天融信VPN.docxVIP

配置天融信VPN 一． 初始登录 二． 天融信VPN用户和子接口升级 三． 创建子接口逻辑属性并与相应子接口绑定 四． 物理接口配置 五． 子接口划分及IP配置 六． 安全区域划分及默认权限的配置 七． 针对安全区域开放相应管理服务 八． DHCP地址池的划分 九． 创建用户角色 十． 创建VRC用户管理并添加到相应角色 十一． 策略路由的配置 十二． VRC配置 十三． 0SPF配置定义 1初始登录 一． 初始登录VPN安全网关在浏览器地址栏内键入管理地址，如下图所示： 二． 管理地址形如：54:8080 三． 默认用户名：superman 四． 默认口令：talent 五． 本地链接IP配置IP： 掩码 网关指向54。 六． 用网线链接到天融信VPN Eth0口 ,0口也是它的管理口。 七． 用户名口令更改后一定要劳记，天融信安全设备遗失用户名口令需要返厂清除。 2天融信VPN用户和子接口升级 一． 给用户升级，IPsec-VPN和SSL-VPN用户要升级。默认是IPsec和 SSL各5个用户。州上设备升级完是IPsec和SSL都是1000个用户。县上的是500用户。 二． 升级一定要看好产品的序列号。如：序列号 K1107080136 这个就是产品序列号。 三． 把设备序列号和vpn升级用户包里的序列号一一对应，在Web里找到→系统管理→维护→系统升级→网页升级。 四． 浏览到VPN升级包现在有设备序列号升级就好了，IPsec和SSL都要升级。 五． 原有子接口是31个子接口，现在要升级到255个子接口。升级方法也是在网页升级。 3创建子接口逻辑属性并与相应子接口绑定 一．天融信VPN安全网关子接口创建完毕后，尚不能正常启用。主要表现为VPN可以PING通对端数通设备的相应子拉口，但对端设备却无法正常PING通VPN相应的子接口。这是因为相应区域的子接口没有开通权限造成的。 需要在CLI下为相应子接口添加属性，并将所添加的属性与子接口做一对一的绑定即可。如下脚本所示： 1、 统一创建子接口属性 network attribute add name vpn-subif-attribute 2、 属性与子接口的绑定如一下 network interface veth2.000 attribute add vpn-subif-attribute network interface veth2.001 attribute add vpn-subif-attribute network interface veth2.002 attribute add vpn-subif-attribute 这里说明建立多少个子接口就要把属性与子接口绑定一起。这里只写了三个子接口的。 二．telnet到天融信VPN就可以编写了。下面是介绍图。 4物理接口配置 一． 由于采用路由模式部署防火墙，故在本次项目测试过程中我们需要为VPN安全网关的相应物理接口配置IP地址。Eth1外网口IP 37 /30 直连 R4 IP 36/30 ，Eth3 DMZ口 IP 43 /30 直连 SW2 IP 42/30.Eth2是内网口。启的子接口链接的是R2-PE3。 二． 每个地方IP地址不一样，这里是喀什的IP地址配置只供参考. 详细当地看IP地址规划总表。 三． IP地址的配置界面及入口如下图所示： 5子接口划分及IP配置 一． 天融信VPN安全网关采用子接口的形式与锐捷设备的形成对接。用链接内网 IP 0/30 直连的 R2 IP 62/30在此端口划分子接口做 喀什地区建立用户如：安全生产监督管理局 IP 6/30 , 审计厅 IP 6/30 煤矿安全监察局 IP 4 等。分配其他地州的详情IP规划-公网IP-PE-VCE子接口互连。 二． 注意事项:子接口的VLAN-ID号就是OSPF进程号，锐捷R2也要起。如：101.102 等，详细看VRF规划OSPF进程号。 三． 具体配置如下 6安全区域划分及默认权限的配置 注意事项：内网区域不用选Eth2口，在添加区域的时候选VPN-subif-attibute 就可以了。 7针对安全区域开放相应管理服务 一． 管理服务是VPN安全网关对外提供的服务，除了设备自身管理所需要的基本服务如：WEBUI、TELNET、PING 、SSLVPNMGR、SNMP等之外，还有设备对于VRC远程接入所提供的服务如：IPSECVPN、SSLVPN。过程各针对内外网区域和外网区域我们开通的服务需要用户要求如下图所示： 8 DHCP地址池的划分 一． 哈密项目实施计划——地州的每一个部委对应一个VPN地址池，此处做了三个地州级单位地址池，分别喀什地州的“安全生产监督管理局”、“审计厅”、“煤矿安全监察局”具体配置如下图