山石网科PPPOE+IPsecVPN配置注意事项

最新推荐文章于 2026-03-23 00:29:42 发布
原创 最新推荐文章于 2026-03-23 00:29:42 发布 · 1.9k 阅读 · 1 ·
本内容遵循CC 4.0 BY-SA版权协议
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
标签
#运维 #网络
文章讲述了某公司在使用山石防火墙时遇到IPSECVPN通过不稳定的问题，涉及PPPOE拨号环境下的配置调整，包括设置发起者模式、关闭存活检测、隧道绑定IP和路由配置，以及安全策略的正确设置。

某公司使用山石防火墙作为出口设备
总部使用固定IP 分支采用PPPOE拨号
不定时的IPSEC VPN断
通过排查，首先排除隧道内NAT 详见图片1-2
在这里插入图片描述
在这里插入图片描述
其次分支机构因为是PPPOE拨号 ，所以 需要将自己指定为发起者 并且关闭对端存活检测（由于PPPOE分配到IP一来会发生变化，而来可能不是公网

在这里插入图片描述
总部 作为响应者 同时关闭对端存活检测
在这里插入图片描述
隧道 有2种配置方法，一种是不配置IP地址，另外一种是配置IP地址 ，特别需要注意，如果配置IP地址（跑路由）那么隧道绑定这里也需要填写对端隧道口的路由信息（就是截图里面的网关必须写）
在这里插入图片描述
同样的，如果隧道口配置了IP地址 则写静态路由的时候需要指定下一跳，如果不写隧道IP地址，下一跳空着
在这里插入图片描述
最后安全策略放行，流量就通了
具体debug 信息详见
https://kb.hillstonenet.com/cn/ipsecvpn-debug-fault-debugging-summary/

