VPN隧道 使用OSPF将所有网络全部连接起来，在VPN-IPSEC监视视图中会出现如图3的效果。 3.5. GEE隧道 使用GRE的隧道技术使得网络能够互相通信 [ 8 ]。配置如下 interface tunnel 0 mode gre 配置一个隧道端口并将隧道模式设为GRE ip address 10.5.1.2 255.255.255.0 对隧道地址进行配置 source 1.1.1.1 设置本端端口为源端口 destination 2.2.2.2 设置对端端口为目的地址 security-zone name Untrust import interface Tunnel 0 将隧道配置到安全域中 3.6. L2tp配置 l2tp enable 允许l2tp协议 l2tp-group 1 mode lac 创建组1是lac模式 tunnel name LAC 配置隧道名称为tun lns-ip 2.2.2.2 对端地址为2.2.2.2 tunnel authentication 打开隧道检验 tunnel password simple 123 设置隧道密码为123 interface virtual-ppp 1 建立虚拟接口 ip address ppp-negotiate 地址由对端发送 ppp pap local-user vpn password simple qwe 验证用户名为vpn，密码是qwe，使用pap验证 ip route-static 0.0.0.0 0.0.0.0 1.1.1.2 配置默认路由使得两个网关出口地址可以通信 interface virtual-ppp 1 进入虚拟口 l2tp-auto-client l2tp-group 1 使用组1建立连接，然后是右侧防火墙配置 local-user vpn class network 创建本地用户vpn password simple qwe 密码是qwe service-type ppp 使用ppp协议，创建接口Virtual-Template1，配置VT口IP地址，PPP认证方式为PAP，并指定为Client端分配IP地址为192.168.0.10。 interface virtual-template 1 创建虚拟口 ip address 10.10.10.10 24 地址为10.10.10.10 ppp authentication-mode pap 使用pap验证 remote address 10.10.10.1 对端地址发送10.10.10.1 security-zone name Untrust import interface Virtual-Template 1 将虚拟口划分进安全域 acl basic 2100 rule permit source any 允许所有流量通过 zone-pair security source untrust destination local packet-filter 2100 在从untrust到local中使用acl2000 domain system 配置system域 authentication ppp local 采用ppp本地认证 l2tp enable 打开l2tp功能 l2tp-group 1 mode lns 创建lns模式的组1 tunnel name tunnel 隧道名为tunnel allow l2tp virtual-template 1 remote LAC 设置使用的虚拟口配置对端隧道名 tunnel authentication tunnel password simple 123 将密码设为123 router id 1.1.1.1 3.7. 模拟器实现 通过虚拟机与模拟器，本文中所述的基于VPN的公司总部与分部的互连网络的模拟拓扑如图4所示，同时模拟结果较好的验证了该网络的有效性和安全性。 图4. 模拟拓扑图