【华为】IPsec VPN 实验配置（地址固定）

最新推荐文章于 2024-08-09 10:53:14 发布
最新推荐文章于 2024-08-09 10:53:14 发布
阅读量3.1k 收藏 43
点赞数 53
分类专栏： 华为 文章标签： 华为 网络 智能路由器 运维 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2301_77161465/article/details/135409951
版权

【华为】IPsec VPN 实验配置（地址固定）

在这里插入图片描述

注意

因为本篇文章，就是IPsec的实验配置的话，它们两端的IP地址是固定的
那么就用第一阶段的主模式（Main Mode）
和第二阶段的快速模式（Quick Mode）就好啦
后面会有一个地址不固定的情况下，这个就需要用到野蛮模式的，也就是第一阶段会更改模式啦

实验需求

R1为企业总部网关，R3为企业分部网关，分部与总部通过公网建立通信。分部子网为202.101.23.0/24，总部子网为202.101.12.0/24。

企业希望对分部子网与总部子网之间相互访问的流量进行安全保护。分部与总部通过公网建立通信，可以在分部网关与总部网关之间建立一个IPSec隧道来实施安全保护。
在这里插入图片描述

配置思路

  1. 基础配置, 配置接口的IP地址和到对端的静态路由，保证两端路由可达。

  2. 第一阶段 IKE SA
    ① 配置IKE安全提议，定义IKE保护数据流方法
    ② 配置IKE对等体，定义对等体间IKE协商时的属性

  3. 第二阶段 IPsec SA
    ① 配置ACL，以定义需要IPSec保护的数据流
    ② 配置IPSec安全提议，定义IPSec的保护方法
    ③ 配置安全策略，并引用ACL、IPSec安全提议和IKE对等体，确定对何种数据流采取何种保护方法

  4. 在接口上应用安全策略组，使接口具有IPSec的保护功能

IPsec VPN 本质：阶段一保护阶段二 阶段二保护数据

配置命令

拓扑

在这里插入图片描述

R1

基础配置

配置R1的基础配置，再用默认路由实现公网可达

[Huawei]sysn R1
[R1]undo info-center enable    ## 关闭CLI系统提示消息

[R1]int g0/0/0
[R1-GigabitEthernet0/0/0]ip address 202.101.12.1 24
[R1-GigabitEthernet0/0/0]qu

[R1]int g0/0/1
[R1-GigabitEthernet0/0/1]ip address 192.168.10.254 24    
[R1-GigabitEthernet0/0/1]qu

[R1]ip route-static 0.0.0.0 0.0.0.0 202.101.12.2          ##配置默认路由指向ISP_R2运营商，实现公网可达

配置第一阶段 IKE SA

协商出IKE SA ，对第二阶段IPsecSA的协商过程做保护

## 配置R1的IKE安全提议 ，名字为 1
[R1]ike proposal 1
[R1-ike-proposal-1]encryption-algorithm 3des-cbc  ## 加密算法
[R1-ike-proposal-1]authentication-algorithm md5   ## 认证算法
[R1-ike-proposal-1]dh group5                      ## dh组5
[R1-ike-proposal-1]qu

## 配置IKEv1对等体，名字为 1，配置预共享密钥和对端ID
[R1]ike peer 1 v1                            ## 版本要一致
[R1-ike-peer-1]ike-proposal 1                ## 关联IKE的安全提议
[R1-ike-peer-1]pre-shared-key simple 520     ## 预共享密钥也要一致
[R1-ike-peer-1]remote-address 202.101.23.3   ## 配置对端地址
[R1-ike-peer-1]qu

配置第二阶段 IPsec SA

在阶段1建立的IKE SA的保护下完成IPSec SA的协商

##配置高级ACL，匹配子网192.168.10.0/24去子网192.168.20.0/24的数据
[R1]acl 3000
[R1-acl-adv-3000]rule per ip source 192.168.10.0 0.0.0.255 destination 192.168.2
0.0 0.0.0.255
[R1-acl-adv-3000]qu

