SANGFOR IPSEC第三方对接主模式和友旺互联配置文档

SANGFOR IPSEC 2011年度渠道初级认证培训03_DLAN互联基础配置20110623_xuzeng

2、配置思路分析
（1）分局较好部署，直接调换原有路由器代理分局用户上网并不市局建立IPSec VPN隧道。（2）市局部署较复杂，我们根据需求将其逐个分解。 ①保证VPN设备本身既能提供分局设备接入，又能不市局服务器通信，故将设备以_____模式部署在_________________的位置。 ②根据上一步判断，配置设备的网络接口信息，要保证分支设备能接入总部设备，需在总部的______设备上做________________；其次，要保证设备以及分支能访问到总部服务器，需要在总部VPN设备上添加_____________和_____________。 ③经过上面两步配置，分支的数据可以到达总部的服务器，但是总部的服务器能正常相应分支的数据请求，还需在总部的___________设备上添加_____________________________________。 ④以上系统配置完成后，按照DLAN基础配置方法分别设置总部、分支相关选项。
3、操作演练
根据配置思路的分析以及前面提到的DLAN互联所需配置项，完成本实验实际所需的操作。
4、配置参考-部署拓扑图
（1）市局VPN网关设备系统配置
（2）市局网络调整改动
以下两个改劢需要客户协劣：
①原有办公网防火墙将192.168.1.252的 TCP/UDP4009映射至互联网：202.103.24.88； ②原有政务网上三层交换机添加静态路由:
单击“确定”保存配置信息
2、单臂模式
*此时将VPN设备当内网一台服务器看待（1）网络接口配置（2）本地子网设置（同网关模式下配置）（3）前置网关设备为VPN设备的VPN监听端口设置端口映射（当设备作为总部时需设置）
（4）前置网关设备戒内网三层交换机/路由器添加到对端 VPN网络/虚拟IP池（不VPN设备内网口非同网段时）的回包路由指向VPN设备LAN口IP

深信服ipsecVPN使用手册

深信服ipｓec-VＰN使用手册————————————————————————————————作者：————————————————————————————————日期:SＳL５.5用户手册2０12年３月ﻬ目录ＳSL 5.5用户手册............................................................................................ 错误!未定义书签。

声明ﻩ错误!未定义书签。

第1章控制台的使用ﻩ错误!未定义书签。

1．1.登录WebUI配置界面...................................................... 错误!未定义书签。

1.2.运行状态ﻩ错误!未定义书签。

第2章系统设置 ............................................................................................. 错误!未定义书签。

第３章IPSEＣ-VPN信息设置....................................................................... 错误!未定义书签。

３.1. 运行状态ﻩ错误!未定义书签。

3.2．RＩP设置ﻩ错误!未定义书签。

3.３．VPN接口.......................................................................... 错误!未定义书签。

3.４. LＤAＰ设置ﻩ错误!未定义书签。

3．5．Radｉｕs设置ﻩ错误!未定义书签。

3.６. 生成证书.............................................................................. 错误!未定义书签。

IPSEC DLAN VPN各版本互联

IPSEC DLAN VPN各版本互联
目录：
1：SANGFOR IPSEC硬件版本
2：SANGFOR IPSEC移动端软件版本
3：硬件——硬件互联版本要求
4：软件——硬件互联版本要求
5：软件pdlan下载路径
正文：
1：SANGFOR IPSEC硬件版本
版本路线图：2.4—2.5—2.51—2.52—4.0—4.1x—4.3
可将以上版本合并为：2.4（单线路/多线路）—2.5x（单多合一）—4.x(支持第三方对接)
2：SANGFOR IPSEC软件版本
Pdlan版本路线图：2.1集团专业版（2.5x）—4.0—4.1x—4.3
可将以上版本合并为：2.1集团专业版（2.5x）—4.x
3：硬件—硬件互联版本要求
注：当高版本和低版本互联时，VPN能实现功能与低版本设备保持一致，也就是高版本新增的功能将无效。

