【华三】IPsec VPN 实验配置（动态地址接入）

已于 2024-02-05 14:39:11 修改
阅读量2.3k 收藏 48
点赞数 27
分类专栏： 新华三 文章标签： 网络 安全 运维 新华三 VPN
于 2024-01-09 10:47:30 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2301_77161465/article/details/135464660
版权

【华三】IPsec VPN 实验配置（动态地址接入）

在这里插入图片描述

注意

本篇文章，它是关于新华三IPsec VPN的动态地址接入的实验配置，它与地址固定的不同，不同点在于，把第一阶段IKE的协商从主模式，改为了野蛮模式，从中R1（地址固定）的配置也有一些小改动
fqdn ：用于识别和验证用户身份
改动：

  1. fqdn：远端的IP地址更换为远端的fqdn
  2. 野蛮模式：把IKE协商从主模式改为野蛮模式
  3. 配置策略模板：这个时候使用Dynamic-map接入的，就需要实现配置策略模板，再用安全策略调用模板

细心的小伙伴就会看出来，R1这样子配置，IPsec VPN还能建立起来吗？
R1即不清楚对面的IP地址，这根本建立不起来吧
想的很细致，R1是知道对端的身份的，因为有对端的 fqdn，但R1 是找不到R3的，不清楚R3的IP地址

所以我们就需要转变一下思路，让R3去找R1，R3的配置是和地址固定的一样，知道对端IP地址，又知道哪些流量能通过，然后当R3单方面去找R1的时候，R1就会生成IPsec SA的信息，这里面就会产生对端的IP地址和需要保护的流量，就成功建立啦~

细节再下面的查看命令那边哦，往下翻啦~

实验需求

R1为企业总部网关，R3为企业分部网关，分部与总部通过公网建立通信。
分部子网不固定，而总部子网固定为202.101.12.0/24。

企业希望对分部子网与总部子网之间相互访问的流量进行安全保护。分部与总部通过公网建立通信，可以在分部网关与总部网关之间建立一个IPSec隧道来实施安全保护。

在这里插入图片描述

配置思路

R1（地址固定端）：

  1. 基础配置, 配置接口的IP地址和到对端的静态路由，保证两端路由可达。

  2. 第一阶段 IKE SA
    ① 配置IKE安全提议，定义IKE保护数据流方法
    ② 配置IKE对等体，定义对等体间IKE协商时的属性
    ③ 配置IKE profile，把前面两个关联在一起，再匹配到对端fqdn，然后在ike profile 把主模式改为野蛮模式，记住两边都需要改

  3. 第二阶段 IPsec SA
    ① 配置ACL，以定义需要IPSec保护的数据流
    ② 配置IPSec安全提议，定义IPSec的保护方法
    ③ 配置策略模板，包含IPSec安全提议和IKE profile，确定对何种数据流采取何种保护方法
    ④ 安全策略中引用该策略模板

  4. 在接口上应用安全策略组，使接口具有IPSec的保护功能

R3（动态地址接入端）：

  1. 基础配置, 配置接口的IP地址和到对端的静态路由，保证两端路由可达。

  2. 设置fqdn的名字

  3. 第一阶段 IKE SA
    ① 配置IKE安全提议，定义IKE保护数据流方法
    ② 配置IKE对等体，定义对等体间IKE协商时的属性
    ③ 配置IKE profile，把前面两个关联在一起，然后在ike profile中 把主模式改为野蛮模式，记住两边都需要改

  4. 第二阶段 IPsec SA
    ① 配置ACL，以定义需要IPSec保护的数据流
    ② 配置IPSec安全提议，定义IPSec的保护方法
    ③ 配置安全策略，并引用ACL、IPSec安全提议和IKE对等体，确定对何种数据流采取何种保护方法

  5. 在接口上应用安全策略组，使接口具有IPSec的保护功能

IPsec VPN 本质：阶段一保护阶段二 阶段二保护数据

配置命令

拓扑

在这里插入图片描述

R1

此时R3是动态地址接入，导致R1并不知道R3的IP地址，就会导致无法从R1发起IPsec 的建立，R1也需要把主模式改为野蛮模式，然后对端就用fqdn来标记，创建策略模板等

基础配置

配置R1的基础配置，再用默认路由实现公网可达

[H3C]sysn R1
[R1]undo info-center enable 

[R1]int g0/0
[R1-GigabitEthernet0/0]ip address 202.101.12.1 24
[R1-GigabitEthernet0/0]qu

[R1]int g0/1
[R1-GigabitEthernet0/1]ip address 192.168.10.254 24
[R1-GigabitEthernet0/1]qu