## 配置IPSec安全提议，命名为 1
[R1]ipsec proposal 1
[R1-ipsec-proposal-1]esp encryption-algorithm 3des        ## 采用ESP加密封装
[R1-ipsec-proposal-1]esp authentication-algorithm md5     ## 采用ESP认证
[R1-ipsec-proposal-1]encapsulation-mode tunnel            ## 传输模式为隧道模式
[R1-ipsec-proposal-1]qu

## 配置IKE协商方式安全策略，命名为 mypolicy  优先级为 1
[R1]ipsec policy mypolicy 1 isakmp 
[R1-ipsec-policy-isakmp-mypolicy-1]ike-peer 1             ## 关联IKE的对等体
[R1-ipsec-policy-isakmp-mypolicy-1]proposal 1             ## 关联IPsec 安全提议
[R1-ipsec-policy-isakmp-mypolicy-1]security acl 3000      ## 匹配需要保护的ACL数据流
[R1-ipsec-policy-isakmp-mypolicy-1]qu
 
## 接口上调用安全策略组
[R1]int g0/0/0
[R1-GigabitEthernet0/0/0]ipsec policy mypolicy             ## 调用策略mypolicy
[R1-GigabitEthernet0/0/0]qu

ISP_R2

基础配置

[Huawei]sysn ISP_R2

[ISP_R2]undo info-center enable
[ISP_R2]int g0/0/0
[ISP_R2-GigabitEthernet0/0/0]ip address 202.101.12.2 24
[ISP_R2-GigabitEthernet0/0/0]qu

[ISP_R2]int g0/0/1
[ISP_R2-GigabitEthernet0/0/1]ip address 202.101.23.2 24
[ISP_R2-GigabitEthernet0/0/1]qu

R3

基础配置

配置R3的基础配置，再用默认路由实现公网可达

[Huawei]sysn R3

[R3]undo info-center enable
Info: Information center is disabled.

[R3]int g0/0/0
[R3-GigabitEthernet0/0/0]ip address 202.101.23.3 24
[R3-GigabitEthernet0/0/0]qu

[R3]int g0/0/1
[R3-GigabitEthernet0/0/1]ip address 192.168.20.254 24
[R3-GigabitEthernet0/0/1]qu

[R3]ip route-static 0.0.0.0 0.0.0.0 202.101.23.2        ##配置默认路由指向ISP_R2运营商，实现公网可达

配置第一阶段 IKE SA

协商出IKE SA ，对第二阶段IPsecSA的协商过程做保护

[R3]ike proposal 1
[R3-ike-proposal-1]encryption-algorithm 3des-cbc 
[R3-ike-proposal-1]authentication-algorithm md5 
[R3-ike-proposal-1]dh group5
[R3-ike-proposal-1]qu
	
[R3]ike peer 1 v1	 
[R3-ike-peer-1]ike-proposal 1
[R3-ike-peer-1]pre-shared-key simple 520   
[R3-ike-peer-1]remote-address 202.101.12.1
[R3-ike-peer-1]qu

配置第二阶段 IPsec SA

在阶段1建立的IKE SA的保护下完成IPSec SA的协商

[R3]acl 3000
[R3-acl-adv-3000]rule 5 permit ip source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.2
55 
[R3-acl-adv-3000]qu

[R3]ipsec proposal 1
[R3-ipsec-proposal-1]encapsulation-mode tunnel 
[R3-ipsec-proposal-1]esp authentication-algorithm md5 
[R3-ipsec-proposal-1]esp encryption-algorithm 3des 
[R3-ipsec-proposal-1]qu

[R3]ipsec policy mypolicy 1 isakmp 
[R3-ipsec-policy-isakmp-mypolicy-1]ike-peer 1
[R3-ipsec-policy-isakmp-mypolicy-1]proposal 1
[R3-ipsec-policy-isakmp-mypolicy-1]security acl 3000
[R3-ipsec-policy-isakmp-mypolicy-1]qu

[R3]int g0/0/0
[R3-GigabitEthernet0/0/0]ipsec policy mypolicy
[R3-GigabitEthernet0/0/0]qu

