实验拓扑：
实验背景：FW1和FW2是双机热备的状态。
实验要求：在FW和FW3之间建立一条IPSEC通道，保证10.0.2.0/24网段可以正常访问到192.168.1.0/24
IPSEC VPPN实验配置（由于是双机热备状态，所以FW1和FW2只需要配置FW1主设备即可）：
场景选用点到点，配置好FW1的出接口地址和对端FW3的接口地址，认证方式选用预共享密钥（密钥自己设置），身份认证选用IP地址
新建ACL待加密数据流的配置
安全提议配置：
IKE参数配置：
IPSec参数：
FW3的配置：
同样选择点到点，只是IP地址配置和FW1相反
新建ACL待加密数据流的配置
安全提议的配置和FW1一样
然后去FW1安全策略里面放通IKE（UPD500）报文的策略，服务不仅要允许IKE的流量，也要允许IPSec加密流量ESP的放通，允许它从内网往外网发送
新建一个对应IKE的服务
在FW3也同样如此
此时查看IPSec策略，就可以看见已经协商成功了
此时，内网的数据可以到达外网，但外网的数据在经过防火墙时，防火墙并不允许外网的流量进来。
在新建一个针对IPSec的数据流量的安全策略（FW1和FW2一样）。
由于NAT地址转换是上游配置，而IPSec隧道是下游配置，一般流量出防火墙会先做NAT转换，但是做了NAT转换就不能进入IPSec隧道，所以在这新建一个NAT策略
FW1
FW2
由于NAT匹配策略是由上往下，所以这里把精细的IPSec的NAT策略放在上面。
