华为防火墙配IPSEC

8 配置IPSec

8.1 简介

8.1.1 IPSec概述

8.1.2 基于证书认证机制的IPSec

8.2 配置Manual方式协商的IPSec隧道

8.2.1 建立配置任务

8.2.2 创建需要保护的数据流

8.2.3 配置IPSec安全提议

8.2.4 配置IPSec安全策略

8.2.5 引用IPSec安全策略

8.2.6 检查配置结果

8.3 配置IKE方式协商的IPSec隧道

8.3.1 建立配置任务

8.3.2 创建需要保护的数据流

8.3.3 配置IPSec安全提议

8.3.4 配置IKE安全提议

8.3.5 配置IKE Peer

8.3.6 配置IPSec安全策略模板

8.3.7 配置IPSec安全策略

8.3.8 引用IPSec安全策略

8.3.9 检查配置结果

8.4 配置证书申请

8.4.1 建立配置任务

8.4.2 配置实体名称

8.4.3 创建本地公私密钥对

8.4.4 配置证书申请受理机构

8.4.5 获取CA证书

8.4.6 申请本地证书

8.4.7 （可选）获取CRL

8.4.8 检查配置结果

8.5 配置证书验证功能

8.5.1 建立配置任务

8.5.2 配置CRL更新周期

8.5.3 配置是否检查CRL

8.5.4 配置证书验证

8.5.5 检查配置结果

8.6 维护

8.6.1 查看IPSec处理报文的统计信息

8.6.2 调试IPSec

8.6.3 调试IKE

8.6.4 删除IKE SA

8.6.5 删除SA

8.6.6 清除IPSec统计报文

8.6.7 维护低速加密卡

8.6.8 维护CA

8.7 配置举例

8.7.1 配置采用Manual方式建立SA示例

8.7.2 配置采用IKE方式建立SA示例（预共享密钥）

8.7.3 配置采用IKE方式建立SA示例（RSA签名）

8.7.4 配置使用SCEP方式申请证书示例

插图目录

图8-1 采用Manual方式建立SA配置示例组网图

图8-2 采用IKE方式建立SA配置示例组网图（预共享密钥）

图8-3 采用IKE方式建立SA配置示例组网图（RSA签名）

图8-4 使用SCEP方式申请证书配置示例组网图

8 配置IPSec 关于本章

本章描述内容如下表所示。

8.1 简介

8.1.1 IPSec概述

IPSec（IP Security）协议族是IETF制定的一系列协议，它为IP报文提供

了基于密码学的、可互操作的、高质量的安全保护机制。特定的通信双

方在IP层通过加密与数据源验证等方式，保证报文在网络中传输时的私

有性、完整性、真实性，并有效防御重放攻击。

IPSec对报文的保护通过AH（Authentication Header）和ESP（Encapsulating

Security Payload）两种安全协议实现。各协议的功能简单介绍如下：

●AH协议主要提供的功能有数据源验证、数据完整性校验和防御报

文重放攻击，但不能对需要保护的报文进行加密。

●ESP协议除提供AH协议的所有功能外，还可提供对IP报文的加密

功能。与AH协议不同的是，其数据完整性校验不包括IP报文头。

ESP协议允许对报文同时进行加密和验证，或只加密，或只验证。

为简化IPSec的使用和管理，除了可以手动建立安全联盟SA（Security

Association）外，还可以通过IKE（Internet Key Exchange）进行自动协商

交换密钥、建立和维护SA。IKE协议用于自动协商AH和ESP所使用的

