Juniper防火墻的建立IPsec VPN
責編：admin ｜2015-01-23 15:19:38Juniper的防火墻基本都集成了VPN功能，VPN功能是企業網絡非常常用的功能，建立VPN后可以確保數據傳輸的安全性。這里就介紹一下Juniper防火墻配置兩端都是固定IP的IPsec VPN的步驟，關于IPsec VPN的介紹可以參考。
在左側的菜單欄下VPN菜單可以看到配置VPN需要用到的一些配置元素
1、建立VPN網關
首先需要在 VPNs > AutoKey Advanced > Gateway 下新建一個VPN網關，如下圖所示，
這個界面下我已經建立了多個VPN網關，這臺Juniper防火墻是放在上海的辦公室的，需要和北京的辦公室建立一個IPsec VPN。其中“Peer Type”表示VPN的類型，Dialup是撥號VPN，Dynamic是一端是動態地址的VPN，static是兩端都是固定IP的VPN。
Gateway name 起個容易記得住的名稱，因為如果VPN多了就分部清是到哪里的VPN網關了
Remote gateway 填遠端防火墻的外網IP地址
Dynamic IP Address 如果對端是adsl撥號這樣的動態IP，需要填寫遠端的Peer ID，該 Peer ID需要在遠端預設，名稱的自己隨便起，只要網關的 Peer ID和遠端的Local ID一樣就可以了，關于local id的設置在下面介紹。
點擊advanced進入高級設置：
Preshared Key 這是預設共享密鑰，非常重要，VPN建立時驗證使用的，兩端要保持一致
local ID 這是用在有一端是動態IP，也就是給動態IP的一端起個名字，這樣IP地址變了可以根據local ID來識別動態IP端得防火墻設備。要與遠端防火墻的peer id保持一致。
Outgoing Interface 這是指定出口的接口，一半來說是Untrust接口，截圖是在編輯模式，因此不能修改，在新建模式是可以選擇接口的。
Security Level 安全等級可以自定義，前提是兩邊防火墻選擇的加密方式要一致，我這邊圖省事，使用的是默認設置。
Mode (Initiator) 連接模式我這邊選擇的是 Aggressive （野蠻模式），這個模式建立VPN連接的速度比較快。
接下來的參數全部選擇默認就可以了。
2、建立autokey IKE
建立好gateway之后，接下來就可以在VPNs > AutoKey IKE 下建立一個AutoKey IKE
VPN Name 隨便起，自己分的清就行了
Remote Gateway 選擇前面設置的vpn網關名稱
接下來進入高級設置
高級設置也沒什么高級的，只要選擇一下Security Level 二次驗證的加密方式就行了。
3、建立VPN Policy
接下來就需要設置一條策略允許VPN建立連接訪問
在policy界面下選擇從Untrust 到 Trust建立一條心策略
Source Address 源地址為遠端內網網段
Destination Address 目的地址為本地網段
Action 選擇 Tunnel，也就是走VPN隧道
Tunnel 選擇你建立的IKE
Modify matching bidirectional VPN policy 打上鉤，就是同時建立一條反向策略，允許VPN兩端互訪。
4、建立發起IPsec VPN連接及查看狀態
這樣IPsec VPN的一端已經設置好了，再在對端做相同的設置。
VPN的建立需要有數據通信才會建立，如果兩邊都是固定IP，ping一下對端的內網網關，如果一端是動態IP的話就必須從動態IP端發起連接才能順利建立IPsec VPN的連接。沒設置錯的話一條IPsec VPN就建立起來了。
在 VPNs > Monitor Status 界面下可以看到VPN的狀態
