配置设备之间通过L2TPv3 over IPSec方式实现安全互通的示例

最新推荐文章于 2024-08-15 14:18:28 发布
最新推荐文章于 2024-08-15 14:18:28 发布
阅读量359 收藏 9
点赞数 4
文章标签： 安全 网络 运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2301_76769137/article/details/141133095
版权
组网需求

如图1所示，企业A有两个分支，分别通过LCCE接入到IP网络。分支1部署本地局域网，将LCCE1部署为网关设备。分支2部署本地局域网，将LCCE2部署为网关设备。

现企业希望通过L2TPv3隧道传输的业务进行安全保护，防止被窃取或篡改等。此时，可以配置L2TPv3 over IPSec的方式来加密保护企业的业务。

图1 配置分支机构之间通过L2TPv3 over IPSec方式实现安全互通组网图
 

配置思路

采用如下思路配置分支机构之间通过L2TPv3 over IPSec方式实现安全互通：

  1. 配置路由，保证LCCE1和LCCE2两端路由可达。

  2. 全局使能L2TPv3功能。

  3. 创建Tunnel接口并配置L2TPv3隧道参数。

  4. 配置Link-bridge，绑定Tunnel接口和AC接口。

  5. 配置ACL，定义需要IPSec保护的数据流。

  6. 配置IPSec安全提议，定义IPSec的保护方法。

  7. 配置IKE对等体，定义对等体间IKE协商时的属性。

  8. 配置安全策略，并引用ACL、IPSec安全提议和IKE对等体，确定对何种数据流采取何种保护方法。

  9. 在接口上应用安全策略组，使接口具有IPSec的保护功能。

操作步骤
  1. 分别在LCCE1和LCCE2上配置PW接口的IP地址和到对端的静态路由

    # 在LCCE1上配置PW接口的IP地址。

    <Huawei> system-view
[Huawei] sysname LCCE1
[LCCE1] interface gigabitethernet 0/0/1
[LCCE1-GigabitEthernet0/0/1] ip address 10.1.1.2 24
[LCCE1-GigabitEthernet0/0/1] quit

    # 在LCCE1上配置到对端的静态路由，此处假设到对端的下一跳地址为10.1.1.3。

    [LCCE1]ip route-static 10.1.2.0 255.255.255.0 10.1.1.3

    # 在LCCE2上配置PW接口的IP地址。

    <Huawei> system-view
[Huawei] sysname LCCE2
[LCCE2] interface gigabitethernet 0/0/1
[LCCE2-GigabitEthernet0/0/1] ip address 10.1.2.2 24
[LCCE2-GigabitEthernet0/0/1] quit

    # 在LCCE2上配置到对端的静态路由，此处假设到对端的下一跳地址为10.1.2.3。

    [LCCE2]ip route-static 10.1.1.0 255.255.255.0 10.1.2.3

  2. 全局使能L2TPv3功能

    # 在LCCE1上使能L2TPv3功能。

    [LCCE1] l2tpv3 enable

    # 在LCCE2上使能L2TPv3功能。

    [LCCE2] l2tpv3 enable

  3. 配置Tunnel接口下L2TPv3参数

    # 在LCCE1上创建Tunnel并配置Tunnel下的参数。

    [LCCE1] interface tunnel 0/0/1
[LCCE1-Tunnel0/0/1] tunnel-protocol svpn
[LCCE1-Tunnel0/0/1] encapsulation l2tpv3 static
[LCCE1-Tunnel0/0/1] l2tpv3 local session-id 1
[LCCE1-Tunnel0/0/1] l2tpv3 remote session-id 4
[LCCE1-Tunnel0/0/1] l2tpv3 local cookie length 4 plain lower-value 11
[LCCE1-Tunnel0/0/1] l2tpv3 remote cookie length 4 plain lower-value 22
[LCCE1-Tunnel0/0/1] tunnel-source 10.1.1.2
[LCCE1-Tunnel0/0/1] tunnel-destination 10.1.2.2
[LCCE1-Tunnel0/0/1] quit