4：软件—硬件互联版本要求
5：软件pdlan下载路径
2.4(m)由于版本较老，基本已无人使用，故不列举
2.1集团专业版（2.52）：
For XP：/download/product/dlan/PDLAN.v2.52.exe
For VISTA：/download/product/dlan/PDLAN.v2.52_Vista.exe
4.x：
版本较多，不一一列举，可在sangfor官网上查找：
/support/Software_Download/IPSec_VPN.html
一般建议使用同时兼容XP、VISTA、WIN7的pdlan4.32for win7版本：
/download/product/dlan/Dlan4.32_PDLAN_Setup.exe。

SANGFOR_IPSEC_ALL_通过第三方对接实现隧道间路由的方法

客户需求：
C是总部，A跟B是分支，B和C用了sangfor AF，A跟C建立了第三方IPSEC VPN，B 跟C建立了第三方IPSEC VPN，A跟B没有建立VPN，现在需要实现A通过C访问B
解决方法：
说明：隧道间路由本身是没有隧道间路由的，但是可以通过配置来解决该问题，如上图的配置方法如下
A端的配置：
出站策略配置为：A网段，192.168.1.0
入站策略配置为：BC网段，192.168.2.0192.168.3.0
B端的配置：
出站策略配置为：B网段，192.168.3.0
入站策略配置为：AC网段，192.168.1.0192.168.2.0
C端的配置：
出站策略配置为：BC网段，192.168.2.0192.168.3.0-------->A
AC网段，192.168.1.0192.168.2.0-------->B
入站策略配置为：A网段，192.168.1.0------->A
B网段，192.168.3.0-------->B
数据分析：A访问B的时候，先匹配到出入栈策略丢给C，然后C匹配到出入站策略丢给B。

IPSEC第三方对接野蛮模式易尚和SANGFOR互联

IPSEC第三方对接野蛮模式易尚和SANGFOR互联环境说明：深信服设备和易尚设备都是路由部署，直接接公网，易尚内网有172.16.8.0/24网段，公网IP为：113.105.x.x，深信服设备内网有192.168.0.0/24网段，公网IP为：183.62.x.x易尚设备配置1．设置第一阶段参数，配置如图，点击【虚拟专网】-【IPSEC】，进入VPN设置，【模式】：野蛮模式【认证方式】：预共享密钥【预共享密钥】：123456【对等体选项】：接受此对等体ID jysoft【DH组】：2【密钥周期】：3600【本地ID】:jysoft2、设置第二阶段参数，选择【阶段2】，如下图进行设置：【阶段2交互方案】：加密算法3DES,认证算法MD5【密钥周期】36003、步骤1：设置【防火墙】-【地址】，添加Sangfor内网网段地址：192.168.0.0/255.255.255.0步骤2：设置【防火墙】-【策略】，新建一条策略，放通vpn隧道进出数据，【源】-【地址名】:Internal-All【目的】-【地址名】：深信服地址【模式】：ENCRYPT深信服配置界面1、第一阶段设置，步骤1：根据易尚的设置，设置深信服配置【第三方对接】-【设备列表】，【固定IP】：易尚公网的ip：113.105.x.x【预共享密钥】：123456【ISAKMP】：3600【D-H群】：MODP1024群（2）【身份类型】：域名字符串(FQDN)【我方身份ID】jysoft【对方身份ID】jysoft1【ISAKMP算法列表】-【认证算法】：SHA-1,【加密算法】：3DES步骤二：【安全选项】，新建一条安全选项或用默认安全选项,【认证算法】：MD5,【加密算法】：3DES2、第二阶段，设置出站策略和入站策略，出站策略如图：【源IP类型】：子网+掩码，子网掩码是深信服LAN口对接的内网段【安全选项】：阶段一步骤二的设置，跟易尚防火墙第二阶段设置一致。

SANGFOR_IPSec_v5.X_Quick_CN_20150108_DOC

IPSEC5.X快速配置手册2015年1月目录声明 (3)前言 (3)手册内容 (3)本书约定 (4)图形界面格式约定 (4)设备型号说明 (4)各类标志 (4)技术支持 (5)致谢 (5)第1章SANGFOR VPN的安装 (6)1.1环境要求 (6)1.2电源 (6)1.3产品外观 (6)1.4配置与管理 (8)1.5设备接线方式 (8)第2章控制台的使用 (9)2.1登录WebUI配置界面 (9)第3章案例集 (11)3.1.路由模式部署案例 (11)3.2.单臂模式部署案例 (15)3.3.SANGFOR VPN互连案例 (18)配置思路： (19)总部VPN配置步骤 (20)分支VPN配置步骤 (21)3.4.与CISCO PIX标准IPSEC VPN互连案例 (23)3.5.移动PDLAN用户接入VPN案例 (31)第4章密码安全风险提示 (36)4.1修改控制台登录密码 (36)声明Copyright©2015深圳市深信服电子科技有限公司及其许可者版权所有，保留一切权利。