密码算法，并将算法所需的必备密钥放到恰当位置。

Eudemon除可以通过软件进行SA协商外，还能通过IPSec加密卡进行协

商。有关加密卡的相关介绍，请参见《Quidway Eudemon 200 防火墙安

装指南》。

8.1.2 基于证书认证机制的IPSec

Eudemon提供基于公钥基础设施PKI（Public Key Infrastructure）框架的

证书认证机制，支持证书的申请、存储和验证，但不提供生成证书功能。

PKI是通过使用公开密钥技术和数字证书来确保系统信息安全，并负责验

证数字证书持有者身份的一种体系。它是一套软硬件系统和安全策略的

集合，提供了一整套安全机制。PKI采用证书进行公钥管理，通过第三方

的可信任机构，把用户的公钥和用户的其他标识信息捆绑在一起，实现

在网上验证用户身份功能。

PKI为用户建立起一个安全的网络运行环境，用户可以在多种应用环境下

方便地使用加密和数字签名技术，从而保证网上数据的机密性、完整性、

有效性。数据的机密性是指数据在传输过程中，不能被非授权者查看；

数据的完整性是指数据在传输过程中不能被非法篡改；数据的有效性是

指数据不能被否认。

不采用证书机制的IPSec情况下，进行网络扩容时，每新增一台设备，都

需要修改其余设备的配置。操作繁琐，且易出错。

证书机制可以为IPSec网络提供集中的密钥管理机制，并增强整个IPSec

网络的伸缩性。在采用证书机制的IPSec网络中，每台设备都拥有CA

（Certification Authority）颁发的证书，当设备之间进行通讯时，只要通过

交换证书就可以确认对方的身份（因为所有的设备都信任CA，所以对

CA颁发的证书都信任），并获得对方的公钥（从对方的证书中获取）。

这样当有新设备加入时，只需要为新增加的设备申请一个证书，就可以

与其他设备进行通讯，而不需要修改其他设备的配置。

在实际应用中，证书分为两种：

●CA证书

是颁发机构本身的证书，用于验证CA颁发的本地证书和CRL

（Certificate Revocation List）的有效性。

●本地证书

由CA颁发，在IPSec设备通信时使用。证书绑定了名字和本地公钥，

如同网络身份证。

在获取本地证书前，需要首先获取CA证书。

8.2 配置Manual方式协商的IPSec隧道

8.2.1 建立配置任务

应用环境

考虑到安全性，数据流往往需要认证。在一些安全性要求较高的场合，

数据流可能既需要认证又需要加密，此时需要在IPSec服务发起端和终结

端的Eudemon设备上配置IPSec功能。

当与Eudemon进行通信的对等体设备数量较少时，或是在小型静态环境

中，可以选择Manual方式协商IPSec隧道。

前置任务

在配置IPSec前，需要完成以下任务：

●配置Eudemon的工作模式

●配置接口的IP地址

●配置接口加入安全区域

只有Eudemon工作于路由模式才可以配置IPSec。

数据准备

在配置IPSec前，需要准备以下数据。

配置过程

要完成IPSec的配置，需要按照以下过程配置。

8.2.2 创建需要保护的数据流

IPSec能够对不同的数据流进行安全保护。在实际应用中，需要首先通过

ACL定义数据流，再在安全策略中引用该ACL，从而起到保护该数据流

的作用。

步骤1执行命令system-view，进入系统视图。

步骤2执行命令acl [ number ] acl-number [ match-order { config | auto } ]，创建高级ACL，并进入相应视图。