    # 在LCCE2上创建Tunnel并配置Tunnel下的参数。

    [LCCE2] interface tunnel 0/0/1
[LCCE2-Tunnel0/0/1] tunnel-protocol svpn
[LCCE2-Tunnel0/0/1] encapsulation l2tpv3 static
[LCCE2-Tunnel0/0/1] l2tpv3 local session-id 4
[LCCE2-Tunnel0/0/1] l2tpv3 remote session-id 1
[LCCE2-Tunnel0/0/1] l2tpv3 local cookie length 4 plain lower-value 22
[LCCE2-Tunnel0/0/1] l2tpv3 remote cookie length 4 plain lower-value 11
[LCCE2-Tunnel0/0/1] tunnel-source 10.1.2.2
[LCCE2-Tunnel0/0/1] tunnel-destination 10.1.1.2
[LCCE2-Tunnel0/0/1] quit

  4. 配置Link-bridge功能

    # 在LCCE1上配置Link-bridge功能，使AC接口和Tunnel接口绑定。

    [LCCE1] interface GigabitEthernet 0/0/2 
[LCCE1-GigabitEthernet0/0/2] link-bridge tunnel0/0/1 tagged

    # 在LCCE2上配置Link-bridge功能，使AC接口和Tunnel接口绑定。

    [LCCE2] interface GigabitEthernet 0/0/2 
[LCCE2-GigabitEthernet0/0/2] link-bridge tunnel0/0/1 tagged

  5. 配置ACL，定义各自要保护的数据流

    隧道封装为IP协议（协议号是115），不支持UDP协议。

    # 在LCCE1上配置ACL。

    [LCCE1] acl number 3000 
[LCCE1-acl-adv-3000] rule permit 115 source 10.1.1.2 0 destination 10.1.2.2 0 
[LCCE1-acl-adv-3000] quit

    # 在LCCE2上配置ACL。

    [LCCE2] acl number 3000 
[LCCE2-acl-adv-3000] rule permit 115 source 10.1.2.2 0 destination 10.1.1.2 0 
[LCCE2-acl-adv-3000] quit

  6. 创建IPSec安全提议

    # 在LCCE1上配置IPSec安全提议。 
    [LCCE1] ipsec proposal rtb
[LCCE1-ipsec-proposal-rtb] esp authentication-algorithm sha2-256
[LCCE1-ipsec-proposal-rtb] esp encryption-algorithm aes-192
[LCCE1-ipsec-proposal-rtb] quit
    # 在LCCE2上配置IPSec安全提议。 
    [LCCE2] ipsec proposal rta
[LCCE2-ipsec-proposal-rta] esp authentication-algorithm sha2-256
[LCCE2-ipsec-proposal-rta] esp encryption-algorithm aes-192
[LCCE2-ipsec-proposal-rta] quit

  7. 配置IKE对等体

    # 在LCCE1上配置IKE安全提议。

    [LCCE1] ike proposal 1
[LCCE1-ike-proposal-1] encryption-algorithm aes-256
[LCCE1-ike-proposal-1] authentication-algorithm sha2-256
[LCCE1-ike-proposal-1] quit

    # 在LCCE1上配置IKE对等体，并根据默认配置，配置预共享密钥和对端ID。

    [LCCE1] ike peer rtb 
[LCCE1-ike-peer-rtb] ike-proposal 1
[LCCE1-ike-peer-rtb] pre-shared-key cipher huawei@123
[LCCE1-ike-peer-rtb] remote-address 10.1.2.2
[LCCE1-ike-peer-rtb] quit

    # 在LCCE2上配置IKE安全提议。

    [LCCE2] ike proposal 1
[LCCE2-ike-proposal-1] encryption-algorithm aes-256
[LCCE2-ike-proposal-1] authentication-algorithm sha2-256
[LCCE2-ike-proposal-1] quit

    # 在LCCE2上配置IKE对等体，并根据默认配置，配置预共享密钥和对端ID。

    [LCCE2] ike peer rta
[LCCE2-ike-peer-rta] ike-proposal 1
[LCCE2-ike-peer-rta] pre-shared-key cipher huawei@123
[LCCE2-ike-peer-rta] remote-address 10.1.1.2
[LCCE2-ike-peer-rta] quit

