H3C ER3100 VPN配置指导(3)

图4 设置IKE对等体

(4) 设置IPSec安全提议 VPN→VNP设置→IPSec安全提议

输入安全提议名称，选择安全协议类型为ESP，并设置验证算法和加密算法分别为SHA1、3DES，单击<增加>按钮。 图5 配置IPSec安全提议

(5) 设置IPSec安全策略

VPN→VNP设置→IPSec安全策略

输入安全策略名称，在“本地子网IP/掩码”和“对端子网/IP掩码”文本框中分别输入客户分支机构A和B所处的子网信息，并选择协商类型为“IKE协商”、对等体为“IKE-d1”、安全提议为“IPSEC-PRO”，单击<增加>按钮。 图6 配置IPSec安全策略

(6) 设置路由

需要为经过IPSec VPN隧道处理的报文设置路由，才能使隧道两端互通。一般情况下，只需要为隧道报文配置静态路由即可。

配置静态路由时，指定目的地址网段后不需要指定下一跳地址，直接配置使用正确的IPSec虚接口即可。 高级设置→路由设置→静态路由 图7 配置静态路由

2. 设置Router B

在对端Router B上，IPSec VPN的配置与Router A是相互对应的。

如果对端也是使用ICG1000，则除了对等体的对端地址以及安全策略中的本地子网、对端子网、本端ID、对端ID需要对应修改，其他的设置均相似。

3 Hub & Spoke VPN典型配置案例

Hub & Spoke网络拓扑类型VPN是一种星型的VPN网络模型。该模型中存在一个中心节点即Hub，所有其它分支节点即Spoke只与Hub协商建立IPSec隧道。因此，每一个子网的网关仅需要配置到Hub的连接参数。对于一个具有N个子网的网络拓扑，只需要协商建立N个VPN隧道。各个分支节点Spoke之间通过Hub对流量的转发实现互相通信，并且不需要增加建立VPN隧道。Hub作为终结隧道的头端设备，不仅需要完成与各个分支Spoke的VPN建立维护，还需要完成数据在不同隧道间的转发。

Hub & Spoke VPN的优点是：对分支Spoke路由器的要求低，只需要其维护一条IPSec隧道；减化配置的复杂性，增加一个分支点只会增加一条隧道；只有中心Hub需要静态IP配置，其他分支可以不再申请使用静态IP。当然，这种VPN的缺点也显而易见：VPN的性能和可靠性过于依赖中心端Hub；当分支都使用动态地址时，只能由分支Spoke来初始建立IPSec隧道。

3.1.1 组网需求

在Hub & Spoke VPN组网方案中，SMB Router既可以充当分支Spoke，也可以作为中心Hub使用。

由于不同Spoke之间的子网要求互通，在隧道的访问控制表定义上可以尽可能放宽，使用any地址方式配置可以确保网络中增加Spoke时隧道配置不需要变动。然后通过将其他Spoke子网的路由指向隧道的IPSec虚接口，本子网可以通过一

条隧道访问其他Spoke的子网。中心Hub上只需要为各个Spoke的子网配置对应隧道虚接口的路由，就能完成各个隧道之间报文的转发。

各个Spoke使用动态上网方式，中心Hub上可以配置any地址的对等体来处理。当组网有变化时，配置的修改也简化了，只需要针对性地增加或减少的Spoke子网，增加或减少对应的路由即可。

3.1.2 组网图

图8 组网示意图

3.1.3 设置步骤

1. 设置Spoke (1) 设置虚接口 VPN→VNP设置→虚接口

选择一个虚接口名称和与其相应的WAN口绑定，单击<增加>按钮。 图9 配置虚接口

(2) 设置IKE安全提议 VPN→VNP设置→IKE安全提议

输入安全提议名称，并设置验证算法和加密算法分别为SHA1、3DES，单击<增加>按钮。

图10 配置IKE安全提议

(3) 设置IKE对等体 VPN→VNP设置→IKE对等体 图11 设置IKE对等体