1.      不同厂家之间的IPSec VPN

以上这些都是同一品牌的设备，它们之间的互通当然要好实现一些，可是在实际的项目中各个单位并没有都使用Cisco的设备，那么不同的厂家的设备之间建立IPSec VPN能够通讯吗？其实只要各个厂家都遵循标准的IPSec协议，在加上用户对IPSec VPN理解透彻的话，一样能够实现互通，只不过稍微麻烦一点而已。笔者就在NetScreen的NS25防火墙和Cisco的ASA5505防火墙之间就实现了IPSec VPN互通。网络拓扑如图四所示：                                   

图4

ASA5505防火墙的配置与前面的一样，配置结果如下：

ASA(config)# crypto isakmp policy 10                                                          

ASA(config-isakmp-policy)# encryption 3des                                               

ASA(config-isakmp-policy)# authentication pre-share                                   

ASA(config-isakmp-policy)# hash md5                                                          

ASA(config-isakmp-policy)# group 2                                                            

ASA(config-isakmp-policy)# exit

ASA(config)# crypto isakmp key cjgsvpn add 59.196.234.42                        

ASA(config)# crypto ipsec transform-set cjgsset esp-3des esp-md5-hmac     

ASA(config)# access-list permitvpn permit ip 172.19.30.0 255.255.255.128 192.168.0.0 255.255.255.0                                                                                          

ASA(config)# crypto map vpn 10 ipsec-isakmp                                             

ASA(config)# crypto map vpn 10 match address permitvpn                           

ASA(config)# crypto map vpn 10 set peer 59.196.234.42                            

ASA(config)# crypto map vpn 10 set transform-set cjgsset                             

ASA(config)# crypto map vpn interface outside                                              

ASA(config)# crypto isakmp enable outside  

再看看NS25上的配置。在NS25上是采用图形界面完成的IPSec VPN的配置，具体过程如下：

第一步：在NS25上建立两个地址本，分别代表本地的地址和需要访问的地址，其实就是定义感兴趣的流量的地址，总部的地址段定义在Untrust区域，改制单位的定义在Trust区域，在左边菜单上依次选择Objects-〉Addresses-〉List，单击右边页面上的“new”按钮，如图五所示：

图5总部的地址段

然后再建立改制单位的地址段，如图六所示：

图6改制单位的地址段

第二步，确定要使用的第一阶段和第二阶段的策略。在NS25中已经预定义了第一阶段和第二阶段的各种参数的组合，如图七所示，在菜单中依次选择VPNs-〉AutoKey Advanced-〉P1 Prosal

图7阶段一的参数

图中的pre-g2-3des-md5代表使用预共享密钥认证，DH协议组2的密钥交换算法，3des加密算法，md5的完整性算法，这是将要使用的阶段一的参数。

阶段二的策略如图八所示，在菜单上依次选择VPNs-〉AutoKey Advanced-〉P2 Prosal

图8阶段二的参数

图中nopfs-esp-3des-md5代表不使用pfs（完全前向保密）功能，该功能会执行新的DH密钥交换，为每个新会话获取密钥材料，在笔者的配置中都没有使用该功能。使用ESP协议封装，使用3des加密和md5认证。

第三步，开始VPN阶段一的配置。在菜单上依次选择VPNs-〉AutoKey Advanced-〉Gateway-〉New，如图九所示：

图9阶段一的参数

Gateway Name中输入阶段一的策略的名字：vpn1；

Remote Gateway Type中选择Static IP Address，并输入总部的防火墙的外部接口的地址；

Preshared Key输入预共享密钥：cjgsset；

Outgoing Interface中选择ethernet3，即改制单位防火墙的公网接口；

在本页面中选择“Advanced”按钮，如图十所示：

图10阶段一的参数

在Phase 1 Proposal中选择阶段一的密钥交换策略，由于武汉总部是固定的公网IP地址，在Mode要选择“Main”。

然后再单击页面上的“Return”按钮，返回到上一级配置页面，并单击“OK”按钮，完成了阶段一的配置。

第四步：开始阶段二的配置。在菜单上依次选择VPNs-〉AutoKey IKE-〉NEW，新建一个阶段2的策略，如图十一所示：

图11阶段二的参数

VPN Name给阶段二的策略命名：vpn；

Remote Gateway选择预定义，并在下拉列表中选择刚才定义的阶段一的策略的名称vpn1。

单击本页面的“Advanced”按钮，如图十二所示：

图12阶段二的参数

选择阶段二的策略，然后单击“Return”，返回上一级页面后，再单击“OK”，完成了阶段二的配置。

第五步：新建一条Trust到Untrust的策略，如图十三所示，

图13新建策略

Source Address选择先前定义的改制单位的地址本；

Destination Address选择先前定义的总部的地址本；

Action下拉列表中选择Tunnel；

Tunnel VPN下拉列表中选择阶段二建立的策略的名称，并勾选相应的选项。其中除了Logging选项可选可不选外，图中另外两项最好都选上，一条是自动建立一条反向的VPN策略，另外一条是将策略放置在所有策略的顶部，这一点非常重要，因为策略是按顺序执行的，如果不放在顶部，很有可能就执行了别的策略，从而导致永远不执行这条VPN策略，这样IPSec VPN就永远建立不起来了。

确定之后就完成了整个配置。

在NS25的日志中看看VPN建立的过程，如图十四所示：

图14VPN建立的过程

建立后在ASA上查看VPN的状态，如图十五所示：

图15 ASA5505防火墙VPN会话

从武汉总部ping改制单位的计算机，如图十六所示：

图16 ping改制单位计算机

这样在改制单位与总部之间建立了IPSec VPN通道，实现了不同厂商产品之间的VPN互通。

从笔者以上的配置实例来看，IPSec VPN的应用很灵活，可以针对不同的应用场合使用不同的IPSec VPN技术，如何使用就需要根据应用需求、设备的投入和维护的成本等方面综合考虑来进行取舍。如笔者单位和改制单位之间最后使用最多的是防火墙之间建立的IPSec VPN，兼顾了改制单位本身的网络安全防护的需求和建立IPSec VPN的要求，使改制单位的应用成本和维护成本都降至比较的水平。

IPSec VPN技术已推出很长时间了，技术上也比较的成熟，各个网络厂商也都有支持IPSec VPN技术的路由器、防火墙、安全网关等产品，只要产品遵循标准的IPSec VPN框架，都可以实现互通，极大的方便了用户，也使得用户不必拘泥于一家的产品而被束缚了手脚。虽然目前各个厂家也都在着力推广SSL VPN技术，但就实际应用效果来看，还具有很多局限性，因此IPSec VPN以它的成熟、便利、低廉的投入和安全性在很长一段时间内还将继续存在，成为企业总部和各分支机构、移动用户之间进行互连的主要选择。