บทที่ 8 · D · VPN

IPSec Site-to-Site VPN Lab

FW_HQ (สำนักงานใหญ่) กับ FW_Branch (สาขา) ต้องคุยกันผ่านอินเทอร์เน็ตแบบเข้ารหัส วันนี้คุณจะตั้ง IPSec VPN: ACL กำหนดว่าทราฟฟิกไหนต้องเข้ารหัส (interesting traffic), IKE เจรจาหาคีย์ลับร่วมกันอัตโนมัติด้วย Pre-Shared Key ที่ทั้งสองฝั่งต้องพิมพ์ตรงกันทุกตัวอักษร แล้ว IPSec ใช้คีย์นั้นเข้ารหัสข้อมูลจริง — HQ เป็นฝ่ายรอรับการเชื่อมต่อ (responder, ใช้ policy-template) ส่วน Branch เป็นฝ่ายเริ่มเชื่อมต่อ (initiator)

FW_HQ · GE1/0/1 = 1.1.1.1 (WAN, responder) FW_Branch · GE1/0/1 = 1.1.2.1 (WAN, initiator) HQ LAN 10.1.0.0/16 ↔ Branch LAN 192.168.1.0/24 เป้าหมาย: Encrypted Tunnel ขึ้น ทั้งสองฝั่งเจรจา IKE สำเร็จ

Topology — สถานะสด

Terminal

<FW_HQ>

คำสั่งอ้างอิง — คลิกเพื่อแทรกลงเทอร์มินัลของอุปกรณ์ที่กำลังเลือกอยู่

รองรับ system-view, acl/rule permit ip source ... destination ..., ipsec proposal (esp authentication-algorithm/esp encryption-algorithm), ike proposal (authentication-method/prf/encryption-algorithm/dh/integrity-algorithm), ike peer (ike-proposal/pre-shared-key/remote-address), ipsec policy-template + ipsec policy ... isakmp template ... (HQ ฝั่ง responder), ipsec policy ... isakmp (Branch ฝั่ง initiator), interface/ipsec policy <name>, quit/return และ display หลัก ๆ — ปุ่มใต้ไดอะแกรมจำลองการทดสอบส่ง traffic จริง (ไม่ใช่คำสั่ง CLI)

อ้างอิงจาก Huawei Firewall Comprehensive Configuration Examples