华为eNSP IPsec VPN配置指南

一，引言

1. 什么是IPsec VPN？

        IPsec是一组协议和标准，用于提供在Internet上安全地传输数据的机制。IPsec VPN（虚拟专用网络）利用这一技术，为远程用户或不同地点的网络之间建立安全的通信连接。它通过加密和认证网络层数据包来确保机密性、完整性和身份验证。

2. IPsec VPN的两种模式

• 站点到站点（Site-to-Site）： 用于连接不同地理位置的网络，如分公司和总部之间的连接。整个子网之间的通信可以通过加密隧道来保护。

• 远程访问（Remote Access）： 适用于移动用户或远程办公人员，允许他们通过Internet安全地访问公司网络资源。通常使用VPN客户端连接到VPN服务器。

3. IPsec组成部分

• IKE（Internet Key Exchange）： 用于在通信的两端交换密钥并协商安全参数的协议。IKE协商通常包括身份验证方法、加密算法、认证算法等。

• IPsec隧道模式： 定义了如何加密和认证整个IP数据包。包括AH（认证头）和ESP（封装安全负载）两种模式，可根据需求选择使用其中之一或两者结合使用。

• 安全关联（Security Association，SA）： 定义了通信双方之间的安全参数，如密钥、加密算法、认证算法等。IKE协商后，每个SA对应一个双向的、唯一标识的通信安全连接。

4. IPsec中的加密和认证算法

• 加密算法： 常见的包括AES（Advanced Encryption Standard）、3DES（Triple Data Encryption Standard）等，用于保护数据的机密性。

• 认证算法： 常见的包括SHA-256、SHA-3、MD5等，用于确保数据完整性

5.  IPsec VPN的工作原理

        原理主要包括加密和认证两个部分。加密是指通过加密算法对数据进行加密，使得数据在传输过程中不易被窃听或篡改。认证则是通过认证算法对通信双方进行身份验证，确保通信双方的身份是合法的。常用的加密算法有DES、3DES、AES等，而常用的认证算法有MD5和SHA-1。

二，在eNSP中配置IPsec VPN的步骤，并解析每一条关键命令的含义。

第一步：登录eNSP

        打开eNSP，并创建拓扑图如下：

第二步：创建VPN隧道

        在eNSP中，我们首先创建两个虚拟路由器（VR）来模拟两个站点。然后，我们为每个VR创建一个网络接口，并为其分配IP地址。

[VR1] sysname VR1  // 设置VR1的系统名称为VR1
[VR1] interface gigabitethernet 0/0/1  // 进入GigabitEthernet0/0/1接口配置模式
[VR1-GigabitEthernet0/0/1] ip address 192.168.10.254 24  // 为接口分配IP地址
[VR1-GigabitEthernet0/0/1] quit  // 退出接口配置模式
[VR1] interface gigabitethernet 0/0/0  // 进入GigabitEthernet0/0/1接口配置模式
[VR1-GigabitEthernet0/0/0] ip address 12.1.1.1 30  // 为接口分配IP地址
[VR1-GigabitEthernet0/0/0] quit  // 退出接口配置模式

[VR2] sysname VR2  // 设置VR2的系统名称为VR2
[VR2] interface gigabitethernet 0/0/1  // 进入GigabitEthernet0/0/1接口配置模式
[VR2-GigabitEthernet0/0/1] ip address 23.1.1.1 30  // 为接口分配IP地址
[VR2-GigabitEthernet0/0/1] quit  // 退出接口配置模式
[VR2] interface gigabitethernet 0/0/0  // 进入GigabitEthernet0/0/1接口配置模式
[VR2-GigabitEthernet0/0/0] ip address 12.1.1.2 30  // 为接口分配IP地址
[VR2-GigabitEthernet0/0/0] quit  // 退出接口配置模式

[VR3] sysname VR3  // 设置VR1的系统名称为VR1
[VR3] interface gigabitethernet 0/0/1  // 进入GigabitEthernet0/0/1接口配置模式
[VR3-GigabitEthernet0/0/1] ip address 192.168.20.254 24  // 为接口分配IP地址
[VR3-GigabitEthernet0/0/1] quit  // 退出接口配置模式
[VR] interface gigabitethernet 0/0/0  // 进入GigabitEthernet0/0/1接口配置模式
[VR3-GigabitEthernet0/0/0] ip address 23.1.1.2 30  // 为接口分配IP地址
[VR3-GigabitEthernet0/0/0] quit  // 退出接口配置模式

第三步：配置默认路由

[VR1]ip route-static 0.0.0.0 0.0.0.0 12.1.1.2    
[VR3]ip route-static 0.0.0.0 0.0.0.0 23.1.1.1    

第四步：配置IPsec VPN参数

        接下来，我们为每个站点配置IPsec VPN的参数。这包括IPSec提议,配置感兴趣流,IKE（Internet Key Exchange）和预共享密钥的设置,。

在VR1上：

//配置感兴趣流（需要通过IPSec加密的数据）
[VR1]acl 3000
[VR1-acl-adv-3000]rule 10 permit ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255
[VR1-acl-adv-3000]rule 100 deny ip 
[VR1-acl-adv-3000]quit

//配置IPSec提议（工作模式、协议[ah/esp]、认证算法、加密算法[esp下]）
[VR1]ipsec proposal test    //test为提议名称，用于绑定ipsec安全策略
[VR1-ipsec-proposal-test]encapsulation-mode tunnel    //配置工作模式为隧道（默认为隧道）
[VR1-ipsec-proposal-test]transform esp    //配置协议为esp（可选ah、esp、ah-esp，默认为esp）
[VR1-ipsec-proposal-test]esp authentication-algorithm sha1    //配置认证算法为sha1
[VR1-ipsec-proposal-test]esp encryption-algorithm 3des    //配置加密算法为3des