normanhere
关注
HCSA 山石防火墙web认证登陆
08-06
国内知名防火墙厂商山石（hillstone）设备 HCSA考试认证学习文档
山石命令手册
04-12
近日，国际知名咨询机构Gartner发布了IDPS（Intrusion Detection and Prevention Systems入侵检测与防御系统）魔力象限，山石网科凭借业界领先的技术实力成功入选。此次是继企业级防火墙、UTM魔力象限之后，山石网科入选的又一个重要象限，山石网科所着力发展的综合安全防护能力得到了权威的关注与认可。
山石网科下一代防火墙之IPsec实验
byv525的博客
07-31 1145
（2）消息1：发起方（10.1.1.1）在阶段一的建立的受保护隧道内，发起快速模式协商，用于IPsec SA的安全提议，要保护的流量选择器等，此消息使用阶段1的加密和认证。（3）隧道模式加密整个原始IP数据包，添加一个新的IP头在最前面，在新IP头指定了IPsec隧道的端点地址，最常见的模式，用于站点到站点或远程访问。（2）消息1，发起方（10.1.1.1）向响应方（10.1.2.1）发送第一个消息，包含使用的加密算法、哈希算法、认证方法、DH组、存活时间等。（1）阶段 2 : 建立 IPsec SA。
山石网科-Hillstone-策略模式的IPSEC-***之配置终结篇
weixin_34415923的博客
03-26 2852
ipsec不作多介绍，直接上配置步骤。与前面文章中路由模式的ipsec不一样，其实个人理解来看，通俗理解如下：策略模式的***，方便，步骤简单。快！不易于扩展，比如那种多分支site的访问等等。路由模式的***，步骤稍复杂，基于tunnel做。受制于设备的参数支持，扩展性好。经历了不下于50台山石网科的防火墙的应用组网和设备运维后，俩者均有特点，还是要视客户的具体网络需求去定...
从零到通：用山石Hillstone防火墙搭建L2TP ***，一次讲清地址池、隧道接口与安全策略
最新发布
weixin_29234239的博客
03-23 376
本文详细介绍了如何使用山石Hillstone防火墙搭建L2TP远程接入方案，涵盖地址池配置、隧道接口设置与安全策略优化。通过实战指南，帮助IT管理者快速部署安全可靠的远程办公环境，提升企业网络接入效率与安全性。
IPSec-IKE双阶段协商-山石防火墙的web界面部署
2403_87902721的博客
07-30 912
IPSEC协商建立分为两个阶段：管理连接的建立和数据连接的建立；阶段一管理连接的建立操作过程： 1个双向的ISAKMP sa安全参数协商（加密算法、HASH算法、DH组、身份认证，生命周期）并建立‘初始化’SA,DH算法（密钥交换）计算出K（dh）,并生成密钥KEY。对等体/设备身份认证（Pre-shared、rsa-sig证书、加密随机数）阶段二数据连接的建立操作过程： 2个单向的IPSEC sa。
山石网科Hillstone防火墙基础上网配置_CLI命令行（最新版）
路与肥的博客
04-25 1万+
山石网科Hillstone防火墙安全网关基础上网基础网络配置_CLI命令行（最新版）
【官方】山石网科Hillstone SCVPN(Hillstone Secure Connect)客户端下载
路与肥的博客
04-07 9305
【官方】山石网科Hillstone SCVPN(Hillstone Secure Connect)客户端下载
360防火墙----VPN--debug思路
zhoutong2323的博客
08-12 1409
工作中碰见山石的防火墙，调试VPN过程中发现web页面没有路由追踪的功能，需要登录后台使用debug，手动追踪报文匹配情况。
VPN配置
cl_12的博客
03-20 1406
1.登录hillstone （查看防火墙的IP，show interface查看接口e0/0，4.创建一个新的策略，选择VPNHub源安全域——目的安全域trust。以及虚拟机的vpc ping 外网的IP。6.cmd ping虚拟机的内网ip。5.选择VPN 创建SSL VPN。3.创建一个本地用户。7.SSL客户端登录。SSL客户端下载地址。
山石网科GRE over IPSec 配置
枝心的博客
09-01 1169
山石网科GRE over IPSec配置
山石防火墙的内核配置参考
sunboychb的专栏
07-31 2052
snatrule id 5 ingress-interface "ethernet0/2" from address-book "VPN数据进入内网地址段" to address-book "公有云测试地址池（10.209）" service "Any" eif ethernet0/3 trans-to ip 172.36.224.37 mode dynamicport sticky log。address "VPN数据进入内网地址段"address "VPN数据进入内网地址段"
hillstone secure connect Mac版
02-02
山石网科,Hillstone secure connect, 苹果电脑桌面版
Hillstone Version 5.5 NAT配置
动物寓言的Boom秘籍
08-06 3806
IPSEC VPN配置介绍；（建议两端设备最好使用相同的系统版本两端配置一致即可） 配置思路：1. 对象-->用户—>新建VPN登陆用户名密码 2.新建Ipsec VPN安全域 3.新建隧道接口配置IP地址（用作VPN连接时的网关）并绑定到SSLVPN安全域中（VPN需规划独立网段） ...
虚拟网卡不存在或被禁用，请检查点拟网卡配置
热门推荐
weixin_52675722的博客
11-13 1万+
如果还不行的话，把客户端卸载，磁盘下的文件清理干净，重新安装客户端，我以山石网科VPN客户端为例，下载支持SSLVPN和ZTNA（零信任）功能这个完整版，安装自动会配置虚拟网卡。打开任务管理器找到VPN客户端运行程序，右击打开文件所在位置，在通过从磁盘安装虚拟网卡、，选中*.inf文件点击打开，确认，配置成功。打开控制面板，点击更改适配器设置，，WIN+R在命令行输入。
二十一、小项目（IPSec+PPPOE）
陈达杰的博客
03-18 1443
本次实验主要是通过PPPOE和IPSec实现的，拓扑图如下： PC2、PC3可代表为内网，R2、R3可表示为网关路由器，连接外网用。R4为运营商路由器，与公司网关路由器相连。在R4和R2、R3的链路上配置PPPOE+IPSec抱枕了网络的安全性和冗余。配置如下： R1： [V200R003C00] # sysname R1 # snmp-agent local-engineid 800007...
山石防火墙简单配置
qq_48257021的博客
01-31 6617
安全网关支持本地与远程两种环境配置方法，可以通过CLI 和WebUI 两种方式进行配置。CLI 同时支持Console、Telnet、SSH 等主流通信管理协议。1、Web 方式登录安全网关系统，依次选择“系统”→“配置文件管理”→“配置文件列表”→“备份恢复”勾选“立即重启，使新版本生效”，然后点击“应用” 重启设备，系统将使用新的StoneOS 启动。登录设备后，依次点击“系统”→“升级管理”→“浏览”，选择本地保存的 StoneOS 文件。2、点击“恢复”---确定。
山石网科-Hillstone-路由模式的IPSEC-***之配置终结篇
weixin_34306446的博客
07-29 3114
首先，当然第一件事情，是要理清思路了，这一点对一个工程师来讲是必须且非常重要的一步。第一步，新建IPsec-***。第二步，配置第一阶段相关参数。（高级可选参数，DPD对端存活检测/NAT穿越都可以勾选上，这个不是协商参数）第三步，配置第二阶段相关参数。注意（如果俩端都是山石设备，即可以不用配置代理ID，选择自动即可，若不是，请填写代理ID。PS：代理ID只是协商让IPsec...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值