步骤3执行命令rule [ rule-id ] { permit | deny } protocol [ source

{ source-address source-wildcard | address-set address-set-name | any } |

destination { destination-address destination-wildcard | address-set

address-set-name | any } | source-port { operator port | range port1port2 |

port-set port-set-name } | destination-port { operator port | range port1

port2 | port-set port-set-name } | icmp-type { icmp-type icmp-code |

icmp-message } | precedence precedence | tos tos | time-range time-name |

logging ] *，配置ACL规则。

----结束

配置时请注意：

●需要精确配置ACL。

?建议只对确实需要IPSec保护的数据流进行保护，即在配置ACL

规则时，严格配置需要保护的数据流的动作关键字为permit。

?建议避免盲目使用关键字any，否则，数据流定义范围过大，会

对不需要加密的普通数据流也进行加密。当被加密的数据流到达

没有配置IPSec的网关设备时，会因网关无法识别加密数据而被

丢弃。

●对于有不同安全保护要求的数据流，需要创建不同的ACL和相应

的安全策略。

●隧道两端的设备，ACL需要镜像配置。

8.2.3 配置IPSec安全提议

隧道两端的设备，安全协议、验证算法、加密算法、报文封装格式需要配置相同，否则不能成功建立SA。

IPSec安全提议（Proposal）用于指定IPSec所采取的一系列措施，包含对

需要保护的数据流采用的安全协议、加密和验证算法以及报文封装形式。

步骤1执行命令system-view，进入系统视图。

步骤2执行命令ipsec proposal proposal-name，创建安全提议并进入安全提议视图。

Eudemon最多支持50个安全提议。

步骤3执行命令transform { ah | ah-esp | esp }，选择安全协议。

步骤4根据transform命令配置的安全协议，配置验证算法和加密算法。

●如果transform命令配置为ah或ah-esp，则配置AH协议采用的验

证算法，执行命令ah authentication-algorithm { md5 | sha1 }。

●如果transform命令配置为esp或ah-esp，则配置ESP协议采用的

验证和加密算法。

?执行命令esp authentication-algorithm { md5 | sha1 }，配置ESP

验证算法。

?执行命令esp encryption-algorithm { 3des | des | aes [ 128 | 192 |

256 ] }，配置ESP加密算法。

步骤5执行命令encapsulation-mode tunnel，指定报文封装形式。

----结束

8.2.4 配置IPSec安全策略

隧道两端的设备，SA参数SPI、string-key、authentication-hex和encryption-hex需要镜像配置，否则不能正确建立隧道。

IPSec安全策略规定了对什么样的数据流采用什么样的安全提议。

步骤1执行命令system-view，进入系统视图。

步骤2执行命令ipsec policy policy-name seq-number manual，创建安全策略。

一个安全策略组最多支持配置512条安全策略，所有安全策略的总数也

不能超过512。

用户购买了支持多少条隧道数的License，就支持创建多少条隧道，也就

是如果创建了超出License限制数目的安全策略是不起作用的。

步骤3执行命令proposal proposal-name，在安全策略中引用安全提议。

步骤4执行命令security acl acl-number，在安全策略中引用访问控制列表。

一条安全策略只能引用一条ACL。如果配置安全策略引用了多条ACL，

最后配置的ACL生效。

步骤5执行命令tunnel local ip-address，配置隧道的起点。

tunnel local命令中的IP地址只能是应用IPSec的接口地址。

步骤6执行命令tunnel remote ip-address，配置隧道的终点。

●在配置SA时，需要分别设置inbound和outbound两个方向的SA

的参数。

●只需配置IPSec安全提议使用的协议的相应配置。如：配置IPSec安

全提议时使用transform ah选择了ah安全协议，则配置SA参数时只

需配ah一套参数，不需配esp的参数。

●sa spi命令需要与sa string-key或sa authentication-hex或sa

encryption-hex共同使用，才能成功创建手工IPSec隧道。

●先配置sa string-key命令后，则无法再配置sa authentication-hex或

sa encryption-hex命令，后配置的会覆盖sa string-key命令的配置；

相反，先配置sa authentication-hex或sa encryption-hex再配置sa

string-key，前面两条命令的配置都会被sa string-key命令的配置覆盖。

●sa authentication-hex和sa encryption-he x两条命令的配置相互没有

影响。

步骤7执行命令sa spi inbound ah spi-number，配置采用AH协议的入方向SA的SPI。

步骤8执行命令sa spi outbound ah spi-number，配置采用AH协议的出方向SA的SPI。

步骤9执行命令sa spi inbound esp spi-number，配置采用ESP协议的入方向SA的SPI。

步骤10执行命令sa spi outbound esp spi-number，配置采用ESP协议的出方向SA的SPI。

●如果分别以两种方式输入了密钥，则最后设定的密钥有效。

●在安全隧道的两端，应当以相同的方式输入密钥。如果一端以字符串

方式输入密钥，另一端以16进制方式输入密钥，则不能正确地建立安

全隧道。

步骤11执行命令sa string-key inbound ah string-key，配置采用AH协议的入方向SA的验证密钥（以字符串方式输入）。

步骤12执行命令sa string-key outbound ah string-key，配置采用AH协议的出方向SA的验证密钥（以字符串方式输入）。

步骤13执行命令sa string-key inbound esp string-key，配置采用ESP协议的入方向SA的验证密钥（以字符串方式输入）。

步骤14执行命令sa string-key outbound esp string-key，配置采用ESP协议的出方向SA的验证密钥（以字符串方式输入）。

步骤15执行命令sa authentication-hex inbound ah hex-key，配置采用AH协议的入方向SA的验证密钥（以16进制方式输入）。

步骤16执行命令sa authentication-hex outbound ah hex-key，配置采用AH协议的出方向SA的验证密钥（以16进制方式输入）。

