2014年6月 Linux/Unix社区大版内专家分月排行榜第二2014年1月 Linux/Unix社区大版内专家分月排行榜第二2013年11月 Linux/Unix社区大版内专家分月排行榜第二2010年6月 Windows专区大版内专家分月排行榜第二2010年4月 Windows专区大版内专家分月排行榜第二2010年3月 Windows专区大版内专家分月排行榜第二2009年12月 Windows专区大版内专家分月排行榜第二2009年11月 Windows专区大版内专家分月排行榜第二2008年7月 Windows专区大版内专家分月排行榜第二2008年1月 Windows专区大版内专家分月排行榜第二2007年12月 Windows专区大版内专家分月排行榜第二2007年11月 Windows专区大版内专家分月排行榜第二2007年10月 Windows专区大版内专家分月排行榜第二2007年6月 Windows专区大版内专家分月排行榜第二
2014年7月 Linux/Unix社区大版内专家分月排行榜第三2014年4月 Linux/Unix社区大版内专家分月排行榜第三2013年1月 Linux/Unix社区大版内专家分月排行榜第三2010年5月 Windows专区大版内专家分月排行榜第三2009年9月 Windows专区大版内专家分月排行榜第三2009年8月 Windows专区大版内专家分月排行榜第三2008年8月 Windows专区大版内专家分月排行榜第三2008年6月 Windows专区大版内专家分月排行榜第三2007年9月 Windows专区大版内专家分月排行榜第三2007年7月 Windows专区大版内专家分月排行榜第三2007年4月 Windows专区大版内专家分月排行榜第三
2014年6月 Linux/Unix社区大版内专家分月排行榜第二2014年1月 Linux/Unix社区大版内专家分月排行榜第二2013年11月 Linux/Unix社区大版内专家分月排行榜第二2010年6月 Windows专区大版内专家分月排行榜第二2010年4月 Windows专区大版内专家分月排行榜第二2010年3月 Windows专区大版内专家分月排行榜第二2009年12月 Windows专区大版内专家分月排行榜第二2009年11月 Windows专区大版内专家分月排行榜第二2008年7月 Windows专区大版内专家分月排行榜第二2008年1月 Windows专区大版内专家分月排行榜第二2007年12月 Windows专区大版内专家分月排行榜第二2007年11月 Windows专区大版内专家分月排行榜第二2007年10月 Windows专区大版内专家分月排行榜第二2007年6月 Windows专区大版内专家分月排行榜第二
2014年7月 Linux/Unix社区大版内专家分月排行榜第三2014年4月 Linux/Unix社区大版内专家分月排行榜第三2013年1月 Linux/Unix社区大版内专家分月排行榜第三2010年5月 Windows专区大版内专家分月排行榜第三2009年9月 Windows专区大版内专家分月排行榜第三2009年8月 Windows专区大版内专家分月排行榜第三2008年8月 Windows专区大版内专家分月排行榜第三2008年6月 Windows专区大版内专家分月排行榜第三2007年9月 Windows专区大版内专家分月排行榜第三2007年7月 Windows专区大版内专家分月排行榜第三2007年4月 Windows专区大版内专家分月排行榜第三
2010年8月 硬件使用大版内专家分月排行榜第二
2010年7月 Windows专区大版内专家分月排行榜第三2009年1月 Windows专区大版内专家分月排行榜第三2008年12月 Windows专区大版内专家分月排行榜第三2006年8月 扩充话题大版内专家分月排行榜第三
2008年7月 Windows专区大版内专家分月排行榜第三2008年6月 专题开发/技术/项目大版内专家分月排行榜第三
本帖子已过去太久远了，不再提供回复功能。查看:4717|回复：15
中级工程师
小弟最近遇到 一个问题，公司有两个地方要做VPN 都是JUNIPER的设备，A点是无固定IP的，B点是有固定IP的
我根据官网上的资料
做了一个LAN to LAN的VPN拓扑图如下
(47.48 KB)
由于左边是借用华为EGW2160的3G网络来实现上网的，因为对华为的不熟悉，所以在EGW2160后接了一个juniper ssg5的设备来做VPN的。
现在是状态如下图，但是不能ping 通的。
(28.19 KB)
下图是XAuth服务器端的日志
(86.26 KB)
下面是有固定IP地址的配置文件
unset key protection enable
set clock timezone 0
set vrouter trust-vr sharable
set vrouter &untrust-vr&
set vrouter &trust-vr&
unset auto-route-export
set service &kwtencrption(20080)& protocol tcp src-port
set service &kwtencrption(20080)& + udp src-port
set service &kwtencryption(20081)& protocol tcp src-port
set service &kwtencryption(20081)& + udp src-port
set alg appleichat enable
unset alg appleichat re-assembly enable
set alg sctp enable
set auth-server &Local& id 0
set auth-server &Local& server-name &Local&
set auth-server &Micorosoft IAS& id 1
set auth-server &Micorosoft IAS& server-name &192.168.6.23&
set auth-server &Micorosoft IAS& account-type auth l2tp
set auth-server &Micorosoft IAS& radius secret &DTe/a1wIN9JAy+sfMzCHjWcuUynki5NeHw==&