未经本公司书面许可，任何单位和个人不得擅自摘抄、复制本书内容的部分或全部，并不得以任何形式传播。

SANGFOR为深圳市深信服电子科技有限公司的商标。

对于本手册出现的其他公司的商标、产品标识和商品名称，由各自权利人拥有。

除非另有约定，本手册仅作为使用指导，本手册中的所有陈述、信息和建议不构成任何明示或暗示的担保。

本手册内容如发生更改，恕不另行通知。

如需要获取最新手册，请联系深信服电子科技有限公司客户服务部。

前言手册内容第1部分SANGFOR IPSEC VPN设备的安装。

该部分以VPN1110为例，主要介绍VPN设备的外观特点及功能特性，以及连接前的准备和注意事项。

第2部分IPSEC VPN产品的控制台详细配置以及使用方法。

第3部分案例集。

针对各个常用功能的配置案例。

附录SANGFOR设备升级系统的使用。

本手册以深信服VPN1110型号为例进行配置。

SANGFOR 设备与华三第三方对接野蛮模式连标准IPSEC配文档

SANGFOR 提升带宽价值华为设备与SANGFOR 设备野蛮模式标准IPSEC VPN 互联一、网络环境：华为配置：#ike local-name xhdc //对方身份ID#ike proposal 1//阶段一encryption-algorithm 3des-cbc //加密算法dh group2//DH 组authentication-algorithm md5//认证算法sa duration 3600//生存时间#ike peer ikepeerexchange-mode aggressive //野蛮模式pre-shared-key sangfor //域共享keyid-type nameremote-name sinfor //我方身份IDCremote-address220.167.166.50//总部ip对等体#ipsec proposal ipsec//阶段二esp authentication-algorithm sha1//认证算法注意：默认会有加密算法#ipsec policy11security acl3001//匹配入站出站pfs dh-group2//完美向前保密ike-peer ikepeer//调用peerproposal ipsec//调用ipsec#acl number3001rule0permit ip source10.11.0.00.0.255.255destination10.1.0.00.0.255.255 acl number3002rule0deny ip source10.11.0.00.0.255.255destination10.1.0.00.0.255.255 rule1permit ip source10.11.0.00.0.255.255#interface Ethernet0/0ip address125.72.164.106255.255.255.248nat outbound3002//这条很重要，10.11.0.0/16到10.1.0.0/16不做nat ipsec policy adtpolicy//在外网口启用ipsceSANGFOR设备的配置：密钥：sangfor阶段二出站和acl匹配启用完美向前保密入站和acl匹配。

SANGFOR_IPSec VPN组网方案

IPSec VPN异地互联组网方案上海钧派商贸(科技)有限公司2013 年3月06日目录第1章需求背景 (1)1.1 前言 (1)1.2 企业目前存在问题 (1)第2章深信服解决方案 (2)第3章深信服方案优势 (2)第4章深信服技术优势 (4)4.1 安全的VPN (4)4.2 快速的VPN (5)4.3 稳定可靠的VPN (5)第5章成功客户案例 (6)5.1 深信服VPN举重若轻，新华人寿再添虎翼 (6)5.2 更多客户名单 (8)第6章售后服务体系 (8)6.1 技术支持与服务 (9)6.2 用户培训 (9)第7章深信服VPN在行业的影响力 (10)第1章需求背景1.1前言近年来，VPN技术以其可以利用公共网络资源，建立安全可靠、经济便捷、高速传输通道的特点引起了企业的广泛关注。

随着信息化建设的深入以及各单位网络建设的广泛开展，VPN应用也逐渐显示出它的强大优势。

在各行各业基于VPN的解决方案已得到了成功应用，这不仅为VPN技术应用开辟了全新的行业市场，同时也为企业生产企业的信息化建设提供了一个可参照的样板。

1.2企业目前存在问题目前企业集团总部及其子公司各自局域网虽已基本成型，但由于没有建立安全、可靠的广域网络连接，导致集团总部和各分公司之间的信息和资源无法安全、快速的进行交换，子公司之间也无法实现集团内部多种资源信息的共享，相互之间形成了信息的孤岛。

