1. 华为防火墙IPsec点对点配置基础概念IPsecInternet Protocol Security是一种网络协议套件用于保护IP通信的安全。在企业网络中特别是分支机构互联场景中IPsec VPN是最常用的安全通信方式之一。华为防火墙的IPsec点对点配置可以实现两个网络之间的安全通信确保数据传输的机密性、完整性和可用性。华为防火墙支持多种IPsec配置方式其中点对点配置是最基础也是最常用的方式。这种配置适用于两个固定站点之间的安全通信比如总部和分支机构之间的网络互联。在实际部署中我们需要考虑以下几个关键要素IKEInternet Key Exchange用于协商安全参数和建立安全关联SAIPsec策略定义数据加密和认证的具体方式感兴趣流确定哪些流量需要被加密传输安全策略防火墙需要放行相关的协商流量和数据流量华为防火墙的IPsec配置主要分为以下几个步骤创建IKE Proposal定义安全参数、配置IKE Peer建立对等体关系、设置IPsec Proposal定义数据加密方式、绑定IPsec Policy到具体接口。这些步骤环环相扣任何一个环节配置不当都可能导致IPsec隧道无法正常建立。2. 环境准备与基础网络配置2.1 网络拓扑规划在开始配置之前我们需要先规划好网络拓扑。典型的点对点IPsec场景包含两个防火墙设备分别位于不同的地理位置。假设我们有两个站点站点A和站点B每个站点都部署了华为防火墙。建议的网络规划如下站点A防火墙内网接口trust区域192.168.1.1/24外网接口untrust区域203.0.113.1/30站点B防火墙内网接口trust区域192.168.2.1/24外网接口untrust区域203.0.113.2/30两个防火墙的外网接口通过互联网直接相连或者通过运营商的专线连接。在实际配置前请确保两个防火墙之间能够互相ping通外网接口IP。2.2 基础网络配置检查在华为防火墙上执行以下命令检查网络连通性# 检查接口状态 display interface brief # 测试网络连通性 ping -a 203.0.113.1 203.0.113.2如果ping测试失败需要先排查基础网络问题。常见的问题包括接口未正确配置IP地址路由表缺少默认路由运营商网络存在限制防火墙安全策略阻止了ICMP流量确保基础网络畅通后我们就可以开始配置IPsec了。3. IKE Proposal配置详解3.1 创建IKE ProposalIKE Proposal定义了IKE协商阶段使用的安全参数。华为防火墙默认已经预置了一些IKE Proposal但我们建议根据实际安全需求创建自定义的IKE Proposal。创建IKE Proposal的命令如下# 进入系统视图 system-view # 创建IKE Proposal ike proposal PROPOSAL_NAME在IKE Proposal视图下我们需要配置以下关键参数# 设置加密算法 encryption-algorithm aes-256 # 设置DH组 dh group14 # 设置认证算法 authentication-algorithm sha2-256 # 设置认证方法 authentication-method pre-share # 设置完整性算法 integrity-algorithm hmac-sha2-256 # 设置伪随机函数 prf hmac-sha2-256这些参数的选择需要平衡安全性和性能AES-256提供了足够强的加密强度DH group142048位确保了密钥交换的安全性SHA2-256提供了可靠的哈希算法预共享密钥是最简单实用的认证方式3.2 IKE Proposal参数选择建议在实际项目中IKE Proposal的参数选择需要考虑以下因素加密算法AES-256推荐用于高安全要求的场景AES-192中等安全要求AES-128一般安全要求DH组Group142048位推荐使用Group19256位ECC更高安全性Group51536位逐渐被淘汰认证算法SHA2-256推荐使用SHA2-384/SHA2-512更高安全性SHA1不推荐使用认证方法预共享密钥简单易用数字证书更高安全性但配置复杂4. IKE Peer配置实战4.1 创建IKE PeerIKE Peer定义了IPsec对等体的相关信息。