1 配置需求或说明

1.1 适用产品系列

本案例适用于小贝优选UR系列路由器：UR7504、UR7808、UR7103 等。

1.2 配置需求及实现的效果

Router A为企业总部网关，Router B为企业分支网关，Router A和Router B的外网接口模式均以固定地址方式连接Internet。分支与总部通过公网建立通信。

出于安全因素，需要对企业分支与总部之间相互访问的数据流进行安全保护，因此需要在Router A和Router B之间建立一条IPsec隧道。具体要求如下：

·     两端通过预共享秘钥（123456TESTplat&!）进行认证。

·     IKE协商采用的加密算法为3DES-CBC，认证算法为MD5。

·     IPsec隧道的封装模式为隧道模式，安全协议为ESP。

2、组网图

3 配置步骤

3.1配置Router A

#正常配置内网口和外网口地址(此处省略，可以参考配置上网的案例)

#点击虚拟专网—ipsec—ipsec策略—新增

#配置策略名称为map1，接口选择外网口wan1，组网方式选择分支节点，对端地址写对端公网口地址2.2.3.1，预共享密钥123456TESTplat&!，保护流分别写两端要互通的内网网段，配置完成后点击下一步

#配置IKE，IKE版本选择V1，协商模式选择主模式，本端和对端身份类型都选择IP地址，两端的身份分别填写两端公网口的地址，算法组合选择自定义，配置加密算法为3DES-CBC，认证算法为MD5，PFS选择DH group2（两端的算法要保持一致），配置完成后点击下一步

#配置ipsec,算法组合自定义，安全协议选择ESP，认证算法为MD5，加密算法为DES-CBC，封装模式选择隧道模式，触发模式选择自协商，配置完成后点击确认。

3.2配置Router B

#正常配置内网口和外网口地址(此处省略，可以参考配置上网的案例)

#点击虚拟专网—ipsec—ipsec策略—新增

#配置策略名称为map1，接口选择外网口wan1，组网方式选择分支节点，对端地址写对端公网口地址2.2.2.1，预共享密钥123456TESTplat&!，保护流分别写两端要互通的内网网段，配置完成后点击下一步

#配置IKE，IKE版本选择V1，协商模式选择主模式，本端和对端身份类型都选择IP地址，两端的身份分别填写两端公网口的地址，算法组合选择自定义，配置加密算法为3DES-CBC，认证算法为MD5，PFS选择DH group2（两端的算法要保持一致），配置完成后点击下一步

#配置ipsec,算法组合自定义，安全协议选择ESP，认证算法为MD5，加密算法为DES-CBC，封装模式选择隧道模式，触发模式选择自协商，配置完成后点击确认。

3.3 保存配置

       设备默认会保存配置。

4 验证配置

(1)     用Host A主机ping Host B主机IP地址，可以ping通。

C:\Users\abc>ping 10.1.2.2

Ping 10.1.2.2 (10.1.2.2): 56 data bytes, press CTRL_C to break

56 bytes from 10.1.2.2: icmp_seq=0 ttl=254 time=2.137 ms

56 bytes from 10.1.2.2: icmp_seq=1 ttl=254 time=2.051 ms

56 bytes from 10.1.2.2: icmp_seq=2 ttl=254 time=1.996 ms

56 bytes from 10.1.2.2: icmp_seq=3 ttl=254 time=1.963 ms

56 bytes from 10.1.2.2: icmp_seq=4 ttl=254 time=1.991 ms

--- Ping statistics for 10.1.2.2 ---

5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss

round-trip min/avg/max/std-dev = 1.963/2.028/2.137/0.062 ms

C:\Users\abc>

(2)     完成上述配置后，在设备Web管理界面选择“虚拟专网(VPN) > IPsec VPN”，单击“监控信息”页签，进入监控信息页面，可以看到建立成功的IPsec隧道信息，状态列显示为UP，说明配置验证成功。