思科ASA5505如何和总部华为USG防火墙对接IPsec

Question

总部网段10.10.1.0 12.12.12.0 10.10.10.0，IPsec配置信息为组14 aes256 sha2 256 能否有博主写一个完整的思科配置命令……感激不尽

Answer 1

以下回复参考：皆我百晓生、券券喵儿等免费微信小程序作答:

在思科ASA5505上配置IPsec与华为USG防火墙对接，首先需要了解华为USG防火墙的IPsec配置信息。根据您提供的信息，华为USG防火墙的IPsec配置为组14，使用aes256加密和sha2-256认证。以下是在思科ASA5505上配置IPsec的详细步骤：

1. 配置ISAKMP策略：

crypto isakmp policy 5 authentication pre-share
crypto isakmp policy 5 encryption aes-256
crypto isakmp policy 5 hash sha-256
crypto isakmp policy 5 group 14
!

1. 配置IKE Peer：

crypto isakmp peer usg_peer
   exchange-mode aggressive
   nat-traversal
   pre-shared-key cisco_huawei
   !

1. 配置IPsec转换集：

crypto ipsec transform-set transform_set esp-aes 256 esp-sha-hmac
 mode tunnel

1. 配置IPsec安全关联：

crypto map crypto_map 10 match address acl_ipsec
crypto map crypto_map 10 set peer 总部华为USG防火墙的公网IP地址
crypto map crypto_map 10 set transform-set transform_set
crypto map crypto_map 10 interface 外部接口名称

1. 配置访问控制列表（ACL）以允许IPsec流量：

access-list acl_ipsec extended permit ip 10.10.1.0 255.255.255.0 12.12.12.0 255.255.255.0
access-list acl_ipsec extended permit ip 10.10.10.0 255.255.255.0 12.12.12.0 255.255.255.0

1. 应用访问控制列表到外部接口：

access-group acl_ipsec in interface 外部接口名称

1. 将配置应用到防火墙：

write memory

请将上述命令中的总部华为USG防火墙的公网IP地址、外部接口名称替换为实际的值。完成以上配置后，思科ASA5505应该可以与华为USG防火墙建立IPsec隧道。