PC

PC1

在这里插入图片描述

PC2

在这里插入图片描述

检查

抓包查看（华为的IPsec VPN 是自己触发的，可以不用手动去Ping呀）
在这里插入图片描述

建立成功

里面主模式交换六个报文，成功协商IKE SA
而快速模式的三个报文，就成功的协商IPsec SA
这两个出来就成功建立了 IPsec VPN，对流量实施了加密啦~
在这里插入图片描述

查看命令

查看IKE SA的基本信息
[R1]display ike sa
在这里插入图片描述
查看IPsec SA的基本信息
[R1]display ipsec sa

在这里插入图片描述

清除IKE / IPsec SA命令

在IPsec VPN 建立完成后，我们想修改一些东西的时候，需要把SA清除干净，这个时候才会去重新建立IPsec VPN,我们所添加的东西才会生效
提醒一下呀，就是先把自己需要改的东西先改好，然后再刷新一下
因为华为的IPsec是自动建立的

reset ike sa all
reset ipsec sa
在这里插入图片描述

配置文档

R1

sys
sysn R1 

undo info-center enable       

int g0/0/0
ip address 202.101.12.1 24
qu
int g0/0/1
ip address 192.168.10.254 24
qu
ip route-static 0.0.0.0 0.0.0.0 202.101.12.2

ike proposal 1
encryption-algorithm 3des-cbc 
authentication-algorithm md5 
dh group5
qu
	

ike peer 1 v1	 
ike-proposal 1
pre-shared-key simple 520   
remote-address 202.101.23.3
qu

ipsec proposal 1
encapsulation-mode tunnel 
esp authentication-algorithm md5 
esp encryption-algorithm 3des 
qu

acl 3000
rule 5 permit ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255 
qu

ipsec policy mypolicy 1 isakmp 
ike-peer 1
proposal 1
security acl 3000
qu

int g0/0/0
ipsec policy mypolicy
qu

R2

sys
sysn R2
int g0/0/0
ip address 202.101.12.2 24
qu
int g0/0/1
ip address 202.101.23.2 24
qu

R3


sys
sysn R3

undo info-center enable

int g0/0/0
ip address 202.101.23.3 24
qu
int g0/0/1
ip address 192.168.20.254 24
qu
ip route-static 0.0.0.0 0.0.0.0 202.101.23.2

ike proposal 1
encryption-algorithm 3des-cbc 
authentication-algorithm md5 
dh group5
qu
	

ike peer 1 v1	 
ike-proposal 1
pre-shared-key simple 520   
remote-address 202.101.12.1
qu

ipsec proposal 1
encapsulation-mode tunnel 
esp authentication-algorithm md5 
esp encryption-algorithm 3des 
qu

acl 3000
rule 5 permit ip source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 
qu