set auth default auth server &Local&
set auth radius accounting port 1646
set admin auth web timeout 10
set admin auth server &Local&
set admin format dos
set zone &Trust& vrouter &trust-vr&
set zone &Untrust& vrouter &trust-vr&
set zone &DMZ& vrouter &trust-vr&
set zone &VLAN& vrouter &trust-vr&
set zone &Untrust-Tun& vrouter &trust-vr&
set zone &Trust& tcp-rst
set zone &Untrust& block
unset zone &Untrust& tcp-rst
set zone &MGT& block
unset zone &V1-Trust& tcp-rst
unset zone &V1-Untrust& tcp-rst
set zone &DMZ& tcp-rst
unset zone &V1-DMZ& tcp-rst
unset zone &VLAN& tcp-rst
set zone &Untrust& screen tear-drop
set zone &Untrust& screen syn-flood
set zone &Untrust& screen ping-death
set zone &Untrust& screen ip-filter-src
set zone &Untrust& screen land
set zone &V1-Untrust& screen tear-drop
set zone &V1-Untrust& screen syn-flood
set zone &V1-Untrust& screen ping-death
set zone &V1-Untrust& screen ip-filter-src
set zone &V1-Untrust& screen land
set interface &ethernet0/0& zone &Trust&
set interface &ethernet0/1& zone &DMZ&
set interface &ethernet0/2& zone &Untrust&
set interface &tunnel.1& zone &Untrust&
set interface ethernet0/0 ip 192.168.6.1/23
set interface ethernet0/0 nat
unset interface vlan1 ip
set interface ethernet0/2 ip 218.4.200.70/30
set interface ethernet0/2 route
set interface tunnel.1 ip unnumbered interface ethernet0/2
unset interface vlan1 bypass-others-ipsec
unset interface vlan1 bypass-non-ip
set interface ethernet0/0 ip manageable
set interface ethernet0/2 ip manageable
set interface ethernet0/2 manage ping
set interface ethernet0/2 manage telnet
set interface ethernet0/2 manage web
set interface ethernet0/2 vip interface-ip 20081 &kwtencryption(20081)& 192.168.6.18
set interface ethernet0/2 vip interface-ip 20080 &kwtencrption(20080)& 192.168.6.18
set interface ethernet0/2 vip interface-ip 80 &HTTP& 192.168.6.18
set interface ethernet0/0 dhcp server service
set interface ethernet0/0 dhcp server enable
set interface ethernet0/0 dhcp server option lease 480
set interface ethernet0/0 dhcp server option gateway 192.168.6.1
set interface ethernet0/0 dhcp server option netmask 255.255.254.0
set interface ethernet0/0 dhcp server option dns1 192.168.6.11
set interface ethernet0/0 dhcp server option dns2 61.177.7.1
set interface ethernet0/0 dhcp server option smtp 221.224.93.190
set interface ethernet0/0 dhcp server option pop3 221.224.93.190
set interface ethernet0/0 dhcp server ip 192.168.7.1 to 192.168.7.254
unset interface ethernet0/0 dhcp server config next-server-ip
unset flow no-tcp-seq-check
set flow tcp-syn-check
unset flow tcp-syn-bit-check
set flow reverse-route clear-text prefer
set flow reverse-route tunnel always
set pki authority default scep mode &auto&
set pki x509 default cert-path partial