同时，集团化的销售网络离不开一套健全的信息网络作为其中枢神经，来连接各地驻外的办事处及销售人员。

为此需要建设一个高带宽、低成本、安全可靠、并能根据需要覆盖全国的广域网系统，并着重关注和解决以下问题：1.数据安全性无法保障：在企业信息平台上的应用系统现在大部分都是未经加密等安全处理的，跑在互联网这个不安全而又开放的网络上。

这些不经加密的重要数据如果遭到窃取，带来的损失将无法估量。

2.总部与分公司之间互连：总部与分公司之间现在都是使用普通的互联网进行连接，对于重要的财务系统等涉及到公司核心数据的应用没有发布到公网上，需要实现整个集团的信息、数据、资源的整合，就必须解决总部与分公司之间网络安全互联的问题。

深信服IPSEC渠道高级认证培训03_第三方IPSEC对接常见问题及原因

排错：
1、双方把各自第一阶段的SA生存期和第二阶段的SA生存期改成跟对端完全一致； 2、在第一阶段启用DPD。
为什么要启用DPD？什么是DPD？
DPD:死亡对等体检测（Dead Peer Detection），其实跟SANGFOR VPN的隧道保活包干的是类似的活。当VPN隧道异常的时候，能检测到并重新发起协商，来维持VPN隧道。 DPD主要是为了防止标准IPSEC出现“隧道黑洞”。 DPD只对第一阶段生效，如果第一阶段本身已经超时断开，则不会再发DPD包。 Phase I Phase II
如果不使用PFS，则第二阶段的加密密钥会根据第一阶段的密钥自动生成。使用了PFS，则第二阶段要重新通过DH算法协商一个新的加密密钥，从而提高了数据的安全性。 Phase I Phase II
DH1
DH2 DH5
DH1
DH2 DH5
启用PFS与不启用PFS的区别？
结论： PFS主要是用来加强数据传输的安全性；
第三方对接IPSEC常见问题及原因
培训内容
第三方对接IPSEC常见问题及原因
培训目标
1.了解常见问题
2.掌握一般的排错手段
关于标准IPSEC的一些说明
1、标准IPSEC的版本： IKE V1（1998） IKE V2（2005）
RFC 2407 RFC 2409 RFC 2408 2、标准IPSEC(V1)的连接过程：
不到对端，重启服务之后就可以？
可能情况：对端的VPN连接已经断开而我方还处在SA的有效生存期时间内，从而形成了VPN隧道的黑洞。我方不停的发送加密后的VPN数据过去，但对方拒绝接受。
设备上显示连接还在，但是访问
不到对端，重启服务之后就可以？

深信服与juniper对接IPsecvpn配置指导

一、单个出入站策略配置方法
Ps：此配置方式属于Juniper策略VPN模式，只针对单个出入策略，多个出入策略需要采用路由VPN模式
1、配置第一阶段
选择advaced选项，对第一阶段配置
2、配置第二阶段
引用第一阶段名称
点击advanced选项，对第二阶段算法进行配置
以上保存后，配置出入站策略
3、Fw放通策略
新增Trust 到UnTrust 方向的VPN策略
1、新增Tunnel接口
2、新增出入站IP组
Ps：把出入站策略的网段新增根据Trust 和UnTrust 规则，新增IP组里面
3、配置第一阶段（与策略VPN配置无差异）
选择advaced选项，对第一阶段配置
4、配置第二阶段（有差异）
Proxy Id 引用出入IP组（跟我们出入站策略一样）
5、FW放通规则
检查Trust 和UnTrust区有无any 到any的策略规则放通，如有，无需新增策略如没有，需针对出入站IP组放通对应的策略（无需在引用VPN配置）
Ps：对端有多个内网网段，就需针对这些网段新增路由。

