系列usg与juniper ns的连接特殊方式netscreen实现gre over ipsec支持动态地址

1、 （ （一）总部端配置一、接口加入 zone，并且放行对应的流USG-erzoneloca erzone-trusttrust- trust-inbound-trust-inbound-eticmpespudp，而且策略必须方向ICMP 与则是后续 如果需要对端可通，则接口必须开启管理，允用。 （Policy 不需要定义 Source，默认为 any，而且策略必须方向ICMP 与则是后续 如果需要对端可通，则接口必须开启管理，允用。 （Policy 不需要定义 Source，默认为 any，也可以规定明细源地址，比如只允许对端但是有时候可能分支是 PPPOEIP 是多少。）地址erzonetr

2、ustuntrustUSG-erzone-trust-untrust-USG-erzone-trust-untrust-outbound- USGike peer 1 2（ 说 明 ， USG 支 持 2 个 版本，与，如果不指定则是以发起，alUSG-ipsec-al-USGaclnumberUSG-acl-adv-3000rulepermitgresource2.2.2.20destination1.1.1.1USGipsecpolicyl2lUSGipsecpolicyl2l10USG-ipsec-policy-isakmp-l2l-10ike-peer al 【说明：Lo1172.16

3、.1.2 【说明：Lo1172.16.1.2 USGfirewallname gre priority erzonetrust】erface ic0.0.0.00 （二） 分部配置一、接口加入 zone，并且放行对应的流量InsideTrustZone（icmp ，Tunnel NSGW-setikegatewayl2laddress202.100.2.1erfaceeth4NSGW-l2lgatewayl2lsec-levelNSGW-l2lgatewayl2lsec-levelNSGW-setzoneNSGW- set NSGW-setNSGW-erfacetun.1erface tun.

4、1 ip 10.1.1.1/24 erfacetun.1tunnelencapgreerfacetun.1tunnellocal-iflo.1dst-ip流NSGW-NSGW-l2lerfacel2lproxy-idlocal-ip172.16.1.1/32remote-ip流NSGW-NSGW-l2lerfacel2lproxy-idlocal-ip172.16.1.1/32remote-ip172.16.1.2/32NSGW-setpolicyfromtrustanyanyanyNSGW-setpolicytotrustanyanyanyNSGW-setroute0.0.0.0/0gate

5、wayNSGW-setvroutertrust-vrprotocolospfareaNSGW-setvroutertrust-vrprotocolospfNSGW-NSGW-erfacetun.1protocolospfareaerfacetun.1protocolospfNSGW-NSGW-erfacelo.2protocolospfareaerfacelo.2protocolospfUSG USG erzonetrustuntrusterzone-trust-untrust- erzone-trust-untrust-inbound-0policydestination2.2.2.20 e

6、rzone-trust-untrust-inbound-0action permit注意总1、双方的路由问题（去往对方私网路由，和自己私网路由都需要检查2、NS 策略【在这个环境下，因为策略 Zone 定义不同，所与ernet不】3、USG 的策略，Trust 到 Untrust，Untrust 到 Trust，Untrust 到 Local 的流量4、NAT 问题（这个环境不存在5、双方策略必须匹6、USG 接口可以开，可以测试连通性，如果不开启的话，这个很容易被忽到到五、NS这里为 来传递路由网络，所以不需要感流量。到到五、NS这里为 来传递路由网络，所以不需要感流量。 以很容易超过 1500，所以修改 1476。ESPooDPD service0protocoludpdestination-portUSG-（这 service0protocoludpdestination-portUSG-（这erzoneloca erzone-trusttrust-inbound-0policy servi是定义的 servcie-set，默认不存在的，等于放行 UDP 50