步骤17执行命令sa authentication-hex inbound esp hex-key，配置采用ESP协议的入方向SA的验证密钥（以16进制方式输入）。

步骤18执行命令sa authentication-hex outbound esp hex-key，配置采用ESP 协议的出方向SA的验证密钥（以16进制方式输入）。

步骤19执行命令sa encryption-hex inbound esp hex-key，配置采用ESP协议的入方向SA的加密密钥（以16进制方式输入）。

步骤20执行命令sa encryption-hex outbound esp hex-key，配置采用ESP协议的出方向SA的加密密钥（以16进制方式输入）。

----结束

8.2.5 引用IPSec安全策略

在指定接口上引用IPSec安全策略，从而对经过此接口且符合ACL的报

文应用IPSec保护。

步骤1执行命令system-view，进入系统视图。

步骤2执行命令interface interface-type interface-number，进入接口视图。

步骤3执行命令undo ip fast-forwarding qff，关闭接口的快速转发功能。

步骤4执行命令ipsec policy policy-name，在接口上应用安全策略。

----结束

一个接口只能应用一个安全策略组，一个安全策略组可以应用到多个接

口上。但Manual方式配置的安全策略只能应用到一个接口。如果所应用

的安全策略是Manual方式建立SA，会立即生成SA。如果所应用的安全

策略是IKE方式建立SA，需要经过IKE协商才会生成SA。

Eudemon实现的IPSec安全策略除可以应用到串口、以太网口等实际物理

接口外，还能应用到Tunnel、Virtual Template、Dialer等虚拟接口。此时

即可根据实际组网需求，在如L2TP等隧道上应用IPSec。

8.2.6 检查配置结果

可以在所有视图下执行以下命令检查配置结果。

8.3 配置IKE方式协商的IPSec隧道

8.3.1 建立配置任务

应用环境

考虑到安全性，数据流往往需要认证。在一些安全性要求较高的场合，

数据流可能既需要认证又需要加密，此时需要在IPSec服务发起端和终结

端的Eudemon设备上配置IPSec功能。

对于中、大型的动态网络环境，推荐使用IKE方式协商IPSec隧道。

IKE协商支持预共享密钥（pre-share）、RSA签名（rsa-sig）和RSA加密

NONCE（rsa-encr）3种身份验证方式。

其中，RSA签名方式需要预先申请证书，申请过程请参见“8.4 配置证书

申请”。

前置任务

在配置IPSec前，需要完成以下任务：

●配置Eudemon的工作模式

●配置接口的IP地址

●配置接口加入安全区域

●配置需要协商的两台Eudemon获取CA证书、本地证书和CRL（RSA

签名方式）

●只有Eudemon工作于路由模式才可以配置IPSec。

●使用证书的验证要求所有证书和CRL都已经导入到内存。并且都使用同一

个CA中心。

●需要协商的两台Eudemon之间通信正常。

数据准备

在配置IPSec前，需要准备以下数据。

配置过程

要完成IPSec的配置，需要按照以下过程配置。

8.3.2 创建需要保护的数据流

IPSec能够对不同的数据流进行安全保护。在实际应用中，需要首先通过

ACL定义数据流，再在安全策略中引用该ACL，从而起到保护该数据流

的作用。

步骤1执行命令system-view，进入系统视图。

步骤2执行命令acl [ number ] acl-number [ match-order { config | auto } ]，创建高级ACL，并进入相应视图。

