NFX 设备上的 IP 安全性

您可以配置一个或多个 IKE 提议。每个提议都是一个 IKE 属性列表，用于保护 IKE 主机与其对等方之间的 IKE 连接。

要配置 IKE 提议，请完成以下步骤：

1. 将预共享密钥配置为 IPsec IKE 提议的身份验证方法：

   注意：

   为网络中的安全通信配置 IPsec 时，网络中的对等设备必须至少具有一种通用身份验证方法。无论配置多少种身份验证方法，一对设备之间都只能使用一种身份验证方法。

2. 为 IKE 提议定义 Diffie-Hellman 组 （dh-group）：

3. 为 IKE 提议配置身份验证算法：

4. 为 IKE 提议定义加密算法：

5. 设置 IKE 提议的生存期（以秒为单位）：

配置一个或多个 IKE 提议后，必须将这些提议与 IKE 策略相关联。IKE 策略定义在 IKE 协商期间使用的安全参数（IKE 提议）组合。它定义一个对等地址以及该连接所需的提议。根据使用的身份验证方法，它会为给定的对等方定义预共享密钥。在 IKE 协商期间，IKE 会查找两个对等方上相同的 IKE 策略。发起协商的对等方将其所有策略发送到远程对等方，远程对等方尝试查找匹配项。

要配置 IKE 策略，请完成以下步骤：

1. 使用第一阶段模式定义 IKE 策略：

2. 定义一组 IKE 提议：

3. 为 IKE 定义预共享密钥：

配置 IKE 网关以启动和终止防火墙与安全设备之间的网络连接。

要配置 IKE 网关，请完成以下步骤：

1. 使用 IKE 策略配置 IKE 网关：

2. 使用对等方的地址或主机名配置 IKE 网关：

   注意：

   如果 deamon 是 IKED 守护程序，则 NFX350 设备不支持多 IKE 网关地址冗余。只有 KMD 守护程序支持此功能。

3. 启用失效对等体检测 （DPD） 功能以定期发送 DPD 消息：

4. 配置本地 IKE 身份：

5. 配置远程 IKE 身份：

6. 配置用于 IKE 协商的外部接口：

7. 配置客户端的用户名：

8. 配置客户端密码：

配置一个或多个 IPsec 提议后，必须将这些提议与 IPsec 策略相关联。IPsec 策略定义 IPsec 协商期间使用的安全参数（IPsec 提议）组合。它定义了完全向前保密 （PFS） 和连接所需的提议。在 IPsec 协商期间，IPsec 搜索两个对等方上相同的提议。发起协商的对等方将其所有策略发送到远程对等方，远程对等方尝试查找匹配项。

要配置 IPsec 策略，请完成以下步骤：

1. 为该策略定义 IPsec 策略、完全向前保密和 Diffie-Hellman 组：

2. 为策略定义一组 IPsec 提议：

配置 IPsec 虚拟专用网 （VPN），以提供一种通过公共 WAN（如互联网）在远程计算机之间安全通信的方法。一个 VPN 连接可链接两个 LAN（站点到站点 VPN）或链接一个远程拨号用户和一个 LAN。在这两点间流动的流量在共享资源（如路由器、交换机和构成公共 WAN 的其他网络设备）之间进行传输。为了在通过 WAN 时保护 VPN 通信，两个参与方会创建一个 IPsec 隧道。有关详细信息，请参阅 IPsec VPN 概述。

要配置 IPsec VPN，请完成以下步骤：

1. 为 IPsec VPN 定义 IKE 网关：

2. 为 IPsec VPN 定义 IPsec 策略：

3. 为 IPsec VPN 定义本地流量选择器：

4. 为 IPsec VPN 定义远程流量选择器：

5. 定义建立 IPsec VPN 隧道的标准：