一、组网需求
如下图所示，NGWF与EG或RSR路由器建立ipsec vpn,让NGFW的内网网段192.168.1.0/24与路由器的内网网段192.168.2.0/24能互相通信。
各参数配置如下，两端需一致：
模式：主模式；
认证方式：预共享密钥，密钥为ruijie
IKE算法：3DES-MD5，DH2
IPSec协商交互方案：esp(3des-md5)
完美向前：group1
二、网络拓扑
三、配置要点
1、配置NGFW
a、基本上网配置（详细请参见”路由模式上网配置章节“）
b、配置IKE协商策略
c、配置IPSEC协商策略
d、配置地址对象
e、配置IPSec安全策略
只需要配置本端内网网段访问对端内网网段走IPSec VPN通道，因为IPsec策略会去把对方数据包的源地址与自己IPSec策略的目的地址去匹配，只要匹配上就可以放行。安全策略配置完后务必在全局下勾选启用，建议将ipsec的安全策略移动至第一条，避免优先匹配了其他策略。
f、保存配置
2、配置路由器
以下只给出相关配置命令。
a、配置接口地址、感兴趣流ACL（即需要走VPN的数据流量）、路由
b、配置IKE协商策略
c、配置IPSEC协商策略
d、在接口应用加密映射
3、VPN建立失败基本排查思路：
a、第一阶段建立失败：
检查VPN的两台设备之前的连通性是否可达，两台设备互ping看是否连通，若不通，先检查网络连通性。
检查IKE协商配置：IKE策略是否一致（加密算法和认证算法）、预共享密钥是否一致、对端IP地址是否指对、协商模式是否一致；
b、若第一阶段建立成功，第二阶段建立失败：
检查IPSec协商配置：安全策略是否配置正确，是否启用--IPSEC转换集各参数是否一致--两端的感兴趣流是否对称；
c、若还是不能解决，请致电锐捷客服热线4008111000或登录官网的在线客服寻求帮助。
四、操作步骤
1、配置NGFW-A
a、基本上网配置（详细请参见”路由模式上网配置章节“）
b、配置IKE协商策略
进入菜单---VPN---IPSec---自动模式（IKE）---新建IKE协商
配置远程网关名：EG
对端网关：选择静态IP地址
IP地址：填写远程网关IP地址192.168.33.144
模式：选择主模式（两端配置需一致）
认证方式：预共享密钥（两端配置需一致）
预共享密钥：ruijie（两端配置需一致）
路由器对应的命令如下：
crypto isakmp policy 1
encryption 3des
authentication pre-share
hash md5
group 2
crypto isakmp key 0 ruijie address 192.168.33.51 （192.168.33.51为NGFW的公网IP地址）
c、配置IPSEC协商策略
进入菜单---VPN配置---自动模式（IKE）---选择刚才建好的NGFW-B的网关名，点击“新建IPSEC协商”
IPSEC协商的ESP封装、AH封装、完美向前保密等参数两边设置的一致即可。
若AH封装选择为NULL,对应的路由器的命令为：crypto ipsec transform-set myset esp-3des esp-md5-hmac （即ah-md5-hmac不用配置）。
在NAT穿越环境下，AH选择为NULL。
若完美向前保密选择为NULL，对应的路由器的命令“set pfs group1”则无需配置。
d、配置地址对象
进入菜单--资源管理--地址资源--地址节点--新建
名称为”上网网段“，地址节点选择子网：”192.168.1.0/24“，点击向右箭头，将其选中，点击提交。同样的方法添加对端网段。
e、配置安全策略
进入菜单---防火墙---安全策略---安全策略---新建
注意：安全策略配置完后务必在全局下勾选启用，建议将ipsec的安全策略移动至第一条，避免优先匹配了其他策略。
f、保存配置
2、配置EG
a、配置接口地址、感兴趣流ACL（即需要走VPN的数据流量）和匹配NAT的ACL、路由
配置内网口、外网口地址：
interface GigabitEthernet 0/2
ip nat inside
ip address 192.168.2.254 255.255.255.0
interface GigabitEthernet 0/4
ip nat outside
ip address 192.168.33.144 255.255.255.0
配置感兴趣流ACL，即源地址是192.168.2.0/24，目的地址是192.168.1.0/24：
ip access-list extended 120
10 permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255
配置用于匹配NAT的ACL:
ip access-list extended 110
1 deny ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255 ----把需走VPN的流量从匹配NAT ACL里去除，避免VPN的流量也通过NAT转换，导致的不通。