set dns host dns1 61.177.7.1
set dns host dns2 0.0.0.0
set dns host dns3 0.0.0.0
set address &Trust& &KWT_officeIP& 192.168.6.0 255.255.254.0
set address &Untrust& &Czech _office IP& 192.168.18.1 255.255.255.0
set address &Untrust& &SKE_officeIP& 192.168.0.0 255.255.254.0
set ippool &L2tp_pool& 10.35.129.100 10.35.129.150
set user &XAuth& uid 3
set user &XAuth& type xauth
set user &XAuth& password &pAqDsHGDNWh4+ys1tOCGM4qdm3npmZzu5A==&
unset user &XAuth& type auth
set user &XAuth& &enable&
set user &kwtinczech& uid 1
set user &kwtinczech& type l2tp
set user &kwtinczech& remote ippool &L2tp_pool&
set user &kwtinczech& password &RxLi0qVaNQj5XjsaaNCR6BCk+Fn3kotRMg==&
unset user &kwtinczech& type auth
set user &kwtinczech& &enable&
set user-group &KWT& id 1
set user-group &KWT& location external
set user-group &KWT& type auth l2tp
set user-group &KWT_L2TP& id 3
set user-group &KWT_L2TP& user &kwtinczech&
set crypto-policy
set ike gateway &to_ske gateway& address 58.210.31.18 Aggr outgoing-interface &ethernet0/2& preshare &2RfiXsg7Nur/Fqs6+RCGrcP3u4n95NfCIg==& sec-level compatible
set ike gateway &XAuth GW& address 0.0.0.0 id &chenjf2012.ddns.net& Aggr outgoing-interface &ethernet0/2& preshare &Ikn+OsFHNYZtaxsJ2tCEAwlMCbnKjkHCow==& proposal &pre-g2-3des-sha&
unset ike gateway &XAuth GW& nat-traversal
set ike gateway &XAuth GW& xauth server &Local& user &XAuth&
unset ike gateway &XAuth GW& xauth do-edipi-auth
set ike respond-bad-spi 1
set ike ikev2 ike-sa-soft-lifetime 60
unset ike ikeid-enumeration
unset ike dos-protection
unset ipsec access-session enable
set ipsec access-session maximum 5000
set ipsec access-session upper-threshold 0
set ipsec access-session lower-threshold 0
set ipsec access-session dead-p2-sa-timeout 0
unset ipsec access-session log-error
unset ipsec access-session info-exch-connected
unset ipsec access-session use-error-log
set xauth default dns1 192.168.6.11
set vpn &to_ske& gateway &to_ske gateway& no-replay tunnel idletime 0 proposal &nopfs-esp-des-md5&
set vpn &to_ske& monitor
set vpn &XAuth vpn& gateway &XAuth GW& no-replay tunnel idletime 0 proposal &g2-esp-3des-sha&
set vpn &XAuth vpn& monitor optimized rekey
set vrouter &untrust-vr&
set vrouter &trust-vr&
set l2tp default dns1 192.168.6.11
set l2tp default dns2 61.177.7.1
set l2tp default ippool &L2tp_pool&
set l2tp default ppp-auth chap
set l2tp &KWT_L2TP_Tunnel& id 1 outgoing-interface ethernet0/2 keepalive 60
set l2tp &KWT_L2TP_Tunnel& remote-setting ippool &L2tp_pool& dns1 192.168.6.11 dns2 61.177.7.1
set l2tp &KWT_L2TP_Tunnel& auth server &Local& user-group &KWT_L2TP&
set url protocol websense
set policy id 7 from &Untrust& to &Trust&&&&Czech _office IP& &KWT_officeIP& &ANY& tunnel vpn &XAuth vpn& id 0xb pair-policy 6 log
set policy id 7