ipsec policy mypolicy 1 isakmp 
ike-peer 1
proposal 1
security acl 3000
qu

int g0/0/0
ipsec policy mypolicy
qu
张白夕
关注
专栏目录
防火墙配置IPSec VPN【IPSecVPN概念及详细讲解】
h1008685的博客
04-08 2348
ipsecvpn技术详细讲解，防火墙配置ipsec，NAT连用IPSecVPN问题解决思路
IPsecVPN配置命令
XX9566的博客
01-17 393
IPsecVPN
华为防火墙综合案例（IPSec、SSL、NAT、ACL、安全防护）
最新发布
zzz6583zz的博客
08-09 718
![image-20230314005459809](https://img- blog.csdnimg.cn/img_convert/ba1cb8bf075d5bd5a1bb67fbf06c7da6.png) 上网需求 服务器发布需求 VPN需求 攻击模拟 实验步骤 1、防火墙web页面管理配置![image-20230314010724217](https://img- blog.csdnimg.cn/img_convert/1110f333e2dbe068793fa2706fc
华为eNSP IPsec VPN配置指南
外游者
04-10 6538
虚拟专用网络（VPN）技术在现代网络中扮演着关键的角色，允许安全地连接不同位置的网络。在华为Enterprise Network Simulation Platform（eNSP）中，我们可以使用IPsec VPN配置站点到站点的安全连接。本章将详细介绍在eNSP中配置IPsec VPN的步骤，并解析每一条关键命令的含义。
华为路由器 IPSec VPN 配置
一直被模仿，从未被超越
05-31 8419
上面的网络情况跟生产环境基本一致。我们要在 R1 跟 R2 之间配置 IPSec VPN，实现上海与成都两地内网互通。PC1 不能访问 PC2，反之也是。PC1能访问 R2 的外网地址。PC2能访问 R1 的外网地址。一、首先完成网络配置。1、R1 路由器设置。二、配置 IPSec。1、R1 路由器设置。2、R2 路由器设置。
华为设备IPsec简单配置
qq_43432623的博客
12-16 1万+
IPsec VPN是指采用IPsec实现远程接入的一种VPN技术，通过在公网上为两个或多个私有网络之间建立IPsec通道，并通过加密和认证保证通道的安全性。IPsec保护的是点对点之间的通信，通过IPsec VPN可以实现主机和主机之间、主机和网关之间、网关和网关之间建立安全的隧道连接。工作在网络层，主要对网络层的报文进行加密和验证。
【华为】IPSec VPN手动配置
2301_77161465的博客
05-06 1398
这个主要是在软考里面会考到，平时项目中用的是IPSec 自动协商的，就是有IKE密钥交换协议在
华为IPSec VPN的配置
热门推荐
caolongbin的博客
09-08 2万+
基于华为ENSP的简单IPSecVPN实验
华为网络配置（IPSec）
1风天云月的博客
12-17 7416
目录 前言 一、IPSec概述 1、IPSec介绍 2、IPSec的安全性 3、安全联盟 4、安全协议 5、封装模式 6、传输模式和隧道模式比较 7、加密和验证 8、密钥交换 9、IKE协议 10、IKE安全机制 11、IKE版本 二、IPSec配置 1、案例 2、配置过程 （1）AR1 （2）AR2 （3）AR3 （4）在总公司上搭建简单web服务 3、测试 （1）分公司访问总公司 （2）总公司访问分公司 （3）访问总公司web服务 结语
华为设备IPsecVPN配置记录
weixin_45103766的博客
05-14 411
IPsec加密和验证算法所使用的密钥可以手工配置，也可以通过因特网密钥交换IKE协议动态协商，IKE协议建立在internet安全联盟和密钥管理协议ISAKMP框架之上，采用DH算法在不安全的网络上安全的分发密钥，验证身份，以保证数据传输的安全性。IKE协议可提升密钥的安全性，并降低 IPsec管理复杂度。默认sha2-256验证算法……2.配置Ipsec安全协议（封装模式，安全协议，加密算法和验证算法）IKE SA：主模式和野蛮模式：安全性低已被模板模式取代。RB的配置与RA类似，省略。
华为IPSec实验.zip
07-19
总部与分支机构之间建立IPSec VPN（总部采用固定IP，分部动态） 配置基于路由的IPSec VPN（采用预共享密钥认证） VPN高可用性-主备链路冗余 VPN高可用性-设备冗余 IPSec预共享密钥身份验证 Efficient VPN - 使用的...
华为防火墙IPSEC点到多点（SA+NAT穿越）策略模板方式成功配置
04-27
华为防火墙IPSEC点到多点（SA+NAT穿越）策略模板方式成功配置 全命令
华为防火墙SSL VPN隧道连接实验配置
加油！
05-20 6293
用于远程访问VPN，工作在应用层与传输层之间SSL VPN是以SSL协议为安全基础的VPN远程接入技术，移动办公人员（在SSL VPN中被称为远程用户）使用SSL VPN可以安全、方便的接入企业内网，访问企业内网资源，提高工作效率。SSL与IPSec、L2TP的区别：1.IPSec、L2TP缺点：远程用户终端上需要安装指定的客户端软件，导致网络部署、维护比较麻烦。2.IPSec、L2TP配置繁琐3.网络管理人员无法对远程用户访问企业内网资源的权限做精细化控制。
简单又复杂的IPSec vpn配置
m0_65896563的博客
06-01 922
不理解的不要管，先原封不动的打出来，然后在理解就容易了
华为HCIA进阶笔记：IPsec VPN原理与配置
