步骤 1

创建对象来定义各种网络。

1. 选择对象。

2. 从目录中选择网络，然后点击 +。

3. 找到博尔德办公室内部网络。

   为网络对象命名（例如，boulder-network），选择网络，然后输入网络地址 10.1.1.0/24。

   
   

   

   
   

4. 点击确定 (OK)。

5. 点击 + 并定义内部圣荷西办公室网络。

   为网络对象命名（例如，sanjose-network），选择网络，然后输入网络地址 10.2.2.0/24。

   
   

   

   
   

6. 点击确定 (OK)。

步骤 2

在 Firewall1（博尔德办公室）上，为博尔德办公室网络配置经过 VPN 连接到圣荷西办公室时的手动身份 NAT。

1. 依次选择策略 > NAT。

2. 点击 + 按钮。

3. 配置以下属性：

   • 标题 = NAT Exempt 1_2 Boulder San Jose VPN（或您选择的其他名称）。

   • 创建规则用于 = 手动 NAT。

   • 位置 = 特定规则之上，然后在“手动 NAT 在自动 NAT 之前”部分选择第一条规则。需要确保此规则在目标接口的任何常规接口 PAT 规则之前。否则，该规则可能不会应用于正确的流量。

   • 类型 = 静态。

   • 源接口 = inside1_2。

   • 目标接口 = 外部。

   • 原始源地址 = boulder-network 网络对象。

   • 转换后的源地址 = boulder-network 网络对象。

   • 原始目标地址 = sanjose-network 网络对象。

   • 转换后的目标地址 = sanjose-network 网络对象。

     注	由于您不需要转换目标地址，因此需要通过为原始目标地址和转换后的目标地址指定相同的地址，从而为其配置身份 NAT。将所有端口字段留空。此规则为源和目标配置身份 NAT。

   
   

   

   
   

4. 在高级选项卡中，选择不在目标接口上使用代理 ARP。

5. 点击确定 (OK)。

6. 重复此过程，为每个其他内部接口创建相应规则。

步骤 3

在 Firewall1（博尔德办公室）上，为内部博尔德办公室网络配置接入互联网时的手动动态接口 PAT。

1. 点击 + 按钮。

2. 配置以下属性：

   • 标题 = inside1_2 接口 PAT（或您选择的其他名称）。

   • 创建规则用于 = 手动 NAT。

   • 位置 = 特定规则之下，然后在“手动 NAT 在自动 NAT 之前”部分选择您在上面为此接口创建的规则。由于此规则将应用于所有目标地址，使用 sanjose-network 作为目标的规则必须在此规则之前，否则 sanjose-network 规则永远没有匹配项。默认设置是将新的手动 NAT 规则放到“NAT 规则在自动 NAT 之前”部分的末尾，此设置也已足够。

   • 类型 = 动态。

   • 源接口 = inside1_2。

   • 目标接口 = 外部。

   • 原始源地址 = boulder-network 网络对象。

   • 转换后的源地址 = 接口。此选项配置使用目标接口的接口 PAT。

   • 原始目标地址 = 任何。

   • 转换后的目标地址 = 任何。

   
   

   

   
   

3. 点击确定 (OK)。

4. 重复此过程，为每个其他内部接口创建相应规则。

步骤 4

确认您的更改。

1. 点击网页右上角的部署更改图标。

   

2. 点击立即部署按钮。

   您可以等待部署完成，也可以点击确定，稍后再检查任务列表或部署历史记录。

步骤 5

如果您也管理着 Firewall2（圣荷西办公室），您可以为该设备配置类似的规则。

步骤 1

（站点 A，主站点。）配置到远程站点 B 的站点间 VPN 连接。

1. 点击设备，然后点击站点间 VPN 组中的查看配置。

2. 点击 + 添加新连接。

3. 按如下所述定义终端，然后点击下一步：

   • 连接配置文件名称 - 为连接指定一个有意义的名称，例如 Site-A-to-Site-B。

   • 本地 VPN 接入接口 - 选择外部接口。

   • 本地网络 - 保留默认值“任何”。

   • 远程 IP 地址 - 输入远程对等体外部接口的 IP 地址。在本示例中，此地址为 203.0.113.1。

   • 远程网络 - 点击 +，然后选择定义远程对等体的受保护网络的网络对象。在本示例中，此对象为 192.168.2.0/24。可以点击创建新网络立即创建对象。

   下图展示了第一步操作对应的界面。

   
   

   

   
   