set log session-init
set policy id 6 from &Trust& to &Untrust&&&&KWT_officeIP& &Czech _office IP& &ANY& tunnel vpn &XAuth vpn& id 0xb pair-policy 7 log
set policy id 6
set log session-init
set policy id 3 from &Untrust& to &Trust&&&&SKE_officeIP& &KWT_officeIP& &ANY& tunnel vpn &to_ske& id 0x2 pair-policy 2 log
set policy id 3
set log session-init
set policy id 5 from &Untrust& to &Trust&&&&Any& &VIP(ethernet0/2)& &ANY& permit log
set policy id 5
set log session-init
set policy id 2 from &Trust& to &Untrust&&&&KWT_officeIP& &SKE_officeIP& &ANY& tunnel vpn &to_ske& id 0x2 pair-policy 3 log
set policy id 2
set log session-init
set policy id 1 from &Trust& to &Untrust&&&&KWT_officeIP& &Any& &ANY& permit log
set policy id 1
set log session-init
set nsmgmt bulkcli reboot-timeout 60
set ssh version v2
set config lock timeout 5
unset license-key auto-update
set telnet client enable
set snmp port listen 161
set snmp port trap 162
set vrouter &untrust-vr&
set vrouter &trust-vr&
unset add-default-route
set route 0.0.0.0/0 interface ethernet0/2 gateway 218.4.200.69
set route 0.0.0.0/0 interface ethernet0/2
set vrouter &untrust-vr&
set vrouter &trust-vr&
下面是无固定IP端的日志
(220.55 KB)
下面是无固定端的配置文件
unset key protection enable
set clock timezone 7
set clock dst recurring start-weekday 2 0 3 02:00 end-weekday 1 0 11 02:00
set vrouter trust-vr sharable
set vrouter &untrust-vr&
set vrouter &trust-vr&
unset auto-route-export
set alg appleichat enable
unset alg appleichat re-assembly enable
set alg sctp enable
set auth-server &Local& id 0
set auth-server &Local& server-name &Local&
set auth default auth server &Local&
set auth radius accounting port 1646
set admin auth web timeout 10
set admin auth dial-in timeout 3
set admin auth server &Local&
set admin format dos
set zone &Trust& vrouter &trust-vr&
set zone &Untrust& vrouter &trust-vr&
set zone &DMZ& vrouter &trust-vr&
set zone &VLAN& vrouter &trust-vr&
set zone &Untrust-Tun& vrouter &trust-vr&
set zone &Trust& tcp-rst
set zone &Untrust& block
unset zone &Untrust& tcp-rst
set zone &MGT& block
unset zone &V1-Trust& tcp-rst
unset zone &V1-Untrust& tcp-rst
set zone &DMZ& tcp-rst
unset zone &V1-DMZ& tcp-rst
unset zone &VLAN& tcp-rst
set zone &Untrust& screen tear-drop
set zone &Untrust& screen syn-flood
set zone &Untrust& screen ping-death
set zone &Untrust& screen ip-filter-src
set zone &Untrust& screen land
set zone &V1-Untrust& screen tear-drop
set zone &V1-Untrust& screen syn-flood
set zone &V1-Untrust& screen ping-death
set zone &V1-Untrust& screen ip-filter-src
set zone &V1-Untrust& screen land
set interface &ethernet0/0& zone &Untrust&
set interface &ethernet0/1& zone &Null&
set interface &bgroup0& zone &Trust&
set interface &tunnel.1& zone &Untrust&
set interface bgroup0 port ethernet0/1
