目标
建立IPSec隧道的一端使用两台设备进行双机热备,可以将IPSec的配置信息、隧道建立信息等从主设备备份到备用设备上,保证即使主设备断开后隧道也不会拆除,提高了网络的可靠性。
组网需求
如图1所示,公司总部(HQ)通过FW_A和FW_B接入外网。分支机构(Branch)员工使用FW_C接入总部。要求实现分支机构安全访问IPSec保护的总部内网服务器。公司由多个分支机构组成,此举例中只以其中一个为例,其网关为FW_C。为提高网络可靠性,FW_A和FW_B配置组成主备方式的双机热备,其上下行设备均是交换机。
配置思路
- 配置FW_A和FW_B的双机热备功能。
- 配置FW_A的安全策略和IPSec业务。 FW_A和FW_B的双机热备功能启用以后,FW_A的安全策略和IPSec业务将会自动备份到FW_B。
- 在FW_C上配置IPSec隧道。
操作步骤
- 配置FW_A(总部)和FW_B(总部)的双机热备功能。
- 配置各接口的IP地址,并将接口加入相应的安全区域。
- 在FW_A上配置VRRP备份组。
- 在FW_A上指定心跳口并启用双机热备功能。
- 完成FW_B的配置,建立双机热备状态。
- # FW_B和上述FW_A的配置基本相同,不同之处在于:
- FW_B各接口的IP地址与FW_A各接口的IP地址不相同。
- FW_B的业务接口GE1/0/2和GE1/0/3的VRRP备份组需要加入状态为Standby的VGMP组。
- 在FW_A上配置安全策略和IPSec业务。
- 配置安全策略。
- 配置Trust域与Untrust域的安全策略,允许封装前和解封后的报文能通过FW_A。
- 配置Local域与Untrust域的安全策略,允许IKE协商报文能正常通过FW_A。
- 配置FW_A的路由。
- # 配置一条缺省路由,下一跳为1.1.1.254。
- # 配置到达分支机构内网的路由,下一跳为1.1.1.254。
- 配置FW_A的IPSec隧道。
- 配置访问控制列表,定义需要保护的数据流。
- 配置序号为10的IKE安全提议。
- 配置IKE Peer。
- 配置名称为tran1的IPSec安全提议。
- 配置策略模板policy1,并在IPSec安全策略组map1中引用该策略模板。
- 在出接口GE1/0/2上应用安全策略组map1。
- 在FW_B上配置路由。
配置一条缺省路由,下一跳为1.1.1.254。
配置到达分支机构内网的路由,下一跳为1.1.1.254。
- 配置FW_C(分支)。
- 配置接口IP地址。
- 配置接口加入相应安全区域。
- 配置安全策略。
- 配置Trust域与Untrust域的安全策略,允许封装前和解封后的报文能通过FW_C。
- 配置Local域与Untrust域的安全策略,允许IKE协商报文能正常通过FW_C。
- 配置FW_C的路由。
- # 配置一条缺省路由,下一跳为4.4.4.254。
- # 配置到达总部内网的路由,下一跳为4.4.4.254。
- 配置FW_C的IPSec隧道。
- 配置访问控制列表,定义需要保护的数据流。
- 配置序号为10的IKE安全提议。
- 配置IKE Peer。
- 配置名称为tran1的IPSec安全提议。
- 配置IPSec安全策略组map1。
- 在出接口GE1/0/1上应用安全策略组map1。
- 配置交换机。 将图1中交换机的各接口加入到同一个VLAN。 具体配置命令请参考交换机的相关文档。
结果验证
- 分支机构10.4.1.0/24网段的内网设备访问总部10.3.0.0/24网段服务器,可以访问成功。
- 在FW_A和FW_B上执行display ike sa和display ipsec sa命令,IPSec SA表项生成说明IPSec隧道建立成功且隧道备份成功。
- 将FW_A的GE1/0/3接口或GE1/0/2接口断开,业务可以正常切换到FW_B。