深信服VPN客户端软件安装配置说明

深信服VPN客户端软件安装配置说明VPN客户端软件安装配置说明一、VPN客户端安装双击运行VPN客户端软件光盘上的安装程序开始安装，出现以下安装界面：点击“下一步”，出现“许可证协议”界面：点击“是”，安装程序开始执行安装操作，如下图所示：等待安装过程结束，出现以下安装完成提示界面：客户端的安装VPN点击“完成”，此时，计算机将会自动重新启动，计算机重新启动后即完成。

VPN客户端配置二、 VPN客户端第一步：启动Sinfor VPN计算机桌面上将出现一个启动客户端的快捷图标“客户端安装完成后，VPN ，如下图所示：DLAN-移动控制台”客户端。

也可以从“开VPNDLAN-双击上述桌面上的“Sinfor 移动控制台”图标启动VPN客户端，如下图所示：始”菜单中启动客户端第二步：用向导配置VPN服务器，必须首先配置相应的参数。

客户端要连接到VPNVPN第一次启动客户端时，客户端程序将自动弹出“配置向导”引导用户进行必要的参数配置，如下图所示：在上图界面中选择“手工配置”，并点击“下一步”，出现“配置WebAgent”界面：IP服务器的WebAgent”界面中的“主”下方空格内输入VPN在上述“配置WebAgent ，出现“输入用户名和密码”界面：地址和端口号：，点击“下一步”输入教育局信息中心分配给、密码、确认密码删除，Guest把上述界面中默认的用户名本单位的用户名和密码，点击“下一步”，出现“完成”界面：点击“完成”，软件提示是否要使新的配置生效：，使刚才进行的配置生效。

点击“确定”第三步：配置共享密匙网络采用VPN除了上述配置向导进行的配置以外，为了提高数据传输时的安全性，本客户端软件必须设置正确的加密密钥才能与教育局信了加密密钥对传输的数据进行了加密，VPN连接。

服务器建立息中心的VPN 客户端配置加密密钥的方法如下：，右”的下级菜单“PDLANWebAgent设置”点击客户端软件主窗口左侧树状菜单中“设置界面，如下图所示：侧窗口将出现WebAgent点击上述界面中的“高级”按钮，将出现加密密钥的配置界面：点击“修改”按钮，弹出“更改密钥”对话框：将，如教育局信息中心更改了密钥，(在对话框中输入正确的密钥当前设置的密钥为abc )会把更改过的密钥告知各接入单位，并点击“确定”，弹出是否确定更改密钥的提示框：点击“是”，返回加密密钥的配置界面：点击“确定”返回“WebAgent配置”界面：，弹出是否要让设置生效的对话框：点击“设置生效”。

SANGFOR WANO 互联配置_LXL

2. 加速客户端设备的配置：
1)连接中心端网关设置加速客户端设备接入总部的账号，密码，以及加速传输协议等
SANGFOR WANO加速互联配置
1. 加速服务端设备的配置: 1.1 添加加速策略
填入策略名称
点击空白处勾选设置的IP组
选择需要加速的应用类型添加需要加速的服务器的IP地址选择与加速应用对应的代理方式点击“确定”，保存策略
设置用户类型
关联策略组
加速互联典型应用案例及配置
2. 加速客户端设备的配置： 1）配置连接中心端网关：
填入接入总部加速设备的账号和密码填入总部加速设备的IP地址填入总部加速设备监听端口
加速互联典型应用案例及配置
查看加速连接状态和加速效果：
通过此页面可查看每个应用的加速效果只有两个设备建立好加速连接后，应用访问才能被加速，可通过此页面查看加速连接是否已经建立完成和加速功能是否已经开启。
加速互联典型应用案例及配置
配置思路：
1. 部署设置（设置两台加速设备的工作模式为只启用加速和网桥模式，分别配置网桥IP，网关，管理口IP地址），这部分配置丌再累述
2. 加速服务端设备配置： 1) 配置加速策略：设置Exchange服务器的IP，选择Exchange应用， Exchange代理并设置域 2）配置加速策略组：选择刚新增的加速策略 3）配置加速用户：为加速客户端设备新建一个账号，并关联加速策略组 3. 加速客户端设备的配置： 1）配置连接中心端网关：填入加速服务端建立的账号和密码，加速服务端设备的IP，加速监听端口
加速服务端加速客户端
SANGFOR WANO加速互联配置
加速互联配置分为两部分： 1. 加速服务端设备的配置: 1)加速策略

