“Ipsecvpn”的版本间的差异

来自WFilter上网行为管理系统文档和指南
跳转至: 导航搜索
IPSec隧道配置
第27行: 第27行:
 
'''请注意''':
 
'''请注意''':
 
* IPSec建立的VPN隧道访问权限一样被“防火墙”中的策略控制,假设您要禁止VPN隧道的用户访问内网的某个主机,可以在“防火墙”中添加策略,禁止“WAN”口访问指定的内网IP。
 
* IPSec建立的VPN隧道访问权限一样被“防火墙”中的策略控制,假设您要禁止VPN隧道的用户访问内网的某个主机,可以在“防火墙”中添加策略,禁止“WAN”口访问指定的内网IP。
* 如果启用了DMZ或者“静态NAT”,需要把ipsec的端口500和4500加到例外的端口中去。
+
* 如果启用了DMZ或者“静态NAT”,需要把ipsec的端口“500,4500”加到例外的端口中去。否则无法建立连接。
  
 
== 查看隧道状态 ==
 
== 查看隧道状态 ==

2016年8月17日 (三) 16:14的版本

1 IPSec隧道

IPSec VPN即指采用IPSec协议来实现远程接入的一种VPN技术,IPSec全称为Internet Protocol Security,是由Internet Engineering Task Force (IETF) 定义的安全标准框架,用以提供公用和专用网络的端对端加密和验证服务。

该模块用于在多个WFilter ROS之间建立IPSec VPN通道,使多个局域网变成一个VPN(虚拟局域网)。WFilter ROS的IPSec隧道没有数量限制,只要硬件许可,理论上可以建立无数个IPSec隧道。

2 IPSec隧道配置

在建立IPSec隧道前,要先进行规划。只有固定公网IP的网络才允许拨入IPSec。举例如下:

  • 假设你有3个局域网A、B、C。
  • A有固定公网IP,B、C都是动态IP。

那么建议的方案是:

  • 先在A创建IPSec隧道,把“远程IP”设置为“不限制”。
  • B、C分别创建隧道,把“远程IP”设置为A的公网IP。
  • 这样AB、AC之间的VPN隧道就建立起来了,但是B、C之间不能互联。如需实现B和C的互联,B、C至少有一个必须是固定公网IP。

具体配置如下:

  • 接口:配置隧道的WAN口线路。
  • 本地网络:参与VPN互联的本地局域网网段。
  • 远程IP:对方局域网的固定公网IP,或者设置为“不限制”让对方局域网拨入。
  • 共享密钥:隧道的共享密码,隧道两侧的密码必须一致。
  • IKE、ESP:验证、传输的加密方式,隧道两侧的加密方式必须一致。

Faq ipsec001.png

请注意

  • IPSec建立的VPN隧道访问权限一样被“防火墙”中的策略控制,假设您要禁止VPN隧道的用户访问内网的某个主机,可以在“防火墙”中添加策略,禁止“WAN”口访问指定的内网IP。
  • 如果启用了DMZ或者“静态NAT”,需要把ipsec的端口“500,4500”加到例外的端口中去。否则无法建立连接。

3 查看隧道状态

把鼠标移到“状态”的图标上即可查看隧道状态。如图:

Faq ipsec002.png

4 常见问题