  8. 创建安全策略

    # 在LCCE1上配置IKE动态协商方式安全策略。

    [LCCE1] ipsec policy rtb 1 isakmp
[LCCE1-ipsec-policy-isakmp-rtb-1] ike-peer rtb
[LCCE1-ipsec-policy-isakmp-rtb-1] proposal rtb
[LCCE1-ipsec-policy-isakmp-rtb-1] security acl 3000
[LCCE1-ipsec-policy-isakmp-rtb-1] quit

    # 在LCCE2上配置IKE动态协商方式安全策略。

    [LCCE2] ipsec policy rta 1 isakmp
[LCCE2-ipsec-policy-isakmp-rta-1] ike-peer rta
[LCCE2-ipsec-policy-isakmp-rta-1] proposal rta
[LCCE2-ipsec-policy-isakmp-rta-1] security acl 3000
[LCCE2-ipsec-policy-isakmp-rta-1] quit

  9. 接口上应用各自的安全策略组，使接口具有IPSec的保护功能

    # 在LCCE1的PW接口上引用安全策略组。

    [LCCE1] interface gigabitethernet0/0/1
[LCCE1-GigabitEthernet0/0/1] ipsec policy rtb
[LCCE1-GigabitEthernet0/0/1] quit

    # 在LCCE2的PW接口上引用安全策略组。

    [LCCE2] interface gigabitethernet0/0/1
[LCCE2-GigabitEthernet0/0/1] ipsec policy rta
[LCCE2-GigabitEthernet0/0/1] quit

  10. 验证配置结果

    # 配置成功后，在主机PC1执行ping操作仍然可以ping通主机PC2，它们之间的数据传输将被加密。

    分别在LCCE1和LCCE2上执行display ipsec sa会显示所配置的信息，以LCCE1为例。

    [LCCE1] display ipsec sa
             
                                                                                                                                    
ipsec sa information:                                                                                                               
                                                                                                                                    
===============================                                                                                                     
Interface: GigabitEthernet0/0/1                                                                                                    
===============================                                                                                                     
                                                                                                                                    
  -----------------------------                                                                                                     
  IPSec policy name: "rtb"                                                                                                          
  Sequence number  : 1                                                                                                              
  Acl group        : 3000                                                                                                           
  Acl rule         : 5                                                                                                              
  Mode             : ISAKMP                                                                                                         
  -----------------------------                                                                                                     
    Connection ID     : 9                                                                                                         
    Encapsulation mode: Tunnel                                                                                                      
    Tunnel local      : 10.1.1.2                                                                                                    
    Tunnel remote     : 10.1.2.2                                                                                                    
    Flow source       : 10.1.1.2/255.255.255.255 0/0                                                                              
    Flow destination  : 10.1.2.2/255.255.255.255 0/0                                                                             
                                                                                                                                    
    [Outbound ESP SAs]                                                                                                              
      SPI: 1380002640 (0x52412b50)                                                                                                  
      Proposal: ESP-ENCRYPT-AES-192 ESP-AUTH-SHA2-256-128                                                                           
      SA remaining key duration (kilobytes/sec): 1532270/3514                                                                       
      Outpacket count       : 2686500                                                                                               
      Outpacket encap count : 2686495                                                                                               
      Outpacket drop count  : 0                                                                                                     
      Max sent sequence-number: 2686293                                                                                             
      UDP encapsulation used for NAT traversal: N                                                                                   
                                                                                                                                    
    [Inbound ESP SAs]                                                                                                               
      SPI: 2595661893 (0x9ab6a845)                                                                                                  
      Proposal: ESP-ENCRYPT-AES-192 ESP-AUTH-SHA2-256-128                                                                           
      SA remaining key duration (kilobytes/sec): 1490295/3514                                                                       
      Inpacket count        : 3068764                                                                                               
      Inpacket decap count  : 3068761                                                                                               
      Inpacket drop count   : 0                                                                                                     
      Max received sequence-number: 3068590                                                                                         
      UDP encapsulation used for NAT traversal: N                                                                                   
      Anti-replay : Enable                                                                                                          
      Anti-replay window size: 1024