君逍遥o
06-20 4850
企业对网络安全性的需求日益提升，而传统的TCP/IP协议缺乏有效的安全认证和保密机制。lPSec (Internet Protocol Security)作为一种开放标准的安全框架结构，可以用来保证lIP数据报文在网络上传输的机密性、完整性和防重放。
【华为】IPsec VPN 实验配置（动态地址接入）
2301_77161465的博客
01-08 2851
本篇文章是关于IPsec VPN的 实验配置，场景是在一段IP地址是固定和另一端IP地址不固定的情况下的，那里面的配置思路会和两端地址固定的场景有一些不一样，文章里面都有注释，会更好去理解啦等等
华为路由配置IPSec
09-20 502
用该方法配置后用抓包工具抓取的就看不到两个通讯点的IP，而显示的是加密点的IP。 转载于:https://www.cnblogs.com/yangyang1988/p/11559819.html
华为HCIA-IPSec VPN实验配置
qq_37257635的博客
06-05 2774
华为HCIA-IPSec VPN实验配置
IPsec配置流程华为
qq_47529104的博客
12-15 3098
如果使用GRE over IPsec，那么可以先配置IPsec profile，然后将IPsec profile应用在tunnel口上就好了。
帮我写gre over ipsec vpn实验文档
04-24
当然可以！下面是gre over ipsec vpn实验文档的基本步骤： 1.准备工作 在进行实验之前，你需要具备以下知识和技能： •网络基础知识（TCP/IP协议、子网掩码、IP地址、路由等） •GRE协议和IPSec协议的基本概念 •使用telnet工具访问路由器的基本操作 •使用Wireshark抓包分析的基本操作 •使用VPCS模拟本地主机的基本操作 此外，你还需要准备以下设备： •两台路由器（建议使用Cisco路由器） •一台计算机（用来运行Wireshark抓包工具） •两个VPCS（用来模拟本地主机） 2.配置GRE隧道 首先，你需要在两台路由器上配置GRE隧道。 具体步骤如下： （1）在Router1上创建一个隧道接口，并将Tunnel0接口的IP地址设置为192.168.100.1/24。 # configure terminal # interface tunnel 0 # ip address 192.168.100.1 255.255.255.0 # tunnel source fa0/0 # tunnel destination 10.0.0.2 # exit （2）在Router2上创建一个隧道接口，并将Tunnel0接口的IP地址设置为192.168.100.2/24。 # configure terminal # interface tunnel 0 # ip address 192.168.100.2 255.255.255.0 # tunnel source fa0/0 # tunnel destination 10.0.0.1 # exit 3.配置IPSec协议 接下来，你需要在两台路由器上配置IPSec协议，以加密隧道内的数据流。 具体步骤如下： （1）在Router1上创建IPSec策略，启用AH（认证头）协议，并将其应用到Tunnel0接口上。 # configure terminal # crypto isakmp policy 1 # encr aes # authentication pre-share # group 2 # exit # crypto isakmp key cisco123 address 10.0.0.2 # exit # crypto ipsec transform-set GRE-AH esp-aes esp-sha256-hmac # crypto map GRE 10 ipsec-isakmp # set peer 10.0.0.2 # set transform-set GRE-AH # match address VPN-TRAFFIC # exit （2）在Router2上创建IPSec策略，启用AH协议，并将其应用到Tunnel0接口上。 # configure terminal # crypto isakmp policy 1 # encr aes # authentication pre-share # group 2 # exit # crypto isakmp key cisco123 address 10.0.0.1 # exit # crypto ipsec transform-set GRE-AH esp-aes esp-sha256-hmac # crypto map GRE 10 ipsec-isakmp # set peer 10.0.0.1 # set transform-set GRE-AH # match address VPN-TRAFFIC # exit 4.测试GRE over IPSec VPN隧道 最后，你可以通过ping命令测试GRE over IPSec VPN隧道是否正常。 具体步骤如下： （1）在VPCS1上ping VPCS2的IP地址。 C:\> ping 192.168.1.2 如果VPN隧道正常工作，你会得到一个回复。 （2）在Wireshark中查看VPN隧道内的通信内容。 选择Tunnel0接口，启动抓包功能，并在VPCS1上执行ping命令。你可以看到通过VPN隧道传输的所有数据包。
评论 4
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

张白夕

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值