![×××站点的路由(隧道、接口)模式和策略模式_SSG](https://s2.51cto.com/attachment/201110/102706640.png?x-oss-process=image/resize,m_fixed,w_1184)
×××站点的路由(隧道、接口)模式和策略模式
原创
©著作权归作者所有:来自51CTO博客作者shen_xu的原创作品,请联系作者获取转载授权,否则将追究法律责任
常接触思科设备的都知道,目前使用IPsec协议建立的×××站点都是无法使用路由的,要么采用GRE技术,GRE over IPsec可以实现路由,不过那样配置复杂不说,由于2次封装,每个数据包的有效载荷小了很多,效率性就不好了。也只能说目前,看ASA的进化方向,没准不知道什么时候就导入了。
而且目前采用策略模式的是大部分厂家的设备,cisco就不必说了,比如微软的ISA、SonicWall、D-link等;我目前发现支持路由模式的就只有两家,juniper的SSG和fortigate,要说起这两个产品其实从根上说是一家,就是原来的netscreen,后来理念不同,分家的。在fortigate里是叫接口模式,也的确是用的接口路由的。
我以netscreen的5gt,5.4.0r11.0版本为例说明一下,即便是目前的SSG的6.4版,从配置方法上说也差不多,最多是选择项目多了,位置稍微发生了些变化。
先说一下图形界面
打开左侧的×××s》AutoKey Advanced》Gateway点击new按钮。
出现以下画面
![×××站点的路由(隧道、接口)模式和策略模式_SSG](https://s2.51cto.com/attachment/201110/102706640.png?x-oss-process=image/resize,m_fixed,w_1184)
Gateway Name只是为了好记忆和分辨,可以根据自己情况设定,没要求。
Security Level选Standard,这是netscreen的标准配置,是设置ike协商阶段的加密方式的。如果对端也是netscreen活着ssg选standard最方便,不过如果有特殊加密要求,可以自行选择更搞级别的。
Remote Gateway Type选固定IP,Static IP Address,后面的栏目填上对方的公网IP地址。
Preshared Key是共享密钥,这个双方必须完全一致。
Local ID有其它用处,以后在其它案例会使用到,这里就不填了。
Outgoing Interface这个必须选择接续外网的接口,这就是绑定接口,这才asa里面体现不出来。一定要仔细选择,错了就接不通了,因为它的默认配置往往是不对的。
然后点击Advanced高级,确认一下。
Mode选Main,在固定IP配置中,基本上都选用主模式,安全性比Aggressive好。
Enable NAT-Traversal是用来配置NAT穿越的,双方都是公网地址就不必选。
Peer Status Detection是用来检测对方的死活的,我们这里不选,在后面的地方进行更高级别的监视。
Preferred Certificate是启用数字证书进行ike协商的,我们不用这个方法,主要是配置起来很麻烦。
Use Distinguished Name for Peer ID也不必配了,太麻烦。
这是ike的第一阶段配置完成。
这部分其实和其它厂家的大体类似,但下面路由模式的关键就体现出来了。
有一个zone的概念,就是一个安全区域,下面我们做一个×××专用的zone,其实不用zone也是可以的,不过有些复杂的安全运用都需要牵扯的zone,所以做了更好。
Network > Zones点击new
Zone Name就写×××吧,容易记忆
Virtual Router Name选信任虚拟路由器trust-vr,如果选不信任虚拟路由器那做起来就复杂很多。
Block Intra-Zone Traffic当然不选,你想想都是跑的私有IP,怎么能选
If TCP non SYN, send RESET back和TCP/IP Reassembly for ALG斗不选,安全级别太高,你以后用起来就麻烦无穷。
Asymmetric ×××选上,如果有多个隧道,并有冗余的时候,这个选上就很重要了。