SANGFOR_SSL多线路配置文档

SANGFOR_SSL多线路专题文档深信服科技有限公司2011年05月18日第1章功能概述SANGFOR SSL VPN提供了多线路智能选路技术，用于当客户外网有多条运营商出口的时候，SSL设备自动地为用户选择最快的链路接入SSL VPN。

客户端通过域名或者IP形式访问，均能实现自动选路功能。

根据不同部署环境，SANGFOR SSL VPN设备可以实现各种环境下的多线路自动选路功能。

主要包括单臂模式多线路自动选路、网关模式（直连）多线路自动选路、网关模式（非直连）多线路自动选路。

下面分别用一个典型案例来说明，单臂模式、网关模式下如何配置实现多线路自动选路功能。

第2章单臂模式多线路典型案例2.1.客户环境与需求客户拓扑如下图所示，SSL VPN设备单臂部署。

出口有电信与网通两条链路。

客户需要实现外网用户输入 1.1.2.2或者 2.1.2.2任意一个IP地址均能自动选择最快链路访问到SSLVPN设备接入。

2.2.配置思路根据客户的需求，我们可以首先总结配置思路。

1.基础网络配置：配置成单臂模式，配置LAN口IP地址，掩码，网关等信息。

2.防火墙做端口映射：前置防火墙需要做两条线路的80端口和443端口到172.16.1.10 。

此处需要注意：80端口也是必须映射的，因为多线路选路功能是依赖80端口来选路的，如果80端口不映射，将无法实现多线路选路功能。

3.多线路配置：[系统配置]-[网络配置]-[多线路]，勾选[启用SSL VPN多线路]，并且新增两条线路。

2.3.配置方法与截图2.3.1.基础网络配置首先在[系统配置]-[网络配置]-[部署模式]里将设备配置成单臂模式，配置LAN口IP地址、掩码、网关等信息。

如图：2.3.2.前置防火墙做端口映射此处设置需要在前置防火墙做，由于各个厂家设置方法不一致，此处不一一例举。

需要将1.1.2.2的80和443端口映射到172.16.1.10的80和443端口。

SANGFOR AC第三方域认证配置及AD域同步配置文档

SANGFOR AC 第三方域认证及 AD 域同步配置一、第三方域认证配置:1.认证服务器设置:点击“ 新增” 按钮, “ 服务器类型” 选择 LDAP ,出现如下页面:IP 地址:填域服务器的 IP 地址认证端口:默认配置是 389端口,如果域服务器修改过端口,请填相应的端口。

超时:默认配置是 5秒,如果域用户较多,可以适当改大超时时间。

服务器用户:请填写拥有读取域服务器用户权限的账号,一般填写管理员帐户, 格式为用户密码:填写的账号对应的密码类型:LDAP 服务器支持 Microsoft Active Directory 、 SUN LDAP 和 OPEN LDAP 三种 LDAP 服务器,可根据实际情况选取相应的服务器。

默认是 Microsoft Active Directory ,即常见的 AD 域类型。

其他配置请保持默认值,点击“ 确定” 保存配置。

2. 域用户认证(这里只介绍第三方域认证, 域单点登陆的配置请参见《域单点登陆配置文档》域用户添加分为三种方式:1手动添加:手动新增用户,登陆名为域用户名,认证方式选择密码认证,勾选 LDAP认证。

2通过新用户认证策略,自动添加:点击“ 新增”,新增新用户认证策略,或者点击新用户认证策略的名称进行编辑:选择新用户的处理方式 ---到服务器去验证,选择到 LDAP 服务器去验证,并勾选认证成功的新用户,自动添加到以上的组织结构中。

3通过 AD 域同步,把域用户自动同步到 AC 组织结构中,如下章节介绍。

二、 AD 域自动同步配置:AD 域同步目前只支持 MS Active Directory 。

同步方式分两类:“ 按 AD 域组织结构同步” 和“ 按 AD 域安全组同步” ,两种工作模式不能同时使用, 选择一种工作模式, 点击“ 保存” 即可完成选择。

1. 按照 AD 域组织结构同步“ 按 AD 域组织结构同步” 这种工作模式是按照 AD 域中的组织单元 OU 及其结构导入的。