以下是針對華三（H3C）與華為（Huawei）設備配置IPsec VPN的詳細說明，涵蓋配置流程、參數設置及常見問題處理：

---

一、華三（H3C）設備IPsec VPN配置詳解

1.?配置流程

華三IPsec VPN配置主要分為兩個階段：IKE SA協商（階段一）和IPsec SA協商（階段二），需結合策略模板或靜態策略實現126。

• 階段一（IKE SA）：

  • 配置IKE安全提議：定義加密算法（如3DES、AES）、認證算法（如SHA-256）、DH組（如group5）等參數。

  • 配置IKE對等體：設置預共享密鑰（PSK）及對端身份（如IP地址或FQDN）。

  • 配置IKE Profile：關聯安全提議與對等體，動態地址接入需啟用野蠻模式（aggressive）26。

• 階段二（IPsec SA）：

  • 定義IPsec轉換集：選擇封裝模式（隧道模式）、ESP加密算法和認證算法。

  • 配置ACL定義流量：匹配需加密的源/目的子網（如rule permit ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255）。

  • 策略模板或靜態策略：動態接入端需創建策略模板，并關聯ACL、轉換集和IKE Profile24。

2.?動態地址接入配置要點

當分支網關為動態IP時，華三需啟用野蠻模式，并通過FQDN或域名標識對端，配合策略模板實現動態協商26：

plaintext

復制

下載

ike profile 1exchange-mode aggressive      # 啟用野蠻模式match remote identity fqdn R3 # 對端標識為FQDN

3.?NAT穿越處理

華三防火墻優先處理VPN流量，NAT規則需避免沖突：

• ACL精準匹配：配置NAT規則時，需排除VPN流量（如rule deny ip source 192.168.0.0/16 destination 10.0.0.0/24）13。

• 接口調用順序：在出口接口同時應用VPN策略和NAT規則，無需額外調整優先級1。

---

二、華為（Huawei）設備IPsec VPN配置詳解

1.?基礎配置流程

華為配置邏輯與華三類似，但需注意協議兼容性357：

• IKE提議：需與對端一致（如IKEv1主模式、DH group2、SHA1認證）。

• IPsec提議：定義ESP加密算法（如AES-CBC-128）、認證算法（如HMAC-MD5）。

• 安全策略：創建入站/出站策略，引用ACL和IPsec提議。

2.?動態策略模板配置

華為支持策略模板方式對接動態地址分支：

plaintext

復制

下載

ipsec policy-template dx 1000      # 創建模板security acl 3004                # 引用ACLike-peer to-branch               # 關聯IKE對等體proposal to-branch               # 引用IPsec提議

3.?與華三設備對接注意事項

• 參數匹配：確保IKE版本、加密算法、DH組、預共享密鑰一致。

• NAT穿透：華為需啟用NAT-T（nat traversal enable），并在出口設備映射UDP 500/4500端口37。

• 路由配置：添加靜態路由指向對端內網（如ip route-static 192.168.10.0 255.255.255.0 202.101.12.1）8。

---

三、常見問題與解決方法

1. VPN隧道無法建立：

   • 檢查IKE SA狀態：display ike sa。

   • 確認ACL規則是否匹配流量，并排除NAT干擾13。

   • 日志分析：查看協商失敗原因（如PSK不匹配、協議版本沖突）7。

2. NAT環境下流量不通：

   • 確保NAT設備放行UDP 500/4500端口。

   • 華三需配置ACL拒絕VPN流量被NAT轉換13。

3. 動態地址接入失敗：

   • 確認野蠻模式啟用，且對端身份標識（FQDN）正確26。

   • 華為分支需主動發起協商，總部配置策略模板57。

---

四、配置示例

華三與華為對接配置片段

華三端（動態分支）：

plaintext

復制

下載

ike proposal 1encryption-algorithm aes-cbc-128authentication-algorithm sha1dh group2
ike keychain 1pre-shared-key hostname huawei key simple 123456
ipsec policy-template temp 1ike-profile 1transform-set mysetsecurity acl 3000

華為端（固定總部）：

plaintext

復制

下載

ike peer h3cpre-shared-key 123456ike-proposal 1remote-address 122.XX.XX.248
ipsec policy h3c 1 isakmpsecurity acl 3000ike-peer h3cproposal h3c