如何配置IPSec VPN

cancel
Showing results for 
Show  only  | Search instead for 
Did you mean: 
L2 Linker
Did you find this article helpful? Yes No
No ratings

症状
文档提供了关于设置IPSEC隧道的信息。这篇文章提供了一个带有屏幕截图和IP地址的例子。

 

环境
Palo Alto 防火墙
IPSEC VPN配置
支持的PAN-OS

 

拓扑

yyu_0-1673319617650.png

解决办法

注意:Palo Alto Networks只支持IPSec VPN的隧道模式。IPSec VPN不支持传输模式。

 步骤1
进入 "网络">"接口">"隧道 "标签,点击 "添加 "创建一个新的隧道接口,并指定以下参数。
名称: tunnel.1
虚拟路由器:(选择你希望你的隧道接口所在的虚拟路由器)
安全区:(为隧道接口配置一个新的安全区,以便更精细地控制进出隧道的流量)。

 

yyu_1-1673319844538.png

 

注意:如果隧道接口所处的区域与流量起源或离开的区域不同,那么就需要一个策略来允许流量从源区域流向包含隧道接口的区域。
在隧道接口上配置ip-address是可选的。如果你打算在隧道接口上运行动态路由协议,就需要IP-address。

第2步
转到网络 > 网络配置文件 > IKE加密。
点击添加并定义IKE加密配置文件(IKEv1阶段1)参数。
名称并不重要,可以是任何你喜欢的。
这些参数应该在远程防火墙上匹配,以便IKE Phase-1协商成功。

yyu_2-1673320254304.png

 

第3步
进入网络 > 网络配置文件 > IKE网关,配置IKE阶段1的网关。
版本。版本有选项,你可以选择只有IKEv1模式、只有IKEv2模式或IKEv2首选模式。
选择网关支持的IKE版本,并且必须同意与对等网关一起使用。IKEv2首选模式使网关进行IKEv2协商,如果对等方也支持IKEv2,他们就会使用该模式。否则,网关将退回到IKEv1。
接口。连接到互联网的外部接口。
本地和对等体识别。定义本地/对等网关的格式和标识,它们与预共享密钥一起用于IKEv1第一阶段SA和IKEv2 SA的建立。
选择以下类型之一并输入数值。FQDN(主机名)、IP地址、KEYID(二进制格式的HEX ID字符串)、或用户FQDN(电子邮件地址)。如果不指定数值,网关将使用本地/对方的IP地址作为本地/对方的识别值。

yyu_3-1673320363446.png

 

点击 "高级选项 "标签

yyu_4-1673320436682.png

 

启用被动模式 - 防火墙仅处于响应者模式。防火墙将只响应IKE连接,而不会发起连接。
交换模式 - 设备可以接受主模式和攻击性模式的协商请求;但是,只要有可能,它就会发起协商并允许在主模式下进行交换

步骤 4
在 "网络">"网络配置文件">"IPSec加密 "下,单击 "添加 "创建新的配置文件,定义IPSec加密配置文件以指定协议和算法,用于基于IPSec SA协商(IKEv1阶段2)的VPN隧道的识别、验证和加密。
这些参数应在远程防火墙上匹配,以使IKE第二阶段的协商成功。

yyu_5-1673320551919.png

 

第5步
在网络 > IPSec隧道下,点击添加创建一个新的IPSec隧道。
在常规窗口中,使用上面的隧道接口、IKE网关和IPSec加密配置文件来设置参数,以便在防火墙之间建立IPSec VPN隧道。

yyu_6-1673320613756.png

 

注意:如果隧道的另一端是支持基于策略的VPN的对等体,你必须定义代理ID
当配置IPSec隧道的Proxy-ID配置来识别被NAT化的流量的本地和远程IP网络时,IPSec隧道的Proxy-ID配置必须配置Post-NAT的IP网络信息,因为Proxy-ID信息定义了IPSec配置中允许通过隧道两边的网络。

yyu_7-1673320669287.png

 

第6步
在网络 > 虚拟路由器下,点击你的虚拟路由器配置文件,然后点击静态路由。
为另一个VPN端点后面的网络添加一个新的路由。使用适当的隧道接口。
完成后点击确定。

yyu_8-1673320732083.png

 

第7步
配置所需的安全规则/政策

允许IKE协商和IPSec/ESP数据包。默认情况下,IKE协商和IPSec/ESP数据包将通过区域内的默认允许被允许。
如果你希望有更精细的控制,你可以特别允许所需的流量,而拒绝其他的流量。

yyu_9-1673320797764.png

 

允许传入和传出的流量通过隧道。如果你需要对传入和传出的流量进行细化控制,你可以为每个方向创建单独的规则。

yyu_10-1673320845195.png

第八步
提交配置。

注意。
只有当有有趣的流量指向该隧道时,该隧道才会出现。
要手动启动隧道,检查状态和清除隧道请参考。
如何检查状态、清除、恢复和监控IPSEC VPN隧道。

 

Rate this article:
Register or Sign-in
Contributors
Labels
Article Dashboard
Version history
Last update:
‎01-09-2023 07:21 PM
Updated by: