H3C V7 IPSEC_VPN配置（野蛮模式配置）

# H3C V7 IPSEC_VPN配置（野蛮模式配置）

配置需求：总部RT1使用固定ip,分部使用AD拨号，使用名称和配置野蛮模式发起IPSEC_VPN连接。
拓扑图：

![tuopu](/media/202208/2022-08-04_145001_2208410.6596355706199498.png)

## 基础配置
配置好相应地址和默认路由。使用路由器是为了不配置防火墙各种策略那么麻烦。

总部路由器RT1配置：
```shell
# 配置ACL
acl advanced 3000
 rule 0 deny ip source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255
 rule 9999 permit ip
# 匹配感兴趣流
acl advanced 3001
 rule 0 permit ip source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255
# VPN配置
# 配置ike proposal
ike proposal 1
 encryption-algorithm 3des-cbc
 authentication-algorithm md5
# 配置ike keychain，由于分部模拟使用拨号，无法写固定地址，这里需要写全0地址代表任意地址以及对应的预共享密钥
ike keychain RT2
 pre-shared-key address 0.0.0.0 0.0.0.0 key simple 123456
# 配置ike profile,对端地址使用名称标识branch
ike profile RT2
 keychain RT2
 local-identity address 10.0.0.2
 match remote identity fqdn branch
 proposal 1
# 配置ipsec 安全提议
ipsec transform-set RT1
 esp encryption-algorithm 3des-cbc
 esp authentication-algorithm md5
# 创建ipsec策略，需要使用模板方式创建
ipsec policy-template RT2-tem 1
 transform-set RT1
 security acl 3001
 local-address 10.0.0.2
 ike-profile RT2
# 使用模板创建策略
ipsec policy RT1 1 isakmp template RT2-tem
# 接口应用策略
interface GigabitEthernet0/0
 port link-mode route
 combo enable copper
 ip address 10.0.0.2 255.255.255.252
 nat outbound 3000
 ipsec apply policy RT1
```
分支RT2配置：
```shell
# 配置ACL
acl advanced 3000
 rule 0 deny ip source 192.168.2.0 0.0.0.255 destination 192.168.1.0 0.0.0.255
 rule 9999 permit ip
#
acl advanced 3001
 rule 0 permit ip source 192.168.2.0 0.0.0.255 destination 192.168.1.0 0.0.0.255
# VPN配置
# ike proposal配置
ike proposal 1
 encryption-algorithm 3des-cbc
 authentication-algorithm md5
# ike keychain配置
ike keychain RT1
 pre-shared-key address 10.0.0.2 key simple 123456
# 配置ipsec 安全提议
ipsec transform-set RT2
 esp encryption-algorithm 3des-cbc
 esp authentication-algorithm md5
# ike profile配置
ike profile RT1
 keychain RT1                  # 调用keychain
 exchange-mode aggressive      # 开启野蛮模式
 local-identity fqdn branch    # 配置本端名称
 match remote identity address 10.0.0.2 255.255.255.255 # 配置对端标识
 proposal 1
# 配置策略
ipsec policy RT2 1 isakmp
 transform-set RT2
 security acl 3001
 remote-address 10.0.0.2
 ike-profile RT1
# 接口应用
interface GigabitEthernet0/1
 port link-mode route
 combo enable copper
 ip address 10.0.0.6 255.255.255.252
 nat outbound 3000
 ipsec apply policy RT2
```
野蛮模式下只能由分支触发流量建立隧道。主要是在总部这边需要使用模板方式创建策略，分支profile配置野蛮模式。

![](/media/202208/2022-08-04_170558_5671000.8377565965586505.png)