2 permit ip any any
配置路由：
ip route 0.0.0.0 0.0.0.0 GigabitEthernet 0/4 192.168.33.1 ---配置默认路由
b、配置IKE协商策略
crypto isakmp policy 1
encryption 3des ---认证采用3des
authentication pre-share ---采用预共享密钥
hash md5 ---hash算法采用md5
group 2 ---DH算法2
crypto isakmp key 0 ruijie address 192.168.33.51 ---预共享密钥ruijie,对端设备NGFW外网口地址192.168.33.51
c、配置IPSEC协商策略
crypto ipsec transform-set myset ah-md5-hmac esp-3des esp-md5-hmac ---第二阶段ipsec 协商参数，ipsec 变换集名字为myset
crypto map mymap 1 ipsec-isakmp ---配置加密映射，名字为mymap
set peer 192.168.33.51 ---对端设备NGFW外网口地址192.168.33.51
set transform-set myset ----应用之前定义的变换集myset
match address 120 ---匹配感兴趣流量
set pfs group1 ---完美向前选择 group1
d、在外网口口应用加密映射
interface GigabitEthernet 0/4
crypto map mymap ---务必在接口应用加密映射
e、保存配置
ruijie#write
五、验证效果
进入菜单--VPN--IPSec--监控器，可查VPN建立的两个阶段是否成功。
如下图所示：VPN的第一阶段和第二阶段均协商成功。
在EG上查看VPN是否协商成功
sh crypto isakmp sa ---查看第一阶段是否协商成功，QM_IDLE即协商成功的标志 。
show crypto ipsec sa ---查看第二阶段是否协商成功
MC-RJ-1000S#show crypto ipsec sa
Interface: GigabitEthernet 0/4
Crypto map tag:mymap, local addr 192.168.33.144
media mtu 1500
==================================
item type:static, seqno:1, id=32
local ident (addr/mask/prot/port): (192.168.2.0/0.0.0.255/0/0))
remote ident (addr/mask/prot/port): (192.168.1.0/0.0.0.255/0/0)
PERMIT
#pkts encaps: 96, #pkts encrypt: 96, #pkts digest 192
#pkts decaps: 96, #pkts decrypt: 96, #pkts verify 192
#send errors 0, #recv errors 0
Inbound esp sas:
spi:0xa0802bb (168297147)
transform: esp-3des esp-md5-hmac
in use settings={Tunnel,}
crypto map mymap 1
sa timing: remaining key lifetime (sec): (3238)
IV size: 8 bytes
Replay detection support:Y
Inbound ah sas:
spi:0x26bfb87 (40631175)
transform: ah-null ah-md5-hmac
in use settings={Tunnel,}
crypto map mymap 1
sa timing: remaining key lifetime (sec): (3238)
IV size: 0 bytes
Replay detection support:Y
Outbound esp sas:
spi:0x6112535b (1628590939)
transform: esp-3des esp-md5-hmac
in use settings={Tunnel,}
crypto map mymap 1
sa timing: remaining key lifetime (sec): (3238)
IV size: 8 bytes
Replay detection support:Y
NGFW内网PC1的IP地址设置为192.168.1.1，可ping通PC2192168.2.1，且能远程桌面到PC2:
NGFW-B内网的PC2IP地址为192.168.2.1，能ping通PC1。
