拓扑图如下：
建立IPSEC隧道，使江苏访问深圳
配置如下：
Client客户端配置
server服务器
AR1配置
AR1配置
[AR1]interface GigabitEthernet 0/0/0 //进入接口
[AR1-GigabitEthernet0/0/0]ip address 10.10.10.254 24 //配置IP地址
[AR1]interface GigabitEthernet 0/0/1 //进入接口
[AR1-GigabitEthernet0/0/1]ip address 10.10.20.254 24 //配置IP地址江苏FW配置
江苏FW配置
首先初始化防火墙第一次登陆需要重置密码
默认用户名:admin
默认密码：Admin@123
[USG6000V1]sysname JS FW //修改名称
[JS FW]interface GigabitEthernet 1/0/0 //进入接口
[JS FW-GigabitEthernet1/0/0]ip address 192.168.80.254 24 //配置IP地址
[JS FW-GigabitEthernet1/0/0]service-manage all permit //开启服务
[JS FW]interface GigabitEthernet 1/0/1 //进入接口
[JS FW-GigabitEthernet1/0/1]ip address 10.10.10.1 24 //配置IP地址
[JS FW-GigabitEthernet1/0/1]service-manage ping permit //开启ping服务
[JS FW]firewall zone trust //进入安全区域
[JS FW-zone-trust]add interface GigabitEthernet 1/0/0 //将接口加入到安全区域
[JS FW]firewall zone untrust //进入非安全区域
[JS FW-zone-untrust]add interface GigabitEthernet 1/0/1 //将外网接口加入到非安全区域
设置策略
[JS FW]security-policy //进入安全策略配置
[JS FW-policy-security]default action permit //默认全部打开
[JS FW]ip route-static 0.0.0.0 0.0.0.0 10.10.10.254 //配置静态路由
配置深圳FW
深圳FW配置
首先初始化防火墙第一次登陆需要重置密码
默认用户名:admin
默认密码：Admin@123
[USG6000V1]sysname SZ FW //修改名称
[SZ FW]interface GigabitEthernet 1/0/0 //进入接口
[SZ FW-GigabitEthernet1/0/0]ip address 10.10.20.1 24 //配置IP地址
[SZ FW-GigabitEthernet1/0/0]service-manage all permit //开启全部服务
[SZ FW]interface GigabitEthernet 1/0/1 //进入接口
[SZ FW-GigabitEthernet1/0/1]ip address 192.168.70.254 24 //配置IP地址
[SZ FW-GigabitEthernet1/0/1]service-manage ping permit //开启ping服务
[SZ FW]firewall zone trust //进入安全区域
[SZ FW-zone-trust]add interface GigabitEthernet 1/0/1 //将接口加入到安全区域
[SZ FW]firewall zone untrust //进入非安全区域
[SZ FW-zone-untrust]add interface GigabitEthernet 1/0/0 //将外网接口加入到非安全区域
设置策略
[SZ FW]security-policy //进入安全策略配置
[SZ FW-policy-security]default action permit //默认全部打开
[SZ FW]ip route-static 0.0.0.0 0.0.0.0 10.10.20.254 //配置静态路由
配置IPSES
JS FW配置
[JS FW]acl number 3000 //定义访问控制列表
定义策略那些流量走IPSES过
[JS FW-acl-adv-3000]rule permit ip source 192.168.80.0 0.0.0.255 destination 192.168.70.0 0.0.0.255 //定义源地址192.168.80.0，目标地址192.168.70.0
[JS FW]ipsec proposal JS
[JS FW-ipsec-proposal-JS]encapsulation-mode tunnel //定义隧道模式
[JS FW-ipsec-proposal-JS]transform esp //采用ESP协议
[JS FW-ipsec-proposal-JS]esp authentication-algorithm sha1 //认证方式为SHA1
[JS FW-ipsec-proposal-JS]esp encryption-algorithm aes-128 //加密算法为AES-128
IPSEC安全策略配置
[JS FW]ipsec policy J1 10 manual //设置模式为手动模式
[JS FW-ipsec-policy-manual-J1-10]security acl 3000 //调用访问策略
[JS FW-ipsec-policy-manual-J1-10]proposal JS //调用安全提议
[JS FW-ipsec-policy-manual-J1-10]tunnel local 10.10.10.1 //隧道源地址
[JS FW-ipsec-policy-manual-J1-10]tunnel remote 10.10.20.1 //隧道目的地址
[JS FW-ipsec-policy-manual-J1-10]sa spi inbound esp 123123 //SPI入方向
[JS FW-ipsec-policy-manual-J1-10]sa string-key inbound esp Start123! //手动设置入方向密钥
[JS FW-ipsec-policy-manual-J1-10]sa spi outbound esp 321321 //SPI出方向
[JS FW-ipsec-policy-manual-J1-10]sa string-key outbound esp Start321! //手动设置出方向密钥
接口应用IPSEC策略
[JS FW]interface GigabitEthernet 1/0/1 //进入接口
[JS FW-GigabitEthernet1/0/1]ipsec policy J1 //接口调用
[JS FW]ip route-static 192.168.70.0 24 10.10.10.254 //配置静态路由
SZ FW配置
SZ FW配置
[SZ FW]acl number 3000 //定义访问控制列表
定义策略那些流量走IPSES过
[SZ FW-acl-adv-3000]rule permit ip source 192.168.70.0 0.0.0.255 destination 192.168.80.0 0.0.0.255 //定义源地址192.168.80.0，目标地址192.168.70.0
[SZ FW]ipsec proposal SZ
[SZ FW-ipsec-proposal-SZ]encapsulation-mode tunnel //定义隧道模式
[SZ FW-ipsec-proposal-SZ]transform esp //采用ESP协议
[SZ FW-ipsec-proposal-SZ]esp authentication-algorithm sha1 //认证方式为SHA1
[SZ FW-ipsec-proposal-SZ]esp encryption-algorithm aes-128 //加密算法为AES-128
IPSEC安全策略配置
[SZ FW]ipsec policy J1 10 manual //设置模式为手动模式
[SZ FW-ipsec-policy-manual-J1-10]security acl 3000 //调用访问策略
[SZ FW-ipsec-policy-manual-J1-10]proposal SZ //调用安全提议
[SZ FW-ipsec-policy-manual-J1-10]tunnel local 10.10.20.1 //隧道源地址
[SZ FW-ipsec-policy-manual-J1-10]tunnel remote 10.10.10.1 //隧道目的地址
[SZ FW-ipsec-policy-manual-J1-10]sa spi inbound esp 321321 //SPI入方向
[SZ FW-ipsec-policy-manual-J1-10]sa string-key inbound esp Start321! //手动设置入方向密钥
[SZ FW-ipsec-policy-manual-J1-10]sa spi outbound esp 123123 //SPI出方向
[SZ FW-ipsec-policy-manual-J1-10]sa string-key outbound esp Start123! //手动设置出方向密钥
接口应用IPSEC策略
[SZ FW]interface GigabitEthernet 1/0/0 //进入接口
[SZ FW-GigabitEthernet1/0/0]ipsec policy J1 //接口调用
[SZ FW]ip route-static 192.168.80.0 24 10.10.20.254 //配置静态路由
测试：客户端去访问服务器可以看到正常
抓包：
这里可以看到这里显示的是公网地址，并且协议使ESP
上面就是IPSEC隧道配置
