IPSec案例部署

最新推荐文章于 2024-03-22 14:26:13 发布
最新推荐文章于 2024-03-22 14:26:13 发布
阅读量1k 收藏 5
点赞数 2
分类专栏： 华为认证datacom实验 文章标签： 网络
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2301_76769137/article/details/134369968
版权

  1. 项目拓扑与项目求

项目需求

某企业网络使用ospf作为IGP协议实现内部网络的互联互通，区域规划和IP规划如图所示，现在要求实现如下需求：

  •  公司总部和分支之间互访，使用IPSec VPN传递流量，并且对其加密，公司内部访问公网直接访问，无需加密

  1. 实验步骤

步骤1：设备重命名以及IP地址的配置

设备

接口编号

IP地址

AR1

G0/0/0

100.1.1.1/24

G0/0/1

10.0.11.1/24

AR3

G0/0/0

64.1.1.3/24

G0/0/1

10.0.23.3/24

AR2

G0/0/0

100.1.1.2/24

G0/0/1

64.1.1.2/24

Loop back0

100.100.100.100/32（外网出口）

LSW1

Vlanif1

10.0.11.2/24

LSW2

Vlanif1

10.0.23.2/24

步骤二：按照规划划分vlan并开启vlanif接口，配置链路类型实现vlan之间的互通

LSW1的配置

<Huawei>system-view

[Huawei]sysname LSW1

[LSW1]vlan batch 10 20

[LSW1]interface g0/0/1

[LSW1-GigabitEthernet0/0/1]port link-type trunk

[LSW1-GigabitEthernet0/0/1]port trunk allow-pass vlan 10 20

[LSW1-GigabitEthernet0/0/1]quit

[LSW1]interface g0/0/2

[LSW1-GigabitEthernet0/0/2]port link-type access

[LSW1-GigabitEthernet0/0/2]port default vlan  10

[LSW1-GigabitEthernet0/0/2]quit

[LSW1]interface g0/0/3

[LSW1-GigabitEthernet0/0/3]port link-type trunk

[LSW1-GigabitEthernet0/0/3]port trunk  allow-pass  vlan 20

[LSW1]interface Vlanif 10

[LSW1-Vlanif10]ip address 192.168.1.254 24

[LSW1-Vlanif10]quit

[LSW1]interface Vlanif 20

[LSW1-Vlanif20]ip address 192.168.2.254 24

LSW2的配置

<Huawei>system-view

[Huawei]sysname LSW2

[LSW2]vlan 30 40

[LSW2-vlan30]quit

[LSW2]interface g0/0/1

[LSW2-GigabitEthernet0/0/1]port link-type trunk

[LSW2-GigabitEthernet0/0/1]port trunk allow-pass vlan 30 40

[LSW2-GigabitEthernet0/0/1]quit

[LSW2]interface g0/0/2

[LSW-GigabitEthernet0/0/2]port link-type access

[LSW2-GigabitEthernet0/0/2]port default vlan 30

[LSW2-GigabitEthernet0/0/2] interface g0/0/3

[LSW2-GigabitEthernet0/0/3] port link-type access

[LSW2-GigabitEthernet0/0/2]port default vlan 40

[LSW2]interface Vlanif 30   

[LSW2-Vlanif30]ip address 192.168.3.254 24

[LSW2-Vlanif30]quit

[LSW2]interface Vlanif 40

[LSW2-Vlanif100]ip address 192.168.4.254 24

PC静态配置IP地址，不做赘述

步骤2 ：配置OSPF实现公司内部通信，配置静态路由实现AR1和AR３路由可达

AR1的配置

[AR1]ospf

[AR1-ospf-1]area 0

[AR1-ospf-1-area-0.0.0.0]network 10.0.11.0　0.0.0.255

[AR1-ospf-1-area-0.0.0.0]quit

[AR1-ospf-1]quit

LSW1的配置

[LSW1]ospf

[LSW1-ospf-1]area 0

[LSW1-ospf-1-area-0.0.0.0]network 192.168.1.0　0.0.0.255

[LSW1-ospf-1-area-0.0.0.0]network 192168.2.0　0.0.0.255

[LSW1-ospf-1-area-0.0.0.10]network 10.0.11.0　0.0.0.255

[LSW1-ospf-1-area-0.0.0.10]quit

AR3的配置

[AR3]ip route-static 0.0.0.0 0 64.1.1.2

测试连通性：

[AR3]ping 100.1.1.1

  PING 100.1.1.1: 56  data bytes, press CTRL_C to break

    Request time out

    Reply from 100.1.1.1: bytes=56 Sequence=2 ttl=254 time=40 ms

    Reply from 100.1.1.1: bytes=56 Sequence=3 ttl=254 time=30 ms

    Reply from 100.1.1.1: bytes=56 Sequence=4 ttl=254 time=30 ms