创建IKE Peer的命令如下# 创建IKE Peer ike peer PEER_NAME在IKE Peer视图下我们需要配置以下关键参数# 设置本端ID类型 local-id-type ip # 设置远端地址 remote-address 203.0.113.2 # 设置预共享密钥 pre-shared-key YourStrongPassword123! # 配置DPDDead Peer Detection dpd type on-demand dpd idle-time 30 dpd retry-interval 10 dpd retry-limit 3 # 引用IKE Proposal proposal PROPOSAL_NAME4.2 IKE Peer关键参数解析身份标识local-id-type定义本端使用的身份标识类型可以是IP、FQDN、USER-FQDN等remote-address指定对端防火墙的公网IP地址预共享密钥两端必须配置相同的预共享密钥建议使用复杂密码包含大小写字母、数字和特殊字符定期更换预共享密钥以提高安全性DPD配置type on-demand按需检测对端存活状态idle-time 3030秒无流量后开始检测retry-interval 10每次检测间隔10秒retry-limit 3最多重试3次IKE Proposal引用必须引用之前创建的IKE Proposal两端防火墙的IKE Proposal参数必须匹配5. IPsec Policy配置与绑定5.1 创建IPsec ProposalIPsec Proposal定义了数据加密阶段使用的安全参数。创建IPsec Proposal的命令如下# 创建IPsec Proposal ipsec proposal PROPOSAL_NAME # 设置封装模式 encapsulation-mode tunnel # 设置安全协议 transform esp # 设置ESP加密算法 esp encryption-algorithm aes-256 # 设置ESP认证算法 esp authentication-algorithm sha2-2565.2 创建IPsec PolicyIPsec Policy将各个组件整合在一起。创建IPsec Policy的命令如下# 创建IPsec Policy ipsec policy POLICY_NAME 1 isakmp # 引用IKE Peer ike-peer PEER_NAME # 引用IPsec Proposal proposal PROPOSAL_NAME # 配置感兴趣流 security acl 30005.3 配置感兴趣流感兴趣流ACL定义了哪些流量需要通过IPsec隧道传输。配置示例如下# 创建ACL acl number 3000 # 定义感兴趣流 rule permit ip source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.2555.4 绑定IPsec Policy到接口最后一步是将IPsec Policy绑定到外网接口# 进入接口视图 interface GigabitEthernet1/0/1 # 绑定IPsec Policy ipsec policy POLICY_NAME6. 安全策略配置要点IPsec VPN的正常工作需要适当的安全策略放行相关流量。华为防火墙需要配置以下安全策略放行IKE协商流量源/目的区域untrust-local协议UDP 500放行ESP/AH流量源/目的区域untrust-local协议ESP(50)/AH(51)放行解密后的数据流量源/目的区域untrust-trust协议实际业务协议具体配置命令如下# 放行IKE流量 security-policy rule name PERMIT_IKE source-zone untrust destination-zone local service ike action permit # 放行ESP流量 rule name PERMIT_ESP source-zone untrust destination-zone local service esp action permit # 放行业务流量 rule name PERMIT_IPSEC_TRAFFIC source-zone untrust destination-zone trust action permit7. 常见问题排查与解决在实际部署中可能会遇到各种问题。以下是几个常见问题及解决方法IPsec隧道无法建立检查两端防火墙的网络连通性确认预共享密钥一致验证IKE Proposal参数匹配检查安全策略是否放行了IKE和ESP流量隧道建立但无法通信检查感兴趣流ACL配置是否正确验证解密后的数据流量安全策略检查路由表是否正确隧道频繁断开调整DPD参数检查网络稳定性考虑启用NAT穿越如果存在NAT设备可以使用以下命令进行故障排查# 查看IKE SA状态 display ike sa # 查看IPsec SA状态 display ipsec sa # 查看IPsec策略绑定状态 display ipsec policy # 查看安全策略命中情况 display security-policy statistics在实际项目中我遇到过因为NAT设备导致的IPsec隧道不稳定问题。后来通过启用NAT穿越NAT-T功能解决了这个问题。配置命令如下# 在IKE Peer视图下 nat traversal enable
华为防火墙IPsec点对点配置实战指南