set interface bgroup0 port ethernet0/2
set interface bgroup0 port ethernet0/3
set interface bgroup0 port ethernet0/4
set interface bgroup0 port ethernet0/5
set interface bgroup0 port ethernet0/6
unset interface vlan1 ip
set interface ethernet0/0 ip 192.168.16.150/24
set interface ethernet0/0 route
set interface bgroup0 ip 192.168.18.1/24
set interface bgroup0 nat
set interface tunnel.1 ip unnumbered interface ethernet0/0
unset interface vlan1 bypass-others-ipsec
unset interface vlan1 bypass-non-ip
set interface ethernet0/0 ip manageable
set interface bgroup0 ip manageable
set interface ethernet0/0 manage ping
set interface ethernet0/0 manage ssh
set interface ethernet0/0 manage telnet
set interface ethernet0/0 manage ssl
set interface ethernet0/0 manage web
set interface ethernet0/0 dhcp client enable
set interface bgroup0 dhcp server service
set interface bgroup0 dhcp server auto
set interface bgroup0 dhcp server option gateway 192.168.18.1
set interface bgroup0 dhcp server option netmask 255.255.255.0
set interface bgroup0 dhcp server option dns1 192.168.16.1
set interface bgroup0 dhcp server ip 192.168.18.100 to 192.168.18.200
unset interface bgroup0 dhcp server config next-server-ip
set interface &serial0/0& modem settings &USR& init &AT&F&
set interface &serial0/0& modem settings &USR& active
set interface &serial0/0& modem speed 115200
set interface &serial0/0& modem retry 3
set interface &serial0/0& modem interval 10
set interface &serial0/0& modem idle-time 10
set flow tcp-mss
unset flow no-tcp-seq-check
set flow tcp-syn-check
unset flow tcp-syn-bit-check
set flow reverse-route clear-text prefer
set flow reverse-route tunnel always
set domain chenjf2012.ddns.net
set hostname chenjf2012.ddns.net
set pki authority default scep mode &auto&
set pki x509 default cert-path partial
set dns host dns1 192.168.16.1 src-interface ethernet0/0
set dns host dns2 0.0.0.0
set dns host dns3 0.0.0.0
set dns ddns
set dns ddns id 1 server &dynupdate.&server-type dyndns clear-text
set dns ddns id 1 username chenjf2012 password +qkcxMSwNXZA9Zslr+Cz9GO0iznGHjB1PQ==
set dns ddns id 1 src-interface ethernet0/0 host-name chenjf2012.ddns.net
set dns ddns enable
set address &Trust& &skoda_officeIP& 192.168.18.0 255.255.255.0
set address &Untrust& &kwt_officeIP& 192.168.6.0 255.255.254.0
set crypto-policy
set ike gateway &XAuth GW czech& address 218.4.200.70 Aggr local-id &chenjf2012.ddns.net& outgoing-interface &ethernet0/0& preshare &Vdq0GzB4NOZ5WasLGeCebTIrdBn6jvqCTw==& proposal &pre-g2-3des-sha&
set ike gateway &XAuth GW czech& xauth client any username XAuth password netscreen
unset ike gateway &XAuth GW czech& modecfg client action update-dhcpserver
set ike respond-bad-spi 1
set ike ikev2 ike-sa-soft-lifetime 60