然后打开Network > Interfaces 点击new
Tunnel Interface Name没特别要求,记住你选的1还是2或者3。
Zone当然就选刚才做的×××的Zone了
下面是2选一,这里也有不同的用法,我们这里选Unnumbered,并且挂在内网接口上。这也是有讲究的,和其它用法有关。
其它的就默认吧。
记住刚才做好的tunnel是几号,进入IPsec的第二阶段。
打开×××s > AutoKey IKE点击new
××× Name也是自己决定,方便自己记忆就好
Security Level也选Standard吧
Remote Gateway选我们刚才做的,什么没记住,去×××s > AutoKey Advanced > Gateway查
点击下面的高级Advanced
其它都默认,不默认的有几处
Bind to选Tunnel Interface,就是我们刚才做的tunnel几号,忘了,去看大夫吧。
××× Monitor要选上,这就是前面不让选的Peer Status Detection的原因,这里直接监视第二阶段的情况,而且直接反应到接口上,成为×××的隧道冗余设计成为可能,看看还有很多复杂的运用呢。
好了,×××部分是完了,都说路由模式,下面就是路由了。
打开Network > Routing > Routing Entries点击new
IP Address/Netmask是对方的地址范围
Next Hop选Gateway
Interface选刚才做的tunnel几号,其它默认就可以了。
这样就结束了?那安全策略没有怎么能通呢?
打开Policies选择From是本地Trust,To是×××后点击new,这里体现了Zone的运用。
Source Address是本地地址,Destination Address是对方地址,选any和any可以吗?可以,这和思科设备可不一样了,因为这里不是策略模式的×××,第二阶段加密绑定策略,我们这里是分离的,所以不影响,当然测试的时候可以,实际运用还是要配置的。那么如果第二阶段加密要绑定双方的IP地址范围的话,在什么地方?×××s > AutoKey IKE > Edit的Proxy-ID就是,如果和思科的机器对接这里可是关键哦。这可是策略模式的根本特征哦,今天主要说的是路由模式,策略模式案例多了,这里只是说明一下区别所在。好了,搞了这么多,终于说完了。
上一篇:ASA的×××站点内NAT变换
下一篇:GHOST镜像导入VHD的虚拟机
![](https://ucenter.51cto.com/images/noavatar_middle.gif)
提问和评论都可以,用心的回复会被更多人看到
评论
发布评论
相关文章
-
设计模式-策略模式
设计模式之策略模式
策略模式 设计模式 -
行为设计模式-策略模式的优缺点
优点-各自使用封装的算法,可以容易地引入新的算法来满足相同的接口-算法的细节完全封装在 Strategy 类中,因此可以在不影响 Context 类的情况下更改算法的实现-由于实现的是同一个接口,所以策略之间可以自由切换缺点:-客户端必须知道所有的策略,了解它们之间的区别,以便选择恰当的算法
设计模式 行为设计模式-策略模式 C++类与对象 C++继承与多态 C++析构函数 -
模板模式和策略模式
模板模式和策略模式的应用情景类似,但实现方式不同,前者使用继承,后者
面向对象 继承 策略模式 模板模式 -
Android 策略模式 接口的调用
文章目录1、策略模式介绍2、使用场景1、策略模式介绍1)实现某一功能可能会有不同的算法,不同的策略。我们根据不
策略模式 System ubuntu -
java 状态模式和策略模式 java策略模式
策略模式属于对象的行为模式。其用意是针对一组算法,将每一个算法封装到具有共同接口的独立的类中,从而使得它们可以相互替换。策略模式使得算法可以在不影响到客户端的情况下发生变化。
java 状态模式和策略模式 java策略模式 简书 策略模式 客户端 封装 -
接口(策略设计模式)
接口(策略设计模式)总结接口的知识点(菜鸟一只,有侵权或者不足之处请指出,谢谢) Java接口 接口是一系列方法的声明,是一些方法特征的集合,一个接口只有方法的特征没有方法的实现,因此这些方法可以在不同的地方...
策略模式 策略设计模式 lambda表达式 抽象方法 ide