IPsec 示例 - 专用公网 IP

使用专用公网 IP 地址并配合桥接内部网络以实现工作负载连通性的 IPsec 隧道配置示例。

以下 IPsec 示例使用一个专用公网 IP 地址用于 VPN 隧道。VPN 路由器以桥接方式连接到现有内部网络，为该网络提供第 2 层连接。

IPsec 是一个复杂的框架，支持大量配置组合，并且有多种方式实现同一目标，因此不可能提供适用于所有情况的通用说明。以下示例配置仅供参考，应根据具体环境和需求进行调整。

请参阅 IPsec 产品指南页面 ，了解创建 IPsec 隧道的通用分步说明。

• VPN 网络名称： vpn-ipsec
• VPN 路由器地址： 192.168.0.254
• 本地 VPN 网络： 192.168.0.0/24
• 远程 VPN 网络： 10.10.0.0/16
• 桥接内部网络名称： Internal-xyz
• 外部网络名称： 外部

静态租约

我们导航到 Internal-xyz > IP 地址 > 新建＊ 用于在该内部网络上为 VPN 路由器保留一个静态地址，以防其他实体占用相同的 IP 地址。有关创建静态租约的完整说明，请参见此处： 创建 DHCP 静态租约.

VPN 静态租约

VPN 网络配置

VPN 网络配置

阶段 1

阶段 1 配置

阶段 2

阶段 2 配置

分配的公网 IP 地址

公网地址必须 从外部网络分配 给 VPN 网络。

分配公网 IP

默认 VPN 网络规则

默认防火墙规则 - 以下必要的防火墙规则会 自动创建 ，当创建 VPN 网络时：

• 允许 IKE：接受到端口 500 的入站 UDP 流量到 我的路由器 IP
• 允许 IPsec NAT 穿越：接受到端口 4500 的入站 UDP 流量到 我的路由器 IP
• 允许 ESP：接受入站 ESP 协议流量到 我的路由器 IP
• 允许 AH：接受入站 AH 协议流量到 我的路由器 IP

查看规则

在适当情况下，这些规则可以修改为仅限制特定源地址。

其他 VPN 网络规则

需要在我们新的 VPN 网络上创建其他规则：

转换规则：

该转换规则必须移动到规则列表顶部，位于 接受 规则之前。有关更改规则顺序的说明，请参见产品指南： 网络规则 - 更改规则顺序

默认路由规则：

内部网络规则

需要在 Internal-xyz 上配置一条路由规则，以将其 VPN 流量路由到 VPN 网络。

VPN 默认路由规则

新规则必须应用到每个网络上才能生效。