unset ike ikeid-enumeration
unset ike dos-protection
unset ipsec access-session enable
set ipsec access-session maximum 5000
set ipsec access-session upper-threshold 0
set ipsec access-session lower-threshold 0
set ipsec access-session dead-p2-sa-timeout 0
unset ipsec access-session log-error
unset ipsec access-session info-exch-connected
unset ipsec access-session use-error-log
set vpn &XAuth vpn czech& gateway &XAuth GW czech& no-replay tunnel idletime 0 proposal &g2-esp-3des-sha&
set vpn &XAuth vpn czech& monitor optimized rekey
unset interface tunnel.1 acvpn-dynamic-routing
set url protocol websense
set policy id 3 from &Untrust& to &Trust&&&&kwt_officeIP& &skoda_officeIP& &ANY& tunnel vpn &XAuth vpn czech& id 0x6 pair-policy 2 log
set policy id 3
set log session-init
set policy id 2 from &Trust& to &Untrust&&&&skoda_officeIP& &kwt_officeIP& &ANY& tunnel vpn &XAuth vpn czech& id 0x6 pair-policy 3 log
set policy id 2
set log session-init
set policy id 1 from &Trust& to &Untrust&&&&Any& &Any& &ANY& permit
set policy id 1
set nsmgmt bulkcli reboot-timeout 60
set ssh version v2
set config lock timeout 5
unset license-key auto-update
set telnet client enable
set snmp port listen 161
set snmp port trap 162
set snmpv3 local-engine id &1092&
set vrouter &untrust-vr&
set vrouter &trust-vr&
unset add-default-route
set route 0.0.0.0/0 interface ethernet0/0 gateway 192.168.16.1
set vrouter &untrust-vr&
set vrouter &trust-vr&
上面的IP都是真实的哦，请各位手下留情
请各位帮我看看，我找了很多资料都没有搞好。
本帖最后由 siwei2002 于
16:25 编辑
中级工程师
我记得群里有几个高手的哇，帮忙一下了
这个好像以前看到过但是方法忘了等高手回答楼主
中级工程师
唉，我都被这个搞了要疯了
提示: 作者被禁止或删除 内容自动屏蔽
优秀技术经理
我配置过，很简单的。
你策略里面做过相关设置吗？
中级工程师
引用:原帖由 xzjfl 于
08:15 发表
我配置过，很简单的。
你策略里面做过相关设置吗？ 策略已经做了，我不知道你说的是哪些设置
优秀技术经理
引用:原帖由 siwei2002 于
15:06 发表
策略已经做了，我不知道你说的是哪些设置 我记得无固定IP的一端，要勾选一个强制模式（好像是这个意思），时间太久，不记得了。
中级工程师
引用:原帖由 xzjfl 于
16:25 发表
我记得无固定IP的一端，要勾选一个强制模式（好像是这个意思），时间太久，不记得了。 已经选择强制模式了
优秀技术经理
你把Policy的里面的策略截屏发出来看一下。
你做两个内网互相允许的策略的时候，选择VPN通道了嘛？
在两端都需要做，注意信任和不信任区域的选择。
中级工程师
引用:原帖由 xzjfl 于
08:49 发表
你把Policy的里面的策略截屏发出来看一下。
你做两个内网互相允许的策略的时候，选择VPN通道了嘛？
在两端都需要做，注意信任和不信任区域的选择。 ... policy是做了，这个肯定是没有问题的
优秀技术经理
那你固定IP端的设备VPN设置的时候，IP地址写的是什么？
中级工程师
引用:原帖由 xzjfl 于
18:12 发表
那你固定IP端的设备VPN设置的时候，IP地址写的是什么？ 在固定IP端做VPN时，对端的设备是作的DDNS域名
优秀技术经理
你不要用DDNS，用对端当前的IP试一下。
这个动态IP应该会自动切换的。
我当时做VPN的时候，应该没有用DDNS。
中级工程师
这个问题现在是找到问题所在了，是因为流量卡里是不能跑VPN的，被运营商给屏了，所以VPN怎么折腾是通不了的，实际我的做法配置是正确的，当我在无固定IP端，在WAN口修改为一个合法的公网IP，两秒钟VPN就通了。就DDNS方式做VPN他也是通的。
引用:原帖由 siwei2002 于
13:08 发表
小弟最近遇到 一个问题，公司有两个地方要做VPN 都是JUNIPER的设备，A点是无固定IP的，B点是有固定IP的
我根据官网上的资料
http://kb.juniper.net/InfoCenter/index?page=content&id=KB6699&actp=search&viewlocale=en_US ... ssg5 和ssg140 上，在phaseI 环节要把nat-t勾选上，电信、联通的网络应该没有屏蔽vpn端口，移动好像有问题。vmware set share disk_百度文库
两大类热门资源免费畅读
续费一年阅读会员，立省24元！
vmware set share disk
上传于|0|0|暂无简介
你可能喜欢}