4. 定义隐私配置，然后点击下一步。

   • IKE 策略 - IKE 设置对发夹方法没有影响。选择满足安全需求的 IKE 版本、策略和提议即可。请记下您输入的本地和远程预共享密钥：配置远程对等体时会用到这些信息。

   • NAT 豁免 - 选择内部接口。

     
     

     

     
     

   • 完美前向保密的 Diffie-Hellman 组 - 此设置对发夹方法没有影响。可以根据需要配置此设置。

5. 点击完成。

   连接摘要信息将会复制到剪贴板。您可以将这些信息粘贴到文本文件或其他文档，帮助您配置远程对等体。

步骤 2

（站点 A，主站点。）将 NAT 规则配置为将外部接口发出的所有连接转换到外部 IP 地址上的端口（接口 PAT）。

1. 依次点击策略 > NAT。

2. 执行以下操作之一：

   • 要编辑 InsideOutsideNatRule，请将鼠标指针悬停在操作列上，然后点击编辑图标 ()。

   • 要创建新规则，请点击 +。

3. 配置规则的以下属性：

   • 名称 - 为新规则输入一个有意义且不含空格的名称。例如，OutsideInterfacePAT。

   • 创建规则用于 - 手动 NAT。

   • 位置 - 自动 NAT 规则之前（默认）。

   • 类型 - 动态。

   • 原始数据包 - 对于源地址，请选择“任何”或 any-ipv4。对于源接口，请确保选择“任何”（默认值）。对于所有其他“原始数据包”选项，请保留默认值“任何”。

   • 已转换的数据包 - 对于目标接口，请选择外部接口。对于已转换的地址，请选择接口。对于所有其他“已转换的数据包”选项，请保留默认值“任何”。

   下图展示了选择“任何”作为源地址时的简单情况。

   
   

   

   
   

4. 点击确定 (OK)。

步骤 3

（站点 A，主站点。）配置访问控制规则，以允许访问站点 B 上的受保护网络。

1. 依次点击策略 > 访问控制。

2. 点击 + 创建新规则。

3. 配置规则的以下属性：

   • 顺序 - 在策略中选择一个位置，此位置应位于可能会匹配并阻止这些连接的任何其他规则之前。默认情况下，会将该规则添加到策略的末尾。如果稍后需要重新调整规则的位置，可以编辑此选项，也可以直接将规则拖放到表格中相应的位置。

   • 名称 - 输入一个有意义且不含空格的名称。例如，Site-B-Network。

   • 操作 - 允许。如果不希望对此流量执行协议违规检测或入侵检测，可以选择“信任”。

   • 源/目标选项卡 - 对于目标 > 网络，请选择您在 VPN 连接配置文件中用于远程网络的同一对象。对于所有其他“源”和“目标”选项，请保留默认值“任何”。

     
     

     

     
     

   • 应用、URL 和用户选项卡 - 保留这些选项卡的默认设置，即不做任何选择。

   • 入侵、文件选项卡 -（可选）您可以选择入侵或文件策略，以进行威胁或恶意软件检测。

   • 日志记录选项卡 -（可选）您可以选择启用连接日志记录。

4. 点击确定 (OK)。

步骤 4

（站点 A，主站点。）确认您的更改。

1. 点击网页右上角的部署更改图标。

   

2. 点击立即部署按钮。

   您可以等待部署完成，也可以点击确定，稍后再检查任务列表或部署历史记录。如果保持窗口打开，那么成功部署后，窗口中将指示没有待处理的更改。

步骤 5

（站点 B，远程站点。）登录到远程站点设备，并配置到站点 A 的站点间 VPN 连接。

1. 点击设备，然后点击站点间 VPN 组中的查看配置。

2. 点击 + 添加新连接。

3. 按如下所述定义终端，然后点击下一步：

   • 连接配置文件名称 - 为连接指定一个有意义的名称，例如，Site-B-to-Site-A。

   • 本地 VPN 接入接口 - 选择外部接口。

   • 本地网络 - 点击 +，然后选择定义本地受保护网络的网络对象。在本示例中，此对象为 192.168.2.0/24。可以点击创建新网络立即创建对象。

   • 远程 IP 地址 - 输入主站点的外部接口的 IP 地址。在本示例中，此地址为 198.51.100.1。

   • 远程网络 - 保留默认值“任何”。请忽略警告；此警告与本使用案例无关。

   下图展示了第一步操作对应的界面。

   
   

   

   
   