    Reply from 100.1.1.1: bytes=56 Sequence=5 ttl=254 time=30 ms

  --- 100.1.1.1 ping statistics ---

    5 packet(s) transmitted

    4 packet(s) received

    20.00% packet loss

    round-trip min/avg/max = 30/32/40 ms

[AR3]ping 100.100.100.100

  PING 100.100.100.100: 56  data bytes, press CTRL_C to break

    Reply from 100.100.100.100: bytes=56 Sequence=1 ttl=255 time=60 ms

    Reply from 100.100.100.100: bytes=56 Sequence=2 ttl=255 time=20 ms

    Reply from 100.100.100.100: bytes=56 Sequence=3 ttl=255 time=30 ms

    Reply from 100.100.100.100: bytes=56 Sequence=4 ttl=255 time=30 ms

    Reply from 100.100.100.100: bytes=56 Sequence=5 ttl=255 time=40 ms

  --- 100.100.100.100 ping statistics ---

    5 packet(s) transmitted

    5 packet(s) received

    0.00% packet loss

    round-trip min/avg/max = 20/36/60 ms

下发缺省路由，使网关设备有去往对端的路由‘

AR1：

[AR1-ospf-1]default-route-advertise always

AR3：

[AR3-ospf-1]default-route-advertise always

查看LSW1的路由表：

[LSW1]display ip routing-table

Route Flags: R - relay, D - download to fib

------------------------------------------------------------------------------

Routing Tables: Public

         Destinations : 9        Routes : 9       

Destination/Mask    Proto   Pre  Cost      Flags NextHop         Interface

        0.0.0.0/0   O_ASE   150  1           D   10.0.11.1       Vlanif1

      10.0.11.0/24  Direct  0    0           D   10.0.11.2       Vlanif1

      10.0.11.2/32  Direct  0    0           D   127.0.0.1       Vlanif1

      127.0.0.0/8   Direct  0    0           D   127.0.0.1       InLoopBack0

      127.0.0.1/32  Direct  0    0           D   127.0.0.1       InLoopBack0

    192.168.1.0/24  Direct  0    0           D   192.168.1.254   Vlanif10

  192.168.1.254/32  Direct  0    0           D   127.0.0.1       Vlanif10

    192.168.2.0/24  Direct  0    0           D   192.168.2.254   Vlanif20

  192.168.2.254/32  Direct  0    0           D   127.0.0.1       Vlanif20

由表可知缺省路由下发成功

步骤3：配置IPSec　VPN

1.    用ACL匹配需要加密的流量

[AR1]acl number 3000 

[AR1-acl-adv-3000]rule 5 permit ip source 192.168.1.0 0.0.0.255 destination 192.168.3.0 0.0.0.255

[AR1-acl-adv-3000]rule 10 permit ip source 192.168.1.0 0.0.0.255 destination 192.168.4.0 0.0.0.255

[AR1-acl-adv-3000] rule 15 permit ip source 192.168.2.0 0.0.0.255 destination 192.168.3.0 0.0.0.255

[AR1-acl-adv-3000] rule 20 permit ip source 192.168.2.0 0.0.0.255 destination 192.168.4.0 0.0.0.255

[AR3]acl number 3000 

[AR3-acl-adv-3000]rule 5 permit ip source 192.168.3.0 0.0.0.255 destination 192.168.1.0 0.0.0.255

[AR3-acl-adv-3000]rule 10 permit ip source 192.168.3.0 0.0.0.255 destination 192.168.2.0 0.0.0.255

[AR3-acl-adv-3000]rule 15 permit ip source 192.168.4.0 0.0.0.255 destination 192.168.1.0 0.0.0.255

[AR3-acl-adv-3000] rule 20 permit ip source 192.168.4.0 0.0.0.255 destination 192.168.2.0 0.0.0.255