步骤3执行命令rule [ rule-id ] { permit | deny } protocol [ source

{ source-address source-wildcard | address-set address-set-name | any } |

destination { destination-address destination-wildcard | address-set

address-set-name | any } | source-port { operator port | range port1port2 |

port-set port-set-name } | destination-port { operator port | range port1

port2 | port-set port-set-name } | icmp-type { icmp-type icmp-code |

icmp-message } | precedence precedence | tos tos | time-range time-name |

logging ] *，配置ACL规则。

----结束

8.3.3 配置IPSec安全提议

IPSec安全提议（Proposal）用于指定IPSec所采取的一系列措施，包含对

需要保护的数据流采用的安全协议、加密和验证算法以及报文封装形式。

步骤1执行命令system-view，进入系统视图。

步骤2执行命令ipsec proposal proposal-name，创建安全提议并进入安全提议视图。

步骤3执行命令transform { ah | ah-esp | esp }，选择安全协议。

在配置NAT穿越的情况下，必须选择ESP协议。

步骤4根据transform命令配置的安全协议，配置验证算法和加密算法。

●如果transform命令配置为ah或ah-esp，则配置AH协议采用的验

证算法，执行命令ah authentication-algorithm { md5 | sha1 }。

●如果transform命令配置为esp或ah-esp，则配置ESP协议采用的

验证和加密算法。

?执行命令esp authentication-algorithm { md5 | sha1 }，配置ESP

验证算法。

?执行命令esp encryption-algorithm { 3des | des | aes [ 128 | 192 |

256 ] }，配置ESP加密算法。

步骤5执行命令encapsulation-mode tunnel，选择报文封装形式。

----结束

8.3.4 配置IKE安全提议

IKE安全提议用来协商建立安全通道，协商参数包括验证方式、加密算法、

验证算法、Diffie-Hellman组标识和SA生存周期。

步骤1执行命令system-view，进入系统视图。

步骤2执行命令ike proposal proposal-number，创建IKE安全提议并进入IKE 安全提议视图。

可以按照优先级创建多条IKE提议，但是协商双方必须至少有一条匹配

的IKE提议才能协商成功。

步骤3执行命令encryption-algorithm { des-cbc | 3des-cbc| aes-cbc }，选择加密算法。

步骤4执行命令authentication-method { pre-share| rsa-encr | rsa-sig }，配置身份验证方式。

●pre-share方式：需要为对端配置预共享密钥。建立安全连接的两端

的预共享密钥必须一致。

●rsa-encr方式：需要配置每个对端的RSA公钥。

rsa-sig方式：需要配置本地证书。

步骤5执行命令authentication-algorithm { md5|sha1 }，选择验证算法。

步骤6执行命令dh { group1 | group2 | group5 }，选择Diffie-Hellman组标识。

步骤7执行命令sa duration interval，配置SA生存周期（单位：分钟）。

如果duration时间超时，ISAKMP SA将自动更新。因为IKE协商需要进

行DH计算，在Eudemon上需要经过较长的时间，为使ISAKMP SA的

更新不影响安全通信，建议配置duration大于10分钟。

----结束

8.3.5 配置IKE Peer

IKE Peer，即IKE对等体。配置IKE Peer的一系列属性，包括IKE协商

模式、预共享密钥、证书、对端地址以及是否需要进行NAT穿越等，以

保证IKE协商阶段的正确性。

步骤1执行命令system-view，进入系统视图。

步骤2（可选）执行命令ipsec sa global-duration { time-based interval |

traffic-based kilobytes }，配置全局的SA生存周期。

生存周期只对通过isakmp方式建立的SA有效，对通过Manual方式建

立的SA没有生存周期的限制，即手工建立的SA永远不会失效。

步骤3（可选）执行命令ike local-name local-name，配置IKE协商时的本机ID。

如果配置了本机ID，那么对端在IKE Peer视图中执行remote-name name

命令配置的对端名称必须与此保持一致。

步骤4（可选）执行命令ike sa keepalive-timer interval interval，配置发送Keepalive报文的时间间隔（单位：秒）。

步骤5（可选）执行命令ike sa keepalive-timer timeout interval，配置等待Keepalive报文的超时时间（单位：秒）。

通过Keepalive机制，可以判断是否能与对端正常通讯。interval和timeout

两个参数要成对出现，即在一个Eudemon上配置了timeout参数，那么就

要在对端配置interval参数。

当配置timeout的Eudemon在超时时间内未收到对端的Keepalive报文时，