4. 定义隐私配置，然后点击下一步。

   • IKE 策略 - IKE 设置对发夹方法没有影响。配置与 VPN 连接的站点 A 端相同或兼容的选项。必须正确配置预共享密钥：按照站点 A 设备上的配置交换本地和远程密钥（适用于 IKEv2）。对于 IKEv1，只有一个密钥，此密钥在两个对等体上必须相同。

   • NAT 豁免 - 选择内部接口。

     
     

     

     
     

   • 完美前向保密的 Diffie-Hellman 组 - 此设置对发夹方法没有影响。匹配 VPN 连接的站点 A 端使用的设置。

5. 点击完成。

步骤 6

（站点 B，远程站点。）删除受保护网络的所有 NAT 规则，以便离开此站点的所有流量都必须流经 VPN 隧道。

1. 依次点击策略 > NAT。

2. 执行以下操作之一：

   • 要删除规则，请将鼠标指针悬停在“操作”列上，然后点击删除图标 ()。

   • 要编辑规则，使其不再应用于受保护的网络，请将鼠标指针悬停在“操作”列上，然后点击编辑图标 ()。

步骤 7

（站点 B，远程站点。）配置访问控制规则，以允许从受保护网络访问互联网。

1. 依次点击策略 > 访问控制。

2. 点击 + 创建新规则。

3. 配置规则的以下属性：

   • 顺序 - 在策略中选择一个位置，此位置应位于可能会匹配并阻止这些连接的任何其他规则之前。默认情况下，会将该规则添加到策略的末尾。如果稍后需要重新调整规则的位置，可以编辑此选项，也可以直接将规则拖放到表格中相应的位置。

   • 名称 - 输入一个有意义且不含空格的名称。例如，Protected-Network-to-Any。

   • 操作 - 允许。如果不希望对此流量执行协议违规检测或入侵检测，可以选择“信任”。

   • 源/目标选项卡 - 对于源 > 网络，请选择在 VPN 连接配置文件中用于本地网络的同一对象。对于所有其他“源”和“目标”选项，请保留默认值“任何”。

     
     

     

     
     

   • 应用、URL 和用户选项卡 - 保留这些选项卡的默认设置，即不做任何选择。

   • 入侵、文件选项卡 -（可选）您可以选择入侵或文件策略，以进行威胁或恶意软件检测。

   • 日志记录选项卡 -（可选）您可以选择启用连接日志记录。

4. 点击确定 (OK)。

步骤 8

（站点 B，远程站点。）确认您的更改。

1. 点击网页右上角的部署更改图标。

   

2. 点击立即部署按钮，并等待部署完成。

   您可以等待部署完成，也可以点击确定，稍后再检查任务列表或部署历史记录。如果保持窗口打开，那么成功部署后，窗口中将指示没有待处理的更改。

步骤 1

配置从全局虚拟路由器到 VR1 的路由泄漏。

1. 依次选择设备 > 路由 > 查看配置。

2. 点击全局虚拟路由器的查看图标 ()。

3. 在全局路由器的静态路由选项卡上，点击 + 并配置路由：

   • 名称 - 可以使用任何名称，例如 s2svpn-leak-vr1。

   • 接口 - 选择 vr1-inside。

   • 协议 - 选择 IPv4。

   • 网络 - 选择定义 192.168.1.0/24 网络的对象。如有需要，请点击创建新网络立即创建对象。

     
     

     

     
     

   • 网关 - 将此项目留空。将路由泄漏到另一个虚拟路由器时，您不必选择网关地址。

   对话框应如下所示：

   
   

   

   
   

4. 点击确定。

步骤 2

配置从 VR1 到全局虚拟路由器的路由泄漏。

1. 从虚拟路由器下拉列表中选择 VR1 ，以切换至 VR1 配置。

2. 在 VR1 虚拟路由器的静态路由选项卡上，点击 + 并配置路由：

   • 名称 - 可以使用任何名称，例如 s2svpn-traffic。

   • 接口 - 选择 outside。

   • 协议 - 选择 IPv4。

   • 网络 - 选择为远程终端的受保护网络创建的对象，例如 external-vpn-network。

   • 网关 - 将此项目留空。将路由泄漏到另一个虚拟路由器时，您不必选择网关地址。

   对话框应如下所示：

   
   

   

   
   

3. 点击确定。

步骤 3

将 192.168.1.0/24 网络添加到站点间 VPN 连接配置文件中。

1. 依次选择设备 > 站点间 VPN > 查看配置。

2. 点击连接配置文件的编辑图标 ()。

3. 在向导的第一页上，点击本地网络下的 +，然后为 192.168.1.0/24 网络添加对象。

   
   

   

   
   

4. 完成向导。