华为ipsecvpn配置

AR路由器配置IKE方式的IPSec VPN

IPSec（Internet Protocol Security）是IETF（Internet Engineering Task Force）制定的一组开放的网络安全

协议，在IP层通过数据来源认证、数据加密、数据完整性和抗重放功能来保证通信双方Internet上传输数据的安全性。在Internet的传输中，绝大部分数据的内容都是明文传输的，这样就会存在很多潜在的危险，比如：密码、银行帐户的信息被窃取、篡改，用户的身份被冒充，遭受网络恶意攻击等。网络中部署IPSec

后，可对传输的数据进行保护处理，降低信息泄漏的风险。

采用默认配置通过IKE协商方式建立IPSec隧道示例

组网需求

如图1所示，RouterA为企业分支网关，RouterB为企业总部网关，分支与总部通过公网建立通信。分支子网为/24，总部子网为/24。

企业希望对分支子网与总部子网之间相互访问的流量进行安全保护。分支与总部通过公网建立通信，可以在分支网关与总部网关之间建立一个IPSec隧道来实施安全保护。

图1 采用默认配置通过IKE协商方式建立IPSec隧道组网图

配置思路

采用如下思路配置采用IKE协商方式建立IPSec隧道：

1.配置接口的IP地址和到对端的静态路由，保证两端路由可达。

2.配置ACL，以定义需要IPSec保护的数据流。

3.配置IPSec安全提议，定义IPSec的保护方法。

4.配置IKE对等体，定义对等体间IKE协商时的属性。

5.配置安全策略，并引用ACL、IPSec安全提议和IKE对等体，确定对何种数据流采取何种保护方

法。

6.在接口上应用安全策略组，使接口具有IPSec的保护功能。

操作步骤

1.分别在RouterA和RouterB上配置接口的IP地址和到对端的静态路由

# 在RouterA上配置接口的IP地址。

system-view

[Huawei] sysname RouterA

[RouterA] interface gigabitethernet 1/0/0

[RouterA-GigabitEthernet1/0/0] ip address

[RouterA-GigabitEthernet1/0/0] quit

[RouterA] interface gigabitethernet 2/0/0

[RouterA-GigabitEthernet2/0/0] ip address

[RouterA-GigabitEthernet2/0/0] quit

# 在RouterA上配置到对端的静态路由，此处假设到对端的下一跳地址为。

[RouterA] ip route-static

[RouterA] ip route-static

# 在RouterB上配置接口的IP地址。

system-view

[Huawei] sysname RouterB

[RouterB] interface gigabitethernet 1/0/0

[RouterB-GigabitEthernet1/0/0] ip address

[RouterB-GigabitEthernet1/0/0] quit

[RouterB] interface gigabitethernet 2/0/0

[RouterB-GigabitEthernet2/0/0] ip address

[RouterB-GigabitEthernet2/0/0] quit

# 在RouterB上配置到对端的静态路由，此处假设到对端下一跳地址为。

[RouterB] ip route-static

[RouterB] ip route-static

2.分别在RouterA和RouterB上配置ACL，定义各自要保护的数据流

# 在RouterA上配置ACL，定义由子网/24去子网/24的数据流。

[RouterA] acl number 3101

[RouterA-acl-adv-3101] rule permit ip source destination

[RouterA-acl-adv-3101] quit

# 在RouterB上配置ACL，定义由子网/24去子网/24的数据流。

[RouterB] acl number 3101

[RouterB-acl-adv-3101] rule permit ip source destination

[RouterB-acl-adv-3101] quit

3.分别在RouterA和RouterB上创建IPSec安全提议

# 在RouterA上配置IPSec安全提议。

[RouterA] ipsec proposal tran1

[RouterA-ipsec-proposal-tran1] quit

# 在RouterB上配置IPSec安全提议。

[RouterB] ipsec proposal tran1

[RouterB-ipsec-proposal-tran1] quit

此时分别在RouterA和RouterB上执行display ipsec proposal会显示所配置的信息。

4.分别在RouterA和RouterB上配置IKE对等体

说明：

该示例中没有配置IKE安全提议，采用的是系统提供的一条缺省的IKE安全提议。

# 在RouterA上配置IKE对等体，并根据默认配置，配置预共享密钥和对端ID。

[RouterA] ike peer spub v1

[RouterA-ike-peer-spub] pre-shared-key simple huawei

[RouterA-ike-peer-spub] remote-address

[RouterA-ike-peer-spub] quit

# 在RouterB上配置IKE对等体，并根据默认配置，配置预共享密钥和对端ID。

[RouterB] ike peer spua v1

[RouterB-ike-peer-spua] pre-shared-key simple huawei

[RouterB-ike-peer-spua] remote-address

[RouterB-ike-peer-spua] quit

此时分别在RouterA和RouterB上执行display ike peer会显示所配置的信息，以RouterA 为例。

[RouterA] display ike peer name spub verbose

----------------------------------------

Peer name : spub

Exchange mode : main on phase 1

Pre-shared-key : huawei

Local ID type : IP

DPD : Disable

DPD mode : Periodic

DPD idle time : 30

DPD retransmit interval : 15

DPD retry limit : 3

Host name :

