组建多级VPN网络

■ 广州市疾病预防控制中心 淡武强

如果运用传统方式组网，则核心节点北京总部需与所有二级节点（各省分部）、所有三级节点（各省所辖地级市）均建立IPSEC隧道，工作量巨大，隧道维护不便。为实现网络逐级管理、减轻核心节点的工作量，核心节点只与二级节点间建立IPSEC隧道，各二级节点再与所辖三级节点建立IPSEC隧道，进行隧道接力，中转三级节点的流量，这样三级节点便可访问核心节点的子网。

IP地址规划：总部负责为各省分部统一分配IP地址段，各省为所辖的地级市节点分配IP地址段。全国IP段采用10.0.0.0/8的A类子网，再划分出26＝64个子网，分配给各省分部，其中广东省分部的IP段为10.76.0.0/14，广东省再划分出25＝32个子网，分配给各地级市VPN节点，其中广州市节点的IP段为10.76.32.0/19。子网间为包含关系，以实现IPSEC VPN隧道接力传递的目的。

IPSEC VPN建设：总部负责与各省分部建立IPSEC VPN隧道。各省分部负责与所辖的地级市VPN节点建立IPSEC VPN隧道。

SSL VPN建设：各地级市节点负责全市SSL VPN用户管理，资源管理。

全市信息系统用户通过网页或客户端登录SSL VPN网关，点击资源链接，访问总部服务器的信息系统。

本文使用华为eNSP v1.3.0.1版模拟器来模拟组建多级IPSEC隧道，设备选用USG6000V防火墙作VPN网关，以广州市VPN节点为例，描述用VPN隧道接力技术，实现多级VPN网络建设的过程。

组网需求

如图1所示，总部网络A、广东省分部网络B、广州市节点网络C分别通过FW_A、FW_B、FW_C连接到Internet。网络A属于10.0.0.0/8/子网，网络B属于10.76.0.0/14子网，网络C属于10.76.32.0/19子网，FW_A、FW_B、FW_C路由可达。

通过组网实现如下需求：在FW_A和FW_B之间建立IKE方式的IPSEC隧道，使网络B的用户能够访问位于网络A的信息系统；……