    # 分别在LCCE1和LCCE2上执行display interface brief可以查看接口与IP相关的简要信息，包括IP地址、子网掩码、物理链路和协议的Up/Down状态以及处于不同状态的接口数目，以LCCE1显示为例。

    [LCCE1] display interface brief
PHY: Physical
*down: administratively down
(l): loopback
(s): spoofing
(b): BFD down
^down: standby
(e): ETHOAM down
InUti/OutUti: input utility/output utility
Interface                   PHY   Protocol  InUti OutUti   inErrors  outErrors
Atm8/0/0                    down  down         0%     0%          0          0
Atm8/0/1                    down  down         0%     0%          0          0
Atm8/0/2                    down  down         0%     0%          0          0
Atm8/0/3                    down  down         0%     0%          0          0
Cellular0/0/0               down  down         0%     0%          0          0
Cellular0/0/1               down  down         0%     0%          0          0
Ethernet1/0/0               up    up           0%     0%          0          0
Ethernet1/0/1               up    down      0.01%     0%          0          0
Ethernet2/0/0               down  down         0%     0%          0          0
GigabitEthernet0/0/0        up    up        0.01%  0.01%          0          0
GigabitEthernet0/0/1        up    up        0.01%     0%          0          0
GigabitEthernet0/0/2        up    up        0.01%     0%          0          0
GigabitEthernet0/0/3        up    down      0.01%     0%          0          0
GigabitEthernet3/0/0        down  down         0%     0%          0          0
MFR0/0/1                    down  down         0%     0%          0          0
Mp-group0/0/1               down  down         0%     0%          0          0
NULL0                       up    up(s)        0%     0%          0          0
Serial4/0/0                 up    up        0.05%  0.05%          0          0
Serial6/0/0                 down  down         0%     0%          0          0
Serial6/0/1                 down  down         0%     0%          0          0
Serial6/0/2                 down  down         0%     0%          0          0
Serial6/0/3                 down  down         0%     0%          0          0
Serial6/0/4                 down  down         0%     0%          0          0
Serial6/0/5                 down  down         0%     0%          0          0
Serial6/0/6                 down  down         0%     0%          0          0
Serial6/0/7                 down  down         0%     0%          0          0
Tunnel0/0/1                 up    up(s)        0%     0%          0          0
Virtual-Template1           up    down         0%     0%          0          0