  1. 配置IKE的安全联盟（协商IPSec的协商报文传递时的加密、认证参数）

AR1的配置

[AR1]ike  proposal 1 //创建安全提议

[AR1]ike peer huawei v1     

[AR1-ike-peer-huawei]ike-proposal 1//调用写的提议

[AR1-ike-peer-huawei]pre-shared-key simple huawei //密钥huawei

[AR1-ike-peer-huawei]remote-address 64.1.1.3//配置对等体IP地址，即分公司的出口IP

AR3的配置：

[AR3]ike peer huawei v1

[AR3-ike-peer-huawei]pre-shared-key simple huawei

[AR3-ike-peer-huawei]ike-proposal 1

[AR3-ike-peer-huawei]remote-address 100.1.1.1

3.    配置IPSec的安全联盟（协商业务数据加密时使用的参数）

[AR1]ipsec proposal 1

[AR1]display ipsec proposal//缺省

Number of proposals: 1

IPSec proposal name: 1                           

 Encapsulation mode: Tunnel     //封装                      

 Transform         : esp-new

 ESP protocol      : Authentication MD5-HMAC-96  //认证                          

                     Encryption     DES //业务流量加密方式

  1. 配置IPSec的安全策略

AR1的配置：

[AR1]ipsec policy huawei 10 isakmp //创建安全策略 isa表示自动协商     

[AR1-ipsec-policy-isakmp-huawei-10]security  acl 3000

[AR1-ipsec-policy-isakmp-huawei-10]proposal 1

[AR1-ipsec-policy-isakmp-huawei-10]ike-peer huawei

AR3同理

[AR3]ipsec policy huawei 10 isakmp

[AR3-ipsec-policy-isakmp-huawei-10]security acl 3000

[AR3-ipsec-policy-isakmp-huawei-10]ike-peer huawei

[AR3-ipsec-policy-isakmp-huawei-10]proposal 1

5.调用IPSec的安全策略

[AR1-GigabitEthernet0/0/0]ipsec policy huawei

测试连通性：

PC>ping 192.168.3.1

Ping 192.168.3.1: 32 data bytes, Press Ctrl_C to break

From 192.168.3.1: bytes=32 seq=1 ttl=125 time=141 ms

From 192.168.3.1: bytes=32 seq=2 ttl=125 time=78 ms

From 192.168.3.1: bytes=32 seq=3 ttl=125 time=47 ms

From 192.168.3.1: bytes=32 seq=4 ttl=125 time=78 ms

From 192.168.3.1: bytes=32 seq=5 ttl=125 time=62 ms

--- 192.168.3.1 ping statistics ---

  5 packet(s) transmitted

  5 packet(s) received

  0.00% packet loss

  round-trip min/avg/max = 47/81/141 ms

抓包查看配置现象：

[AR1]display ipsec sa

 [Outbound ESP SAs]

      SPI: 331953965 (0x13c9372d)

      Proposal: ESP-ENCRYPT-DES-64 ESP-AUTH-MD5

      SA remaining key duration (bytes/sec): 1887360000/3429

      Max sent sequence-number: 5

      UDP encapsulation used for NAT traversal: N

    [Inbound ESP SAs]

      SPI: 499229182 (0x1dc1a1fe)

      Proposal: ESP-ENCRYPT-DES-64 ESP-AUTH-MD5

      SA remaining key duration (bytes/sec): 1887436500/3429

      Max received sequence-number: 5

发了5个包 加密5个包

步骤4：配置NAT，实现内网访问外网

AR１的配置：

[AR1]acl number 3001 

[AR1-acl-adv-3001]rule 5 deny ip source 192.168.1.0 0.0.0.255 destination 192.168.3.0 0.0.0.255

[AR1-acl-adv-3001]rule 10 deny ip source 192.168.1.0 0.0.0.255 destination 192.168.4.0 0.0.0.255

[AR1-acl-adv-3001]rule 20 deny ip source 192.168.2.0 0.0.0.255 destination 192.168.3.0 0.0.0.255

[AR1-acl-adv-3001]rule 25 deny ip source 192.168.2.0 0.0.0.255 destination 192.168.4.0 0.0.0.255

