系列juniper与cisco的连接l2l路由器

1、http:/总部为建立L2L。 http:/总部为建立L2L。 分部为 H3C MSR 路由器都有固定 IP 地址两边分支内网需要通信)有在不能使用环回口的情况下，才用其他设备代替。 （地址配置省略二、配置思路 （1）Center)一、zone，rootSRX#editsecurityzonessecurity-zone HYPERLINK http:/c/ http:/rootSRX#ge-0/0/0.0host-inbound-trafficsystem-rootSRX#ge-0/0/0.0host-inbound-trafficsystem-rootSRX#editsecurityzon

2、essecurity-zonerootSRX#lo0.0host-inbound-trafficsystem-（这里 建立http:/rootSRX#ge-0/0/0.0host-inbound-trafficsystem-rootSRX#ge-0/0/0.0host-inbound-trafficsystem-rootSRX#editsecurityzonessecurity-zonerootSRX#lo0.0host-inbound-trafficsystem-（这里 建立rootSRX#editsecurityikepolicyrootSRX#setal-setbasicmodemain

3、pre-shared-keyascii-（ rootSRX#editsecurityikegatewayrootSRX#setike-policyl2lerfacege-0/0/0.0addressrootSRX#editsecurityipsecpolicyrootSRX#setal-set （ HYPERLINK http:/c/ http:/rootSRX#editsecurityrootSRX#setikegatewayl2lipsec-policyrootSRX#setestablish-tunnelson-四：定义流量 )rootSRX# set http:/rootSRX#edi

4、tsecurityrootSRX#setikegatewayl2lipsec-policyrootSRX#setestablish-tunnelson-四：定义流量 )rootSRX# set security zones security-zone trust address-Local-address 为一个名字rootSRX#setsecurityzonessecurity-zoneuntrustaddress-bookaddressremote-addressrootSRX#editsecuritypoliciesfrom-zonetrustto-zonerootSRX#edit-ro

5、otSRX#setmatchsource-addressLocal-addressdestination-addressremote-addressapplicationrootSRX#setthenpermittunnel-SA建立rootSRX#editsecuritypoliciesfrom-zoneuntrustto-zonerootSRX#edit-rootSRX#setmatchsource-addressremote-addressdestination-addressLocal-addressapplication HYPERLINK http:/c/ http:/rootSR

6、X#setthenpermittunnel-六：定义路由)rootSRX#setrouting-optionsicroute0/0http:/rootSRX#setthenpermittunnel-六：定义路由)rootSRX#setrouting-optionsicroute0/0next-hop一、IKE 配置 )Branch(config)#cryptoisakmp policy Branch(config-isakmp)#auBranch(config)#cryptoisakmpkeyaddressBranch(config)#cryptoipsectransform-settrnas

7、esp-desesp-md5-流量 )s-list100permitiphosthost四、关联策略，map)Branch(config)#cryptomap l2l10 ipsec- HYPERLINK http:/c/ http:/%NOTE:Thisnewcryptomapwillremaindisabledandavalidhttp:/%NOTE:Thisnewcryptomapwillremaindisabledandavalids vebeenBranch(config-crypto-map)#matchaddressBranch(config-crypto-map)#set tr

8、ansform-set Branch(config-crypto-map)#settransform-set Branch(config-crypto-map)#set peer Branch(config-if)#crypto map 六、路由问题 )Branch(config)#iproute HYPERLINK http:/c/ http:/注意总1、双方的路由问题（去往对方私网路由，和自己私网路http:/注意总1、双方的路由问题（去往对方私网路由，和自己私网路由都需要检查2、SRX 策略的顺序问题3、NAT 问题（后续讲解总结4、双方策略必须匹的策略必面ernet 的则在最后5、接口

9、必须开启IKE，这个很容易被忽erneternet HYPERLINK http:/c/ http:/H3C 端 )branch(config)#ip s-listextendedbranch(config-ext-nacl)#10permitipanybranch(config)#ipnatinsidesourcelisterface e0/0 http:/H3C 端 )branch(config)#ip s-listextendedbranch(config-ext-nacl)#10permitipanybranch(config)#ipnatinsidesourcelisterface

10、e0/0 lobranch(config-if)#ip nat branch(config-branch(config-if)#ip nat ernetdrop解决办branch(config)#ip s-listextendedbranch(config-ext-nacl)#5denyiphosthost HYPERLINK http:/c/ http:/把SRXrootSRX#editsecuritynatsourcerule-http:/把SRXrootSRX#editsecuritynatsourcerule-erface-rootSRX#setfromzonerootSRX#sett

11、ozonerootSRX#editsrootSRX#setmatchsource-addressrootSRX#setthensource- HYPERLINK http:/c/ http:/经过测试，目http:/经过测试，目前截止到 12.1 版本，还是不支持address-set 功能，也就是一个流量中包含多个不同的地址网段如果包含的话能由Cisco发起才能建立第二阶段策略，SRX 端主动发起建立不了。 （可能后续更新解决了这个问题）解决办法就是只能一，一个策略，比如加密是一个略， 到 又是另外一个策略 HYPERLINK http:/c/ http:/空间;【把学习当做生活，每天都在进步保存一下，也许您朋友也需要！ 企业实战课程系列 思路由器交换机 无【针对企业需求培训的课程，7 个环节博客地址 http:/空间;【把学习当做生活，每天都在进步保存一下，也许您朋友也需要！ 企业实战课程系列 思路由器交换机 无【针对企业需求培训的课程，7 个环节博客地址 HYPERLINK htt