Peer Ip address :

VPN name :

Local IP address :

Remote name :

Nat-traversal : Disable

Configured IKE version : Version one

PKI realm : NULL

Inband OCSP : Disable

Lifetime notification : Enable

----------------------------------------

5.分别在RouterA和RouterB上创建安全策略

# 在RouterA上配置IKE动态协商方式安全策略。

[RouterA] ipsec policy map1 10 isakmp

[RouterA-ipsec-policy-isakmp-map1-10] ike-peer spub

[RouterA-ipsec-policy-isakmp-map1-10] proposal tran1

[RouterA-ipsec-policy-isakmp-map1-10] security acl 3101

[RouterA-ipsec-policy-isakmp-map1-10] quit

# 在RouterB上配置IKE动态协商方式安全策略。

[RouterB] ipsec policy use1 10 isakmp

[RouterB-ipsec-policy-isakmp-use1-10] ike-peer spua

[RouterB-ipsec-policy-isakmp-use1-10] proposal tran1

[RouterB-ipsec-policy-isakmp-use1-10] security acl 3101

[RouterB-ipsec-policy-isakmp-use1-10] quit

此时分别在RouterA和RouterB上执行display ipsec policy会显示所配置的信息。

6.分别在RouterA和RouterB的接口上应用各自的安全策略组，使接口具有IPSec的保护功能

# 在RouterA的接口上引用安全策略组。

[RouterA] interface gigabitethernet 1/0/0

[RouterA-GigabitEthernet1/0/0] ipsec policy map1

[RouterA-GigabitEthernet1/0/0] quit

# 在RouterB的接口上引用安全策略组。

[RouterB] interface gigabitethernet 1/0/0

[RouterB-GigabitEthernet1/0/0] ipsec policy use1

[RouterB-GigabitEthernet1/0/0] quit

7.检查配置结果

# 配置成功后，在主机PC A执行ping操作仍然可以ping通主机PC B，它们之间的数据传输将被加密，执行命令display ipsec statistics esp可以查看数据包的统计信息。

# 在RouterA上执行display ike sa操作，结果如下。

[RouterA] display ike sa

Conn-ID Peer VPN Flag(s) Phase

---------------------------------------------------------

16 0 RD|ST 2

14 0 RD|ST 1

Flag

Description:

RD--READY ST--STAYALIVE RL--REPLACED FD--FADING TO--TIME OUT

HRT--HEARTBEAT LKG--LAST KNOWN GOOD SEQ NO. BCK--BACKED UP # 分别在RouterA和RouterB上执行display ipsec sa会显示所配置的信息，以RouterA为例。

[RouterA] display ipsec sa

===============================

Interface: GigabitEthernet 1/0/0

Path MTU: 1500

===============================

-----------------------------

IPSec policy name: "map1"

Sequence number : 10

Acl Group : 3101

Acl rule : 5

Mode : ISAKMP

-----------------------------

Connection ID : 16

Encapsulation mode: Tunnel

Tunnel local :

Tunnel remote :

Flow source : / 0/0

Flow destination : / 0/0

Qos pre-classify : Disable

Qos group : -

[Outbound ESP SAs]

SPI: 79 (0x3d2815bb)

Proposal: ESP-ENCRYPT-DES-64 ESP-AUTH-MD5

SA remaining key duration (bytes/sec): 00/3596

Max sent sequence-number: 5

UDP encapsulation used for NAT traversal: N

[Inbound ESP SAs]

SPI: 59 (0x5ef4168b)

Proposal: ESP-ENCRYPT-DES-64 ESP-AUTH-MD5

SA remaining key duration (bytes/sec): 00/3596

Max received sequence-number: 4

Anti-replay window size: 32

UDP encapsulation used for NAT traversal: N 配置文件

?RouterA的配置文件

?#

?sysname RouterA

?#

?acl number 3101

?rule 5 permit ip source destination

?#

?ipsec proposal tran1

?#

?ike peer spub v1

?pre-shared-key simple huawei

?remote-address

?#

?ipsec policy map1 10 isakmp

?security acl 3101

?ike-peer spub

?proposal tran1

?#

?interface GigabitEthernet1/0/0

?ip address

?ipsec policy map1

?#

?interface GigabitEthernet2/0/0

?ip address

?#

?ip route-static

?ip route-static

?#

return

?RouterB的配置文件

?#

?sysname RouterB

?#

?acl number 3101

?rule 5 permit ip source destination ?#

?ipsec proposal tran1

?#

?ike peer spua v1

?pre-shared-key simple huawei

?remote-address

?#

?ipsec policy use1 10 isakmp

?security acl 3101

?ike-peer spua

?proposal tran1

?#

?interface GigabitEthernet1/0/0

?ip address

?ipsec policy use1

?#

?interface GigabitEthernet2/0/0

?ip address

?#

?ip route-static

?ip route-static

?#

return