AR3同理不做赘述

PC1访问PC3：

PC>ping 192.168.3.1

Ping 192.168.3.1: 32 data bytes, Press Ctrl_C to break

From 192.168.3.1: bytes=32 seq=1 ttl=125 time=62 ms

From 192.168.3.1: bytes=32 seq=2 ttl=125 time=79 ms

From 192.168.3.1: bytes=32 seq=3 ttl=125 time=78 ms

From 192.168.3.1: bytes=32 seq=4 ttl=125 time=78 ms

From 192.168.3.1: bytes=32 seq=5 ttl=125 time=62 ms

--- 192.168.3.1 ping statistics ---

  5 packet(s) transmitted

  5 packet(s) received

  0.00% packet loss

  round-trip min/avg/max = 62/71/79 ms

可知NAT配置成功

关注+点赞+发送私信领取资料

网工鹏哥
关注
  • 2
    点赞
  • 踩
  • 5
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
VPN部署场景——IPSec VPN—点到点VPN（3）
君逍遥o
09-21 1038
如图所示，某公司总部内部有一台OA服务器，其余分3个支机构都需要通过vpn拨入总部内网对OA服务器进行访问，为了方便配置，总部不想有太多的配置，总部只建立一条vpn隧道，实现所有分支机构和总部的通讯。但各个分支与总部的私网地址重叠，需要使用VIP和NAT将两段的网段硬设备不同的IP地址。
H3C-IPSec方案部署
Galdys的专栏
11-23 2723
IPSec方案部署 通过前面几期的介绍可以发现IPSec所涉及的参数很多，在具体方案部署过程中有许多灵活选择的地方，本期专栏就专门对IPSec在几种典型环境中的方案部署进行介绍。 一、              常规IPSec方案 上图所示网络环境是最基本的IPSec应用场景： 1.       响应方无论在何种环境都是固定的公网地址； 2.       发起方也是固定的公网地址
ICG技术专栏---IPSec方案部署
Sun_Rise2011的专栏
12-09 903
通过前面几期的介绍可以发现IPSec所涉及的参数很多，在具体方案部署过程中有许多灵活选择的地方，本期专栏就专门对IPSec在几种典型环境中的方案部署进行介绍。 一、              常规IPSec方案 上图所示网络环境是最基本的IPSec应用场景： 1.       响应方无论在何种环境都是固定的公网地址； 2.       发起方也是固定的公网地址； 3.       双
技术点详解—IPSec方案部署
bingyu的博客
03-12 1583
技术点详解—IPSec方案部署通过前面几期的介绍可以发现IPSec所涉及的参数很多，在具体方案部署过程中有许多灵活选择的地方，本期专栏就专门对IPSec在几种典型环境中的方案部署进行介绍。一、              常规IPSec方案上图所示网络环境是最基本的IPSec应用场景：1.       响应方无论在何种环境都是固定的公网地址；2.       发起方也是固定的公网地址；3.
IPSec的搭建
qq_42235364的博客
08-16 6381
1.环境说明 本次安装基于CentOS 6.5（内核版本 2.6.32-431.el6.x86_64），其他linux版本命令有可能有出入。 StrongSwan 版本为5.8.0，本方案介绍基于预共享密钥的方式。 2.CentOS 端配置步骤 1）安装依赖的库： yum install pam-devel openssl-devel make gcc 2）下载strongswan： wget http://download.strongswan.org/strongswan.tar.gz.
ipsec等协议分析
07-20
IPSec（Internet Protocol Security）是网络层安全协议的集合，用于在互联网上提供安全通信。...通过阅读这两个PDF文件，读者将能深入理解IPSec协议的各个方面，并具备在实际网络环境中部署和管理IPSec的能力。
Ansible-ansible-ipsec.zip
09-18
Ansible 是一个强大的自动化工具，尤其在系统配置管理和应用程序部署方面表现出色。在这个名为 "Ansible-ansible-ipsec.zip" 的压缩包中，我们聚焦于使用 Ansible 配置 IPsec（Internet Protocol Security），这是一...
华为ME60典型配置案例集
01-08
华为ME60典型配置案例集是一本由华为技术有限公司发布的关于其运营商级设备ME60的配置指南，涉及多种接入认证技术以及网络场景的配置案例。文档内容详细，覆盖了从基础网络配置到安全接入认证的广泛主题。 知识点1...