发布时间：2026/7/6 7:34:04
1. 华为防火墙IPsec点对点配置基础概念IPsecInternet Protocol Security是一种网络协议套件用于保护IP通信的安全。在企业网络中特别是分支机构互联场景中IPsec VPN是最常用的安全通信方式之一。华为防火墙的IPsec点对点配置可以实现两个网络之间的安全通信确保数据传输的机密性、完整性和可用性。华为防火墙支持多种IPsec配置方式其中点对点配置是最基础也是最常用的方式。这种配置适用于两个固定站点之间的安全通信比如总部和分支机构之间的网络互联。在实际部署中我们需要考虑以下几个关键要素IKEInternet Key Exchange用于协商安全参数和建立安全关联SAIPsec策略定义数据加密和认证的具体方式感兴趣流确定哪些流量需要被加密传输安全策略防火墙需要放行相关的协商流量和数据流量华为防火墙的IPsec配置主要分为以下几个步骤创建IKE Proposal定义安全参数、配置IKE Peer建立对等体关系、设置IPsec Proposal定义数据加密方式、绑定IPsec Policy到具体接口。这些步骤环环相扣任何一个环节配置不当都可能导致IPsec隧道无法正常建立。2. 环境准备与基础网络配置2.1 网络拓扑规划在开始配置之前我们需要先规划好网络拓扑。典型的点对点IPsec场景包含两个防火墙设备分别位于不同的地理位置。假设我们有两个站点站点A和站点B每个站点都部署了华为防火墙。建议的网络规划如下站点A防火墙内网接口trust区域192.168.1.1/24外网接口untrust区域203.0.113.1/30站点B防火墙内网接口trust区域192.168.2.1/24外网接口untrust区域203.0.113.2/30两个防火墙的外网接口通过互联网直接相连或者通过运营商的专线连接。在实际配置前请确保两个防火墙之间能够互相ping通外网接口IP。2.2 基础网络配置检查在华为防火墙上执行以下命令检查网络连通性# 检查接口状态 display interface brief # 测试网络连通性 ping -a 203.0.113.1 203.0.113.2如果ping测试失败需要先排查基础网络问题。常见的问题包括接口未正确配置IP地址路由表缺少默认路由运营商网络存在限制防火墙安全策略阻止了ICMP流量确保基础网络畅通后我们就可以开始配置IPsec了。3. IKE Proposal配置详解3.1 创建IKE ProposalIKE Proposal定义了IKE协商阶段使用的安全参数。华为防火墙默认已经预置了一些IKE Proposal但我们建议根据实际安全需求创建自定义的IKE Proposal。创建IKE Proposal的命令如下# 进入系统视图 system-view # 创建IKE Proposal ike proposal PROPOSAL_NAME在IKE Proposal视图下我们需要配置以下关键参数# 设置加密算法 encryption-algorithm aes-256 # 设置DH组 dh group14 # 设置认证算法 authentication-algorithm sha2-256 # 设置认证方法 authentication-method pre-share # 设置完整性算法 integrity-algorithm hmac-sha2-256 # 设置伪随机函数 prf hmac-sha2-256这些参数的选择需要平衡安全性和性能AES-256提供了足够强的加密强度DH group142048位确保了密钥交换的安全性SHA2-256提供了可靠的哈希算法预共享密钥是最简单实用的认证方式3.2 IKE Proposal参数选择建议在实际项目中IKE Proposal的参数选择需要考虑以下因素加密算法AES-256推荐用于高安全要求的场景AES-192中等安全要求AES-128一般安全要求DH组Group142048位推荐使用Group19256位ECC更高安全性Group51536位逐渐被淘汰认证算法SHA2-256推荐使用SHA2-384/SHA2-512更高安全性SHA1不推荐使用认证方法预共享密钥简单易用数字证书更高安全性但配置复杂4. IKE Peer配置实战4.1 创建IKE PeerIKE Peer定义了IPsec对等体的相关信息。