拓扑图如下：

AR-1基础配置:

<Huawei>system-view        //进系统视图
Enter system view, return user view with Ctrl+Z.
[Huawei]sysname AR-1       //修改主机名为AR-1
[AR-1]int g0/0/0       //进接口
[AR-1-GigabitEthernet0/0/0]ip address 172.16.10.254 24       //配置IP地址和子网掩码
[AR-1-GigabitEthernet0/0/0]int g0/0/1       //切换接口
[AR-1-GigabitEthernet0/0/1]ip address 100.0.0.1 30           //配置IP地址和子网掩码
[AR-1]ip route-static 0.0.0.0 0.0.0.0 100.0.0.2           //配置静态路由

================================================================================================

部署安全提议和对等关系

[R1]ike proposal 1   //进入安全提议视图
[R1-ike-proposal-1]encryption-algorithm 3des-cbc //配置使用的加密算法
[R1-ike-proposal-1]authentication-algorithm md5 //配置使用的认证算法
[R1-ike-proposal-1]authentication-method pre-share //配置身份验证-预共享密钥
[R1-ike-proposal-1]dh group2 //配置DH算法--保证秘钥安全的
[AR-1-ike-proposal-1]q       //退到上一层，系统视图
---指定隧道对端（对等体）
[R1]ike peer 200.0.0.2 v1 //建立对等体关系
[R1-ike-peer-200.0.0.2]pre-shared-key simple abc //配置身份验证口令
[R1-ike-peer-200.0.0.2]ike-proposal 1 //调用安全提议
[R1-ike-peer-200.0.0.2]remote-address 200.0.0.2 //指向具体的对等体
[R3]dis ike proposal //查看安全提议信息

配置ACL和算法即安全策略

{配置ACL 定义对等体间需要保护的流量}
       R1]acl number 3000
       [R1-acl-adv-3000]rule permit ip source 172.16.10.0 0.0.0.255 destination 10.10.33.0 0.0.0.255
{配置IPSEC 安全提议（算法集合）}
[R1]ipsec proposal 1
[R1-ipsec-proposal-1]transform esp
{配置IPSEC 安全策略}
[R1]ipsec policy jiayou 1 isakmp
[R1-ipsec-policy-isakmp-jiayou-1]security acl 3000
[R1-ipsec-policy-isakmp-jiayou-1]proposal 1
[R1-ipsec-policy-isakmp-jiayou-1]ike-peer 200.0.0.2

acl保护IPSEC安全策略

{配置ACL 定义对等体间需要保护的流量}
       R1]acl number 3000
[R1-acl-adv-3000]rule permit ip source 172.16.10.0 0.0.0.255 destination 10.10.33.0 0.0.0.255
   [AR-1-acl-adv-3000]q       //退到上一层，系统视图
{配置IPSEC 安全提议（算法集合）}
[R1]ipsec proposal 1
[R1-ipsec-proposal-1]transform esp
   [AR-1-ipsec-proposal-1]q   //退到上一层，系统视图
{配置IPSEC 安全策略}
[R1]ipsec policy jiayou 1 isakmp
[R1-ipsec-policy-isakmp-jiayou-1]security acl 3000
[R1-ipsec-policy-isakmp-jiayou-1]proposal 1
[R1-ipsec-policy-isakmp-jiayou-1]ike-peer 200.0.0.2

在接口应用IPSEC安全策略

[AR-1]int g0/0/1 //进入g0/0/1接口
[AR-1-GigabitEthernet0/0/1]ipsec policy jiayou //应用接口的策略

ISP-1基础配置:

<Huawei>system-view        //进系统视图
Enter system view, return user view with Ctrl+Z.
[Huawei]sysname ISP-1       //修改主机名为ISP-1
[ISP-1-GigabitEthernet0/0/0]ip address 100.0.0.2 30       //配置IP地址和子网掩码
[ISP-1-GigabitEthernet0/0/0]int g0/0/1       //切换接口
[ISP-1-GigabitEthernet0/0/1]ip address 200.0.0.1 30       //配置IP地址和子网掩码

AR-3基本配置

:<Huawei>system-view        //进系统视图
Enter system view, return user view with Ctrl+Z.
[Huawei]sysname AR-3       //修改主机名为AR-3
[AR-3]int g0/0/0   //进接口
[AR-3-GigabitEthernet0/0/0]ip address 200.0.0.2 30       //配置IP地址和子网掩码
[AR-3-GigabitEthernet0/0/0]int g0/0/1   //切换接口
[AR-3-GigabitEthernet0/0/1]ip address 10.10.33.254 24   //配置IP地址和子网掩码
[AR-3]ip route-static 0.0.0.0 0.0.0.0 200.0.0.1       //配置静态路由

部署安全提议和对等关系

[R3]ike proposal 1   //进入安全提议视图
[R3-ike-proposal-1]encryption-algorithm 3des-cbc //配置使用的加密算法
[R3-ike-proposal-1]authentication-algorithm md5 //配置使用的认证算法
[R3-ike-proposal-1]authentication-method pre-share //配置身份验证-预共享密钥
[R3-ike-proposal-1]dh group2 //配置DH算法--保证秘钥安全的
[AR-3-ike-proposal-1]q           //退到上一层，系统视图
---指定隧道对端（对等体）
[R3]ike peer 100.0.0.1 v1 //建立对等体关系
[R3-ike-peer-100.0.0.1]pre-shared-key simple abc //配置身份验证口令
[R3-ike-peer-100.0.0.1]ike-proposal 1 //调用安全提议
[R3-ike-peer-100.0.0.1]remote-address 100.0.0.1 //指向具体的对等体

配置ACL和算法即安全策略

{配置ACL 定义对等体间需要保护的流量}
R3]acl number 3000
[R1-acl-adv-3000]rule permit ip source 10.10.33.0 0.0.0.255 destination 172.16.10.0 0.0.0.255
   [AR-3-acl-adv-3000]q       //退到上一层，系统视图
{配置IPSEC 安全提议（算法集合）}
[R1]ipsec proposal 1
[R1-ipsec-proposal-1]transform esp
   [AR-3-ipsec-proposal-1]q       //退到上一层，系统视图
{配置IPSEC 安全策略}
[R1]ipsec policy jiayou 1 isakmp
[R1-ipsec-policy-isakmp-jiayou-1]security acl 3000
[R1-ipsec-policy-isakmp-jiayou-1]proposal 1
[R1-ipsec-policy-isakmp-jiayou-1]ike-peer 100.0.0.1

扫描二维码关注公众号，回复： 10432720 查看本文章