Juniper-SSG-策略模式的IPSEC-VPN之配置終結篇

Juniper-SSG，Site to Stie的ipsec-vpn在國內應用是非常廣的，畢竟在07-10年算是國內防火牆中比較出彩又討網工喜歡的系列。所以今天再次重新梳理一次IPSEC-VPN的web配置方法，溫故而知新，可以為師矣。

為什麼標題寫的是，策略模式的VPN。對，ipsec-vpn也分路由模式和策略模式。

倆者有哪些不同的地方呢？其實這個和TCP/IP的理論掛鉤了

倆者ipsec-vpn的實現原理過程解釋：

①基於策略的IPsec VPN：通過防火牆策略將資料丟進VPN隧道

②基於路由的IPsec VPN: 在防火牆上建立虛擬介面tunnel介面，設定到對端的資料丟進這個tunne介面中，再有IPsec VPN進行加密

倆者ipsec-vpn的區別：

①基於策略的IPsce VPN可以再閘道器部署和透明部署的防火牆上建立，基於策略的IPsecvpn建立後，在VPN隧道中僅能傳輸單播資料；

②基於介面的IPsec VPN只能在閘道器模式下施工部署，不可以在透明模式下部署，相對於策略模式IPsec vpn優點在於：基於路由IPsecvpn可在VPN隧道中傳組播應用，拿資歷老大的思科來講，上海和深圳跑了GRE，但在這條隧道上跑的資料均是明文傳輸，無法得到加密。咋破了，比如：GRE over Ipsec VPN。

還有很多不同的地方，我這裡就不一一列舉了，偶爾，複習和回顧往往是最好的學習方法。前面的文章說過很多ipsec-vpn是幹嘛的了，所以今天不再聊理論、應用場景和情懷了。直接上配置！！！

Stie to Stie的配置前提：倆端均是固定IP地址

第一步：Web-UI管理介面中配置VPNS→AutoKey Advanced→Gateway→New

第二步：定義VPN閘道器名稱、定義“對端VPN裝置公網IP”為本地VPN裝置的閘道器地址，如下圖所示：（IKE版本可選）

第三步：在VPN Gateway的高階（Advanced）部分，定義預共享金鑰、定義相關的VPN隧道協商加密演算法、選擇VPN的發起模式，DPD檢測最好勾選，模式選擇主模式 ，outgoing interface 選擇公網出介面，如下圖所示：

註釋：

PreshareKey：倆邊金鑰一定要一致

Outgoinginterface：選擇公網出介面

Securitylevel：任意指定對應演算法引數，保證倆端一致即可

第四步：接著配置VPN的AutoKey IKE：VPNS→AutoKey IKE→New，如下圖

第五步：設定VPN name、Remote Gateway，如下圖所示

註釋：

VPN Name：qujun-IKE-2

Remote Gateway: 選擇前面設定的vpn閘道器名稱，Predefined→qujun-testing

第六步：在AutoKey IKE的高階（Advanced）部分定義了VPN的加密演算法（Security Level）

SencurityLevel:User Defined→Custom→Phase 2 Proposal→可以根據個人需要選擇自定義（兩端裝置保持一致即可）如下圖所示：

PS：記住勾選VPN-monitor

第七步：可選【如果同款型號或者同產商，這裡無需新增proxyID】若跨產商，這裡就填寫，比如和前面介紹的hillstone對接時候。就需要此項的額外配置，否則隧道無法正常建立起來。

PS:注意本地和對端的zone選擇。

另：

Hillstone側代理ID在哪裡配置？

第八步：建立VPN Policy，trust-untrust、untrust-trust雙向策略新建對應興趣流量，如下圖所示

確認後輸出如下：

Trust-Untrust

Untrust-trust

第九步：建立發起IPsec VPN連線及檢視狀態，IPsecVPN的一端已經設定好了，再在對端做相同的設定即可。比較“傻瓜”式的配置，不過相當考驗一個人的認真和細緻。我身邊的小兄弟一直比較粗心“要麼演算法1看成了2、要麼代理ID沒配對、要麼策略掩碼敲錯等等”。總之細心檢查配置

第十步：VPN的建立需要有資料通訊才會建立（這是SSG系列中比較不先進的機制，現在很多產商都優化過了，比如自動觸發，長連線模式等等），如果兩邊都是固定IP，任意一端ping一下對端的內網閘道器，如果一端是動態IP的話就必須從動態IP端發起連線才能順利建立IPsec VPN的連線。

第十一步：在 VPNs > Monitor Status 介面下可以看到VPN的狀態，如下圖展示：

到這裡，配置過程就全部結束了，說個題外話，目前仍然有很大一部分客戶、企業。不論是總部還是分支都使用SSG做IPSEC。可以看到目前很多網工都不是很喜歡一些國產產商把配置做的複雜等等。比如華三和華為，安全域多了個local。不放行根本沒法玩。所以不斷學習和提升自己的技術能力，往往決定了一個技術員到底有多大技術實力的根本。

本文出自 “Allen在路上-從零到壹” 部落格，轉載請與作者聯絡！