//配置IKE提议（认证方式、认证算法、加密算法、DH组长度、SA密钥生存时间等）
[VR1]ike proposal 1    //创建IKE提议，编号为1
[VR1-ike-proposal-1]authentication-method pre-share    //认证方式为预共享密钥
[VR1-ike-proposal-1]authentication-algorithm md5    //认证算法为md5
[VR1-ike-proposal-1]dh group2    //配置dh组长度为2（1024bit）
[VR1-ike-proposal-1]sa duration 86400    //配置密钥生存时间为86400秒（默认值）可配可不配

//配置IKE对等体（预共享密钥、对端地址等）
[VR1]ike peer test v2        //创建IKE对等体，版本为v2，名称为test（用于关联IPSec安全策略）
[VR1-ike-peer-test]pre-shared-key cipher gdeie       //配置加密的预共享密钥为gdeie
[VR1-ike-peer-test]remote-address 23.1.1.2    //配置vpn对端地址为23.1.1.2

//配置IPSec安全策略（关联IKE对等体、IPSec提议、感兴趣流等）
[VR1]ipsec policy R1-R3-IPSecVPN 1 isakmp    //IPSec安全策略，名称为R1-R3-IPSecVPN，编号为1，采用ike自动协商
[VR1-ipsec-policy-isakmp-R1-R3-IPSecVPN-1]ike-peer test    //关联IKE对等体
[VR1-ipsec-policy-isakmp-R1-R3-IPSecVPN-1]proposal test    //关联IPSec提议
[VR1-ipsec-policy-isakmp-R1-R3-IPSecVPN-1]security acl 3000    //配置IPSec感兴趣流

//接口应用IPSec安全策略
[VR1]int g0/0/0
[VR1-GigabitEthernet0/0/0]ipsec policy R1-R3-IPSecVPN

在AR3采用相同的配置方式，需要注意远程地址不同，ACL定义的源地址和目标地址与AR1相反

//配置感兴趣流（需要通过IPSec加密的数据）
[VR3]acl 3000
[VR3-acl-adv-3000]rule 10 permit ip source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255
[VR3-acl-adv-3000]rule 100 deny ip 
[VR3-acl-adv-3000]quit

//配置IPSec提议（工作模式、协议[ah/esp]、认证算法、加密算法[esp下]）
[VR3]ipsec proposal test    //test为提议名称，用于绑定ipsec安全策略
[VR3-ipsec-proposal-test]encapsulation-mode tunnel    //配置工作模式为隧道（默认为隧道）
[VR3-ipsec-proposal-test]transform esp    //配置协议为esp（可选ah、esp、ah-esp，默认为esp）
[VR3-ipsec-proposal-test]esp authentication-algorithm sha1    //配置认证算法为sha1
[VR3-ipsec-proposal-test]esp encryption-algorithm 3des    //配置加密算法为3des

//配置IKE提议（认证方式、认证算法、加密算法、DH组长度、SA密钥生存时间等）
[VR3]ike proposal 1    //创建IKE提议，编号为1
[VR3-ike-proposal-1]authentication-method pre-share    //认证方式为预共享密钥
[VR3-ike-proposal-1]authentication-algorithm md5    //认证算法为md5
[VR3-ike-proposal-1]dh group2    //配置dh组长度为2（1024bit）
[VR3-ike-proposal-1]sa duration 86400    //配置密钥生存时间为86400秒（默认值）可配可不配

//配置IKE对等体（预共享密钥、对端地址等）
[VR3]ike peer test v2        //创建IKE对等体，版本为v2，名称为test（用于关联IPSec安全策略）
[VR3-ike-peer-test]pre-shared-key cipher gdeie       //配置加密的预共享密钥为gdeie
[VR3-ike-peer-test]remote-address 12.1.1.2    //配置vpn对端地址为12.1.1.1

//配置IPSec安全策略（关联IKE对等体、IPSec提议、感兴趣流等）
[VR3]ipsec policy R1-R3-IPSecVPN 1 isakmp    //IPSec安全策略，名称为R1-R3-IPSecVPN，编号为1，采用ike自动协商
[VR3-ipsec-policy-isakmp-R1-R3-IPSecVPN-1]ike-peer test    //关联IKE对等体
[VR3-ipsec-policy-isakmp-R1-R3-IPSecVPN-1]proposal test    //关联IPSec提议
[VR3-ipsec-policy-isakmp-R1-R3-IPSecVPN-1]security acl 3000    //配置IPSec感兴趣流

//接口应用IPSec安全策略
[VR3]int g0/0/0
[VR3-GigabitEthernet0/0/0]ipsec policy R1-R3-IPSecVPN

第五步：检查VPN状态

最后，我们使用以下命令检查VPN状态，确保IKE和IPsec的安全关联（SA）状态是建立的。

[VR1] display ike sa  // 显示IKE SA状态
[VR1] display ipsec sa  // 显示IPsec SA状态

[VR3] display ike sa  // 显示IKE SA状态
[VR3] display ipsec sa  // 显示IPsec SA状态

        这些命令用于显示IKE和IPsec的SA状态，以确认VPN隧道是否成功建立。检查这些状态将确保站点之间的通信是受保护的。

第六步：配置验证与测试

        现在可以看到PC1和PC 2是可以互相通信的， 通过按照上述步骤在eNSP中配置站点到站点的IPsec VPN，我们建立了安全的通信。确保每一步的命令都被正确配置是确保VPN正常运行的关键。

结论

        IPsec VPN为企业提供了一种安全、可靠的远程访问和站点到站点连接的解决方案。在部署之前，确保详细了解和理解所选配置选项，并根据网络需求进行正确的定制。