部署IPv6网络
03-02
#### 九、案例研究 - **企业网络升级**：介绍企业在从IPv4向IPv6迁移过程中遇到的具体挑战及其解决方案。 - **教育机构部署**：探讨教育机构如何部署IPv6网络，以及它对学生和研究工作的影响。 - **服务提供商网络**...
IPv6规模部署与网络安全.pdf
06-10
中国科学技术大学（中国科大）作为一个信息化程度较高的学术机构，其校园网络IPv6的部署与管理实践为我们提供了一个很好的案例。中国科大的网络信息中心作为整个网络的核心管理单位，承担着维护网络正常运行的重任。...
思科IPS 设备配置部署简述
12-27
很多人在使用和配置IPS系列产品中遇到很多问题，甚至怀疑系列产品的功能及作用，其实这个产品的功能及特性勿庸置疑！只是如何利用好这个强大的产品真正的帮助最终用户解决问题 才是目前的重点, 特此撰写一篇关于IPS实施部署指南的文章，供大家参加。内容中如果有错误或者疏漏请直接改正，或者通过带外方式直接联系我，希望和大家一起讨论。此文章均依照IPS 5.X 软件版本为标准起草
ipsec vpn网关部署实验
最新发布
qq_64302290的博客
03-22 1078
还不了解ipsec协议簇的小伙伴可以移步到我之前的文章：ipsec协议簇详解（IPSec vpn）-CSDN博客 在上期我们已经将ipsec协议簇讲解的非常详细了，接下来我们做一个基于ipsec协议簇，在网关搭建ipsec vpn的实验：实验图：在边界防火墙上搭建IPSEC VPN，要求总公司的办公区能够与子公司的192.168.1.0/24网段通信；已知：FW6与FW7组成了双击热备，已经将各种的安全策略和NAT策略做了，办公区可以访问外网，要求在此基础上搭建IPSEC V
锐捷防火墙（WEB）——旁路部署IPSec
君逍遥o
09-27 1284
如图所示，通过VPN将2个局域网连接起来，实现192.1681.0/24与1.1.1.0/24两个网段的通信， NGFW2 ，采用单臂模式部署。
ipsec vpn 旁路nat，使用ike密钥交换
文强的博客
06-06 1960
实现总部和分部PC互通 互联网路由器: system interface GigabitEthernet0/0/0 ip address 1.1.1.2 255.255.255.0 # interface GigabitEthernet0/0/1 ip address 2.2.2.2 255.255.255.0 AR1: system sysname AR1 ip route-static 0.0.0.0 0.0.0.0 1.1.1.2 #上互联网的路由，配置到对端公网IP路由 ike prop
IPsec案例
fairy_xp的博客
04-12 409
某5G优享项目，为保证数据安全传输，客户预建立Ipsec传输隧道，在实施方案的设计过程中发现移动核心网侧只能配置Tunnel模式，而隧道客户侧深信服5GUPF下沉配置的是Acl模式,配置模式不匹配，因此不能建立传输隧道。（注：在5G UPF下沉建立IPSec隧道时只能使用tunnel模式）
VPN部署场景——IPSec VPN—点到点VPN（1）
君逍遥o
09-21 1698
如图所示，通过VPN将2个局域网连接起来，实现192.168.0.0/24与192.168.1.0/24两个网段的通信
centos部署ipsec
XiaoMa_Ge2019的博客
05-11 3602
***(virtual private network，虚拟专用网)就是在两个网络实体之间建立的一种受保护的连接，这两个实体可以通过点到点的链路直接相连，但通常情况下他们会相隔较远的距离。***方式有三种：Site-to-Site(站点到站点或者网关到网关)：如3个机构分布在互联网的3个不同的地方，各使用一个ipsec ***网关相互建立***隧道，企业内网(若干PC)之间的数据通过这些网关建立的...
windows10 LTSC 设置 IPsec 安全策略部署
王嘞嘞的前端之路
02-20 1048
方法：在windows10 中进行设置部署。设置安全策略，也就是 IPsec，需求：某个虚拟机要求只能使用一个固定ip进行远程，其他的ip都不行。阻止所有就选阻止，允许则就选许可。一、创建 IPsec。三、IP 筛选器设置。
华为防火墙IPSEC简单搭建
baidu_41701694的博客
09-05 3726
消息属于第一次交换（称为IKE_SA_INIT交换），以明文方式完成IKE SA的参数协商，包括协商加密和验证算法，交换临时随机数和DH交换。创建子SA交换包含两条消息，用于一个IKE SA创建多个IPSec SA或IKE的重协商，对应IKEv1的第二阶段。该交换必须在初始交换完成后进行，交换消息由初始交换协商的密钥进行保护。该交换的发起者可以是初始交换的协商发起方，也可以是初始交换的协商响应方。2-设置ike peer，主要设置协商用的密码，应用ike-proposal 和设置对端IP。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值