    # 分别在LCCE1和LCCE2上执行display interface tunnel 0/0/1可以查看Tunnel接口状态为UP(spoofing)状态，以LCCE1显示为例。

    [LCCE1] display interface tunnel 0/0/1
Tunnel0/0/1 current state : UP
Line protocol current state : UP (spoofing)
Description:HUAWEI, AR Series, Tunnel0/0/1 Interface
Route Port,The Maximum Transmit Unit is 1500
Internet protocol processing : disabled
Encapsulation is TUNNEL, loopback not set
Tunnel protocol/transport SVPN/IP
Current system time: 2016-02-25 17:10:48
    300 seconds input rate 0 bits/sec, 0 packets/sec
    300 seconds output rate 0 bits/sec, 0 packets/sec
    99 seconds input rate 0 bits/sec, 0 packets/sec
    99 seconds output rate 0 bits/sec, 0 packets/sec
    0 packets input,  0 bytes
    0 input error
    0 packets output,  0 bytes
    0 output error
    Input bandwidth utilization  :    0%
    Output bandwidth utilization :    0%
网工鹏哥
关注
L2TP over IPsec复杂吗？有点！所以建议你看看这篇文章
衡水铁头哥的博客
02-05 1410
正文共：666 字 8 图，预估阅读时间：2 分钟我们之前介绍了IPsec（采用IKE野蛮模式建立保护IPv4报文的IPsec隧道），也介绍了L2TP VPN（巧用VSR的L2TP VPN功能实现访问云上业务），我说L2TP over IPsec会稍微复杂一点，但是说到底能有多复杂呢？我们之前操作过GRE over IPsec（GRE和IPsec搭配使用，到底是谁over谁？先看GRE over ...
三分钟教会你搭建gre over ipsec隧道
weixin_44799797的博客
05-30 5027
GRE OVER IPSEC VPN实验技术简介实验拓扑环境介绍配置文件 技术简介 VPN：虚拟专用网络，旨在解决不同内网穿越公网实现互访的问题，主要实现途径是在公网中搭建一个隧道，用于传输跨公网的内网流量。说人话就是在家里能上公司内网 -_- IPSEC VPN：是VPN的一种，通过IPSEC来加密内网流量，实现流量在公网中的安全传输 GRE OVER IPSEC VPN：旨在解决IPSEC VPN无法传输组播流量的问题，IPSEC加上GRE隧道可实现组播流量的可靠传输 实验拓扑 环境介绍 现总部需与分
VPN通信协议—L2TP协议之L2tpv3和L2tpv2的主要区别（个人总结）
weixin_45851865的博客
05-04 2501
笔者前期开发过L2tpv2协议，近期在开发L2tpv3协议，本文主要介绍二者的历史演进过程和主要区别。 总体而言，目前市面上的路由器交换机等网络通信设备多为支持L2tpv2为主，L2tpv3一般需要单独购买License，部分设备或在较高级别的城域路由器（如HW的NE40X/AR1000V系列）单独支持L2tpv3。网上可接触到的L2tpv3资料非常少，笔者在查阅大量学术论文和操作相关设备后总结本文，欢迎阅读。
L2TP OVER IPSEC原理详解
永远是少年
08-24 7701
今天继续给大家介绍HCIE安全。本文给大家介绍的是L2TP OVER IPSEC的相关内容。 阅读本文，您需要对L2TP和IPSEC有一定的了解，如果您对此还存在困惑，欢迎查阅我博客内的其他文章，相信您一定会有所收获！！！ 推荐阅读： IPSEC VPN简介 L2TP详解（一） L2TP详解（二） 一、L2TP OVER IPSEC原理 L2TP OVER IPSEC，类似于GRE IPSEV，都是先建立IPSEC隧道，然后再IPSEC建立的基础上，建立L2TP隧道，相关体系模式如下： 总部与分部网关已经
H3C SecPathF10X0_L2TP over IPSec配置.IOS、Android、Win7、Win10免客户端接入
04-07
H3C防火墙F10X0 V7版本，配置L2tp over ipsec，实现ios和android以及各版本Windows终端，免客户端接入的配置，内含关键配置点说明。
VPDN配置文档--L2TP_over_IPSec功能.pdf
09-09
 L2TP-Layer Two Tunneling Protocol，二层隧道协议... 数据没有加密机制，可通过 IPSEC 保证数据安全。  主要用途：企业驻外机构和出差人员可从远程经由公共网络，通过虚拟隧道实现和企业 总部之间的网络连接。
华为防火墙部署 l2tp over ipsec
jcjczjc的博客
01-26 2401
一般手机不能很好支持ssl vpn 和EAP认证, 客户需要部署L2TP OVER IPSEC 配置： interface Virtual-Template1 ppp authentication-mode chap ip address 172.16.19.1 255.255.255.0 firewall zone untrust set priority 5 add interface Dialer0 add interface Virtual-Template1 l2tp enab
