思科ASA5505对接华为USG防火墙IPsec单向通信

Question

总部是华为USG防火墙，分支机构原来是飞塔防火墙，之前配置的IPsecVPN都是双向互通的，现在分支机构换成了思科ASA5505，配置完5505之后，只能5505访问华为的内网设备，华为不能访问思科的内网设备，只有单向通信，请问需要排查哪里的配置

Answer 1

以下回复参考：皆我百晓生、券券喵儿等免费微信小程序作答:

在网络安全领域，IPsec VPN技术被广泛应用于构建跨地域、高安全性的网络通信隧道。当华为USG防火墙与思科ASA5505防火墙进行IPsec单向通信对接时，需要综合排查和配置确保两端能够顺利通信。以下是详细的排查和配置步骤：

1. 基础配置核查

   • 接口配置：检查两端防火墙的内外网口配置，包括IP地址、子网掩码以及是否激活。
   • 路由配置：确认双方防火墙是否正确配置了指向对方内网的路由。
   • 安全区域：核实华为USG防火墙的安全区域划分及相应的安全策略控制是否适当设置。

2. IKE配置核查

   • IKE策略：比对两端防火墙的IKE策略，包括加密算法、认证算法、DH组和认证方法是否匹配。
   • IKE Peer配置：在华为USG防火墙上配置IKE Peer，并在思科ASA上指定预共享密钥和对端地址。

3. IPSec配置核查

   • 安全提议：核对ESP协议采用的加密算法和认证算法是否一致。
   • IPSec策略或模板：验证是否已正确引用感兴趣流（ACL）、IKE Peer和IPSec安全提议。
   • 策略应用：确认IPSec策略是否已经应用于建立隧道的接口上，且是否启用。

4. NAT穿越配置

   • NAT问题：如果存在NAT设备，需确保NAT穿越配置正确，以便IKE协商能够穿透NAT设备。

5. 高级配置核查

   • DPD配置：检查是否配置了Dead Peer Detection以增强连接的稳定性。
   • 时间同步：确认两端设备的时间同步是否准确，因为IKE安全关联对时间敏感。

6. 网络连通性和监控

   • 连通性测试：使用ping命令或其他网络测试工具检查两端内网之间的连通性。
   • 监控日志：查看防火墙日志，监控IKE协商和IPSec隧道建立的状态。
   • 安全关联状态：利用show crypto isakmp sa、show crypto ipsec sa等命令在思科设备上检查安全关联状态，或在华为设备上使用类似display ipsec sa、display ike sa等命令查看协商和连接详情。

此外，在进行上述核查的同时，还需注意以下可能的配置误区或容易忽视的细节：

• 确认两端防火墙的安全级别设置是否恰当，避免由于安全级别不匹配导致的访问控制问题。
• 检查是否存在任何中间设备（如NAT路由器或交换机）的潜在策略阻断VPN流量的情况。
• 对于思科ASA5505来说，需要特别注意其不支持基于虚拟隧道接口方式的IPSec配置，这可能会限制某些特定的配置方案。
• 确保所有涉及的配置文件都已保存并正确加载，尤其是在设备重启后。

综上所述，应能较为全面地排查出导致单向通信的问题所在，并据此调整配置，最终实现华为USG防火墙与思科ASA5505防火墙之间IPsec VPN的双向通信。