创建IKE Peer的命令如下# 创建IKE Peer ike peer PEER_NAME在IKE Peer视图下我们需要配置以下关键参数# 设置本端ID类型 local-id-type ip # 设置远端地址 remote-address 203.0.113.2 # 设置预共享密钥 pre-shared-key YourStrongPassword123! # 配置DPDDead Peer Detection dpd type on-demand dpd idle-time 30 dpd retry-interval 10 dpd retry-limit 3 # 引用IKE Proposal proposal PROPOSAL_NAME4.2 IKE Peer关键参数解析身份标识local-id-type定义本端使用的身份标识类型可以是IP、FQDN、USER-FQDN等remote-address指定对端防火墙的公网IP地址预共享密钥两端必须配置相同的预共享密钥建议使用复杂密码包含大小写字母、数字和特殊字符定期更换预共享密钥以提高安全性DPD配置type on-demand按需检测对端存活状态idle-time 3030秒无流量后开始检测retry-interval 10每次检测间隔10秒retry-limit 3最多重试3次IKE Proposal引用必须引用之前创建的IKE Proposal两端防火墙的IKE Proposal参数必须匹配5. IPsec Policy配置与绑定5.1 创建IPsec ProposalIPsec Proposal定义了数据加密阶段使用的安全参数。创建IPsec Proposal的命令如下# 创建IPsec Proposal ipsec proposal PROPOSAL_NAME # 设置封装模式 encapsulation-mode tunnel # 设置安全协议 transform esp # 设置ESP加密算法 esp encryption-algorithm aes-256 # 设置ESP认证算法 esp authentication-algorithm sha2-2565.2 创建IPsec PolicyIPsec Policy将各个组件整合在一起。创建IPsec Policy的命令如下# 创建IPsec Policy ipsec policy POLICY_NAME 1 isakmp # 引用IKE Peer ike-peer PEER_NAME # 引用IPsec Proposal proposal PROPOSAL_NAME # 配置感兴趣流 security acl 30005.3 配置感兴趣流感兴趣流ACL定义了哪些流量需要通过IPsec隧道传输。配置示例如下# 创建ACL acl number 3000 # 定义感兴趣流 rule permit ip source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.2555.4 绑定IPsec Policy到接口最后一步是将IPsec Policy绑定到外网接口# 进入接口视图 interface GigabitEthernet1/0/1 # 绑定IPsec Policy ipsec policy POLICY_NAME6. 安全策略配置要点IPsec VPN的正常工作需要适当的安全策略放行相关流量。华为防火墙需要配置以下安全策略放行IKE协商流量源/目的区域untrust-local协议UDP 500放行ESP/AH流量源/目的区域untrust-local协议ESP(50)/AH(51)放行解密后的数据流量源/目的区域untrust-trust协议实际业务协议具体配置命令如下# 放行IKE流量 security-policy rule name PERMIT_IKE source-zone untrust destination-zone local service ike action permit # 放行ESP流量 rule name PERMIT_ESP source-zone untrust destination-zone local service esp action permit # 放行业务流量 rule name PERMIT_IPSEC_TRAFFIC source-zone untrust destination-zone trust action permit7. 常见问题排查与解决在实际部署中可能会遇到各种问题。以下是几个常见问题及解决方法IPsec隧道无法建立检查两端防火墙的网络连通性确认预共享密钥一致验证IKE Proposal参数匹配检查安全策略是否放行了IKE和ESP流量隧道建立但无法通信检查感兴趣流ACL配置是否正确验证解密后的数据流量安全策略检查路由表是否正确隧道频繁断开调整DPD参数检查网络稳定性考虑启用NAT穿越如果存在NAT设备可以使用以下命令进行故障排查# 查看IKE SA状态 display ike sa # 查看IPsec SA状态 display ipsec sa # 查看IPsec策略绑定状态 display ipsec policy # 查看安全策略命中情况 display security-policy statistics在实际项目中我遇到过因为NAT设备导致的IPsec隧道不稳定问题。后来通过启用NAT穿越NAT-T功能解决了这个问题。配置命令如下# 在IKE Peer视图下 nat traversal enable
 获取与实战)