如果该ISAKMP SA带有TIMEOUT标记，则删除该ISAKMP SA以及由

其协商的IPSec SA；否则，将其标记为TIMEOUT。

步骤6（可选）执行命令ike sa nat-keepalive-timer interval interval，配置发送NAT更新报文的时间间隔（单位：秒）。

interval的缺省值是20秒。

步骤7执行命令ike peer peer-name，创建IKE Peer并进入IKE Peer视图。

步骤8执行命令exchange-mode { main | aggressive }，配置IKE协商模式。

如果要使用RSA加密NONCE（rsa-encr）验证方式，此处必须配置为主

（main）模式。

被IPSec安全策略模板引用的IKE Peer必须使用野蛮模式（aggressive），

也就是通过安全策略模板配置安全策略时，不支持使用RSA加密NONCE

（rsa-encr）验证方式。

步骤9执行命令ike-proposal proposal-number，引用已经配置的IKE安全提议。

步骤10执行命令local-id-type { ip | name | user-name }，配置IKE Peer的ID 类型。

在野蛮模式（aggressive）下可以配置对端IP地址与对端名称，主模式

（main）下只能配置对端IP地址。

步骤11（可选）执行命令nat traversal，配置是否需要进行NAT穿越。

IPSec与NAT配合使用时需要配置NAT穿越。

步骤12（可选）执行命令local-address ip-address，配置IKE协商的本端IP 地址。

在IPSec和HRP联合组网或使用子接口、虚拟模板接口配置IPSec时，必须在IKE Peer视图下执行命令local-address ip-address，配置IPSec协商报文发起的IP地址。

步骤13执行命令remote-address [ authentication-address ] low-ip-address

[ high-ip-address ]，配置对端的IP地址。

●采用RSA签名验证方式时，如果对端证书中包含实体的IP地址，那

么这里配置的对端IP地址必须和证书中的实体IP地址一致。

●如果对端本身已经通过local-address ip-address命令指定了IP地址，

那么这里配置的对端IP地址必须和ip-address一致。

●配置基于IP认证的NAT穿越时需要指定authentication-address关

键字。IP地址是NAT转换前的对端IP地址。

若对端地址配置为地址段，此IKE Peer只能被IPSec的策略模板引用。

步骤14执行命令remote-name name，配置对端名称（只在野蛮模式下且使用名字认证时使用）。

步骤15执行命令pre-shared-key key-string，为对端配置预共享的密钥

（pre-share方式）。

步骤16执行命令certificate { local-filename | peer-filename } cert-name，配置本地证书和对端证书（rsa-sig方式）。

步骤17配置RSA对端IP地址和公钥（rsa-encr方式）。

1.执行命令quit，退回系统视图。

2.执行命令rsa peer-public-key key-name，进入RSA公钥视图。

3.执行命令address ip-address，配置RSA对端IP地址。

4.执行命令public-key-code begin，进入RSA公钥编码视图。

5.输入RSA公钥十六进制编码。

6.执行命令public-key-code end，退回RSA公钥视图。

7.执行命令peer-public-key end，退回系统视图。

----结束

8.3.6 配置IPSec安全策略模板

有两种方式配置IPSec安全策略，一种是本节介绍的通过配置IPSec安全

策略模板的方式配置IPSec安全策略，另一种是“8.3.7 配置IPSec安全

策略”介绍的直接配置IPSec安全策略。

Eudemon实现的IPSec安全策略除可以应用到实际物理接口外，还能应用

到Tunnel、Virtual Template、Dialer等逻辑接口。当要求IPSec与其他使

用逻辑接口的特性混合使用时，即可配置IPSec安全策略模板。例如，当

需要创建L2TP+IPSec隧道时，即需要在LNS端配置IPSec安全策略模板。

当对端发起SA协商的客户端的IP地址不固定时，比如一些移动的VPN

Client用户，可以采用配置安全策略模板的方式配置安全策略。

配置安全策略模板时，除了IKE Peer、IPSec安全提议必配，其他参数可

选。但如果配置了可选参数，则这些参数必须匹配，才能协商成功。

为使配置安全策略模板端能够接收不同的对端发起的协商，在IKE Peer

中可以指定对端地址范围或指定对端的名称，这样就允许不同的拨号用

户接入。

在IPSec服务发起端不能配置安全策略模板，要配置安全策略。在IPSec

服务终结端配置使用安全策略模板的安全策略。同时在IPSec服务发起

端，安全策略引用的ACL规则必须指定源地址范围以便IPSec服务终结

端能够正确将回应数据加密回送。IPSec服务终结端不允许引用ACL。

配置安全策略模板端不能发起SA的协商，只能响应协商。

步骤1执行命令system-view，进入系统视图。

步骤2执行命令ipsec policy-template policy-template-name seq-number，创建安全策略模板。

只能在安全策略模板组中创建一个安全策略模板，也就是只能配置一个安全策略模板的顺序号seq-number。

步骤3执行命令proposal proposal-name &<1-6>，在安全策略中引用安全提议。

步骤4（可选）执行命令sa duration { traffic-based kilobytes | time-based interval }，配置SA的生存周期（单位：秒）。

