H3C防火墙与阿里云VPN网关建立隧道流IPSEC

发布网友发布时间：2024-08-18 21:14

共1个回答

热心网友时间：2024-08-22 17:08

背景：目前网络已通过专线与阿里云（HK）相连，现需构建一条备用线路。鉴于预算限制，计划通过VPN网关建立IPSEC，并启用BGP实现路由自动学习。由于笔者的设备为H3C和Huawei，而非阿里官网示例中的Cisco，本文将详细介绍如何使用H3C设备与阿里云VPN网关建立IPsec隧道。

IPSEC是什么？可参考华为官方文档：IPSEC-说明

阿里云IPSEC提供两种模式：感兴趣流模式和目的路由模式。

感兴趣流模式：通过ACL指定要保护的数据流范围，筛选出需进入IPsec隧道的报文。ACL规则允许（permit）的报文将被保护，未匹配任何permit规则的报文则不被保护。这种模式可以利用ACL的丰富配置功能，根据IP地址、端口、协议类型等对报文进行过滤，从而灵活制定IPSec的保护方法。

目的路由模式（加密所有进入Tunne口的流量）：通过IPSec虚拟隧道接口建立IPsec隧道，将所有路由到IPsec虚拟隧道接口的报文都进行IPsec保护。根据路由的目的地址确定哪些数据流需要IPsec保护。IPSec虚拟隧道接口是一种三层逻辑接口。

路由方式具有以下优点：

阿里云相关配置：

1.1 将网关学习到的路由不通告给VBR，避免路由异常

云企业网 → 云企业网实例 → 地域tr实例 → 转发路由器路由表 → 路由策略 → 添加路由策略

1.2 将网关上学习到的路由通告至CEN中

H3C配置：

阿里云验证配置：

H3C验证配置

华为的配置可参考：HUAWEI-基于路由的IPSEC