NFX 设备上的 IP 安全

您可以配置一个或多个 IKE 提议。每个提议都是一个 IKE 属性列表，用于保护 IKE 主机与其对等方之间的 IKE 连接。

要配置 IKE 提议，请完成以下步骤：

1. 将预共享密钥配置为 IPsec IKE 提议的身份验证方法：

   注意：

   为网络中的安全通信配置 IPsec 时，网络中的对等设备必须至少具有一种通用身份验证方法。无论配置的身份验证方法数量如何，一对设备之间只能使用一种身份验证方法。

2. 为 IKE 提案定义一个 Diffie-Hellman 组 （dh-group）：

3. 为 IKE 提议配置身份验证算法：

4. 为 IKE 提议定义加密算法：

5. 设置 IKE 提议的生存期（以秒为单位）：

配置一个或多个 IKE 提议后，必须将这些提议与 IKE 策略相关联。IKE 策略定义要在 IKE 协商期间使用的安全参数组合（IKE 提议）。它定义对等地址以及该连接所需的建议。根据使用的身份验证方法，它为给定对等方定义预共享密钥。在 IKE 协商期间，IKE 会查找在两个对等方上相同的 IKE 策略。启动协商的对等方将其所有策略发送给远程对等方，远程对等方尝试查找匹配项。

要配置 IKE 策略，请完成以下步骤：

1. 使用第一阶段模式定义 IKE 策略：

2. 定义一组 IKE 提议：

3. 为 IKE 定义预共享密钥：

配置 IKE 网关以启动和终止防火墙和安全设备之间的网络连接。

要配置 IKE 网关，请完成以下步骤：

1. 使用 IKE 策略配置 IKE 网关：

2. 使用对等方的地址或主机名配置 IKE 网关：

   注意：

   如果守护程序是 IKED 守护程序，则 NFX350 设备不支持多 IKE 网关地址冗余。只有 KMD 守护程序支持此功能。

3. 启用失效对等体检测 （DPD） 功能以定期发送 DPD 消息：

4. 配置本地 IKE 身份：

5. 配置远程 IKE 身份：

6. 为 IKE 协商配置外部接口：

7. 配置客户端用户名：

8. 配置客户端密码：

配置一个或多个 IPsec 提议后，必须将这些提议与 IPsec 策略相关联。IPsec 策略定义在 IPsec 协商期间使用的安全参数（IPsec 建议）的组合。它定义了完全向前保密 （PFS） 和连接所需的建议。在 IPsec 协商期间，IPsec 会搜索在两个对等方上相同的提议。启动协商的对等方将其所有策略发送给远程对等方，远程对等方尝试查找匹配项。

要配置 IPsec 策略，请完成以下步骤：

1. 为策略定义 IPsec 策略、完全向前保密和 Diffie-Hellman 组：

2. 为策略定义一组 IPsec 建议：

配置 IPsec 虚拟专用网络 （VPN），以提供一种通过公共 WAN（如 Internet）在远程计算机之间进行安全通信的方法。VPN 连接可以链接两个 LAN（站点到站点 VPN）或链接一个远程拨号用户和一个 LAN。在这两点之间流动的流量通过共享资源，例如路由器、交换机和构成公共 WAN 的其他网络设备。为了在通过 WAN 时保护 VPN 通信，两个参与方会创建一个 IPsec 隧道。有关详细信息，请参阅 IPsec VPN 概述。

要配置 IPsec VPN，请完成以下步骤：

1. 为 IPsec VPN 定义 IKE 网关：

2. 为 IPsec VPN 定义 IPsec 策略：

3. 为 IPsec VPN 定义本地流量选择器：

4. 为 IPsec VPN 定义远程流量选择器：

5. 定义建立 IPsec VPN 隧道的条件：