步骤5执行命令ike-peer peer-name，引用IKE Peer。

步骤6（可选）执行命令pfs { dh-group1 | dh-group2 | dh-group5 }，配置协商时使用的PFS特性。

此命令使IPSec在使用此安全策略发起一个协商时，在阶段2的协商中进

行一次附加的密钥交换以提高通讯的安全性。本端和对端指定的

Diffie-Hellman组必须一致，否则协商会失败。

步骤7执行命令quit，退回系统视图。

步骤8执行命令ipsec policy policy-name seq-number isakmp template

policy-template-name，引用安全策略模板组创建安全策略。

必须确保：

●安全策略组中只能引用一个安全策略模板组，且引用的安全策略模板

组中只能包含一个安全策略模板。

●引用安全策略模板组创建的安全策略，在安全策略组中的优先级应该

定义为最低。也就是安全策略的顺序号seq-number为最大。

●模板端可以接受对端发起协商创建的隧道总数受License限制，购买

了支持多少隧道数的License就能创建多少条隧道。

----结束

8.3.7 配置IPSec安全策略

IPSec安全策略规定了对什么样的数据流采用什么样的安全提议。

步骤1执行命令system-view，进入系统视图。

步骤2执行命令ipsec policy policy-name seq-number isakmp，创建安全策略。

一个安全策略组最多支持配置512条安全策略，所有安全策略的总数也

不能超过512。

用户购买了支持多少条隧道数的License，就支持创建多少条隧道，也就

是如果创建了超出License限制数目的安全策略是不起作用的。

步骤3执行命令proposal proposal-name &<1-6>，在安全策略中引用安全提议。

步骤4执行命令security acl acl-number，引用ACL。

步骤5（可选）执行命令sa duration { traffic-based kilobytes | time-based interval }，配置SA的生存周期。

步骤6执行命令ike-peer peer-name，引用IKE Peer。

步骤7（可选）执行命令pfs { dh-group1 | dh-group2 | dh-group5 }，配置协商时使用的PFS特性。

此命令使IPSec在使用此安全策略发起一个协商时，在阶段2的协商中进

行一次附加的密钥交换以提高通讯的安全性。本端和对端指定的

Diffie-Hellman组必须一致，否则协商会失败。

----结束

8.3.8 引用IPSec安全策略

在指定接口上引用IPSec安全策略，从而对经过此接口且符合ACL的报

文应用IPSec保护。

步骤1执行命令system-view，进入系统视图。

步骤2执行命令interface interface-type interface-number，进入接口视图。

步骤3执行命令undo ip fast-forwarding qff，关闭接口的快速转发功能。

步骤4执行命令ipsec policy policy-name，引用安全策略。

----结束

配置完上述步骤后，IPSec隧道两端设备之间发送的符合ACL的报文，

将触发IKE进行协商建立SA。IKE协商成功并创建了SA后，两端设备

间的数据流将被加密传输。

8.3.9 检查配置结果

可以在所有视图下执行以下命令检查配置结果。

8.4 配置证书申请

8.4.1 建立配置任务

应用环境

配置基于证书认证机制的IPSec的前提就是获取证书，然后在IKE协商

时验证证书的正确性。

证书申请就是用户向CA提供身份信息，CA根据一套标准受理申请，对

证书申请者的信用度、申请证书的目的、身份的真实可靠性等问题进行

审查，确保证书与身份绑定的正确性。如果申请被成功受理，CA随后将

向该用户颁发证书。

Eudemon支持如下两种方式向CA中心申请证书：

●在线申请

在Eudemon上向CA中心发出证书申请请求，CA中心直接将证书传

给Eudemon。

●离线申请

将证书请求文件通过磁盘、电子邮件、纸件、光盘等媒介发给CA中

心。CA中心颁发证书后，需要将证书导入Eudemon的内存。

前置任务

配置Eudemon接口的IP地址，使其与CA服务器能够正常通信（在线申

请）。

数据准备

在配置证书申请之前，需要准备以下数据。