ipsec+l2tp安装配置及插件
06-01
linux下ipsec+l2tp安装配置及插件
## 使用strongswan和xl2tpd配置l2tp over ipsec和Xauth
nerdsu的博客
06-03 3215
使用strongswan和xl2tpd配置l2tp over ipsec和Xauth yum install -y strongswan xl2tpd 编辑 /etc/strongswan/ipsec.conf uniqueids = no conn %default ikelifetime=3600s keylife=28800s rekeymargin=3h keyingtries=1 keyexchange=ikev2 mobike=no
VPN远程同时连接：IPsec站点到站点方式及L2TPoverIPsecVPN方式
最新发布
earthtoearth的博客
08-15 783
255.255.255.255 255.255.255.255 在链路上 127.0.0.1 455。255.255.255.255 255.255.255.255 在链路上 155.1.2.10 450。来自 10.1.12.10 的回复: 字节=32 时间=9ms TTL=254。来自 10.1.12.10 的回复: 字节=32 时间=8ms TTL=254。3、总部VPN拨号：L2TP模式、虚拟接口、拨号用户。
IPSec VPN 高级应用
Jun_share
04-04 1225
公网上架设多层隧道，整合不同隧道的优点，弥补缺点。
l2tp over ipsec配置的大概思路
qq_47529104的博客
04-09 1816
l2tp over ipsec的大概思路 先配置l2tp的内容，然后再正常地建立ipsec隧道，将创建后地ipsec policy挂在l2tp隧道的接口上。如果是client发起的,且使用的就是l2tp over ipsec那么从一开始就会在client发出相关请求报文就会包括l2tp隧道建立以及ipsec隧道的建立。如果是NAS发起的，那么pppoe的客户端所有的流量都是先到NAS，然后NAS再将这些流量通过l2tp隧道将流量转发给防火墙，也就是l2tp隧道的对端，那么针对这种网络场景，ipsec的隧道
GRE OVER IPSEC（野蛮模式）
weixin_46639226的博客
11-06 3722
## 野蛮模式适用于两端其中有一端地址不固定的情况 实验拓扑 实验思路 1.配置全网地址（这里的地址已经在图上规划，不在赘述） 2.配置ike 3.配置ipsec 4.配置GRE 地址配置完成之后，首先要保证公网可达，因为RT3和RT4是DHCP获取的地址，所以他们上面会有两条默认路由，下一跳是SW5，但是RT1上面没有往公网去的路由，所以要在RT1上配置一条默认路由 RT1 [H3C]ip route-static 0.0.0.0 0 100.1.1.254 RT3 （默认路由是DHCP下发的，优先级
GREoverIPsec的本质华为
qq_47529104的博客
12-16 1521
GRE相关 GREoverIPsec其实两者之间并没有直接的联系。我们首先说一下GRE配置的流程以及最后的结果 我们首先创建一个tunnel接口，在这个tunnel接口上面配置其协议是GRE，然后在tunnel隧道中指明出口IP以及对端IP，同时为隧道接口配置一个IP地址。 这样我们的虚拟隧道就创建成功，当然这个隧道的创建是双向的。我们可以将这个tunnel隧道看作是一个加工流水线，只有将数据包从这个流水线通过之后才会被封装额外的头部。 上面是GRE如何封装以及封装的内容是什么。 但是..
IPSec增强原理—L2TP over IPSec
WFlySky的博客
11-21 9151
L2TP over IPSec，即先用L2TP封装报文再用IPSec封装，这样可以综合两种VPN的优势，通过L2TP实现用户验证和地址分配，并利用IPSec保障通信的安全性。L2TP over IPSec既可以用于分支接入总部，也可以用于出差员工接入总部。 分支接入总部网络的L2TP over IPSec的工作原理如图1所示。 图1 L2TP over IPSec报文封装和隧道协商过程 报文在隧道中传输时先进行L2TP封装再进行IPSec封装。IPSec封装过程中增加的IP头即源地址为IPSec网关应用I
L2TPv3 概述
bingyu的博客
12-20 9161
L2TPv3 概述转载地址地址：https://ccie.lol/knowledge-base/l2tpv3 1、L2TP 协议之前的版本： L2TPv1 是思科私有协议，当时叫做 L2F；L2TPv2 是为远程访问设计的，只支持 PPP。 2、什么是 L2TP： L2TP（Layer 2 Tunneling Protocol）是一种工业标准的 Internet 隧道协议，功能大致和 PPTP 协议
L2TP与IPSec两种***的概要比较
weixin_34366546的博客
11-17 6859
一、L2TPL2TP（LayerTwoTunnelingProtocol，第二层通道协议）是×××（虚拟专用网络）技术的一种，专门用来进行第二层数据的通道传送，即将第二层数据单元，如点到点协议（PPP）数据单元，封装在IP或UDP载荷内，以顺利通过包交换网络（如internet），抵达目的地。L2TP提供了一种远程接入访问控制的手段，其典型的应用场景是：某公司员工通过P...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值