[R1]ip route-static 0.0.0.0 0.0.0.0 202.101.12.2          ##配置默认路由指向ISP_R2运营商，实现公网可达

配置第一阶段 IKE SA

协商出IKE SA ，对第二阶段IPsecSA的协商过程做保护

## 配置R1的IKE安全提议
[R1]ike proposal 1   ## ike的提案（需要用什么）
[R1-ike-proposal-1]encryption-algorithm 3des-cbc        ## 用3des加密IKE
[R1-ike-proposal-1]authentication-algorithm sha256      ## IKE用sha256 认证
[R1-ike-proposal-1]dh group5                            ## IKE 处于group5
[R1-ike-proposal-1]qu

## 采用PSK，配置与对等体的信息
[R1]ike keychain 1
[R1-ike-keychain-1]pre-shared-key hostname R3 key simple 520   
## 两边都要是 520 呀，而且这边是hostname R3哦
[R1-ike-keychain-1]qu

## ## 将上面两个整合在ike profile里面，匹配对等体，profile 名字为 1
[R1]ike profile 1
[R1-ike-profile-1]exchange-mode aggressive              ## 将主模式改为野蛮模式
[R1-ike-profile-1]proposal 1                            ## 引用安全提议 1
[R1-ike-profile-1]keychain 1                            ## 引用钥匙串 1
[R1-ike-profile-1]match remote identity fqdn R3         ## 对端的fqdn 为 R3  
[R1-ike-profile-1]qu

配置第二阶段 IPsec SA

在阶段1建立的IKE SA的保护下完成IPSec SA的协商

## IPSec SA的创建，转换集
[R1]ipsec transform-set myset
[R1-ipsec-transform-set-myset]encapsulation-mode tunnel           ## 流量以隧道的方式传输
[R1-ipsec-transform-set-myset]esp encryption-algorithm 3des-cbc   ## 数据加密算法
[R1-ipsec-transform-set-myset]esp authentication-algorithm sha256 ## 身份认证算法
[R1-ipsec-transform-set-myset]qu

## 配置高级ACL，匹配子网192.168.10.0/24去子网192.168.20.0/24的数据
[R1]acl advanced 3000 
[R1-acl-ipv4-adv-3000]rule permit ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255
[R1-acl-ipv4-adv-3000]qu

## 配置策略模板，名字为 tem，优先级为 1，并在安全策略中引用该策略模板
[R1]ipsec policy-template tem 1 
[R1-ipsec-policy-template-tem-1]ike-profile 1                     ## 引用ike-profile 1    
[R1-ipsec-policy-template-tem-1]transform-set myset               ## 引用IPsec转换集 myset
[R1-ipsec-policy-template-tem-1]security acl 3000                 ## 引用ACL
[R1-ipsec-policy-template-tem-1]qu

## 安全策略名字为 mypolicy,引用策略模板 tem
[R1]ipsec policy mypolicy 1 isakmp template tem 

## 出接口上调用安全策略组
[R1]int g0/0
[R1-GigabitEthernet1/0]ipsec apply policy mypolicy 
[R1-GigabitEthernet1/0]qu

ISP_R2

基础配置

[H3C]sysn ISP_R2

[ISP_R2]int g0/0
[ISP_R2-GigabitEthernet0/0]ip address 202.101.12.2 255.255.255.0
[ISP_R2-GigabitEthernet0/0]qu

[ISP_R2]int g0/1
[ISP_R2-GigabitEthernet0/1]ip address 202.101.23.2 255.255.255.0
[ISP_R2-GigabitEthernet0/1]qu

R3

基础配置

配置R3的基础配置，再用默认路由实现公网可达

[H3C]sysn R3

[R3]int g0/0
[R3-GigabitEthernet0/0]ip address 202.101.23.3 24
[R3-GigabitEthernet0/0]qu

[R3]int g0/1
[R3-GigabitEthernet0/1]ip address 192.168.20.254 24
[R3-GigabitEthernet0/1]qu

[R3]ip route-static 0.0.0.0 0.0.0.0 202.101.23.2        ##配置默认路由指向ISP_R2运营商，实现公网可达

配置第一阶段 IKE SA

协商出IKE SA ，对第二阶段IPsecSA的协商过程做保护

## 需要标记fqdn的名字
[R3]ike identity fqdn R3          ## 重点，千万别忘了

[R3]ike proposal 1
[R3-ike-proposal-1]encryption-algorithm 3des-cbc 
[R3-ike-proposal-1]authentication-algorithm sha256
[R3-ike-proposal-1]dh group5
[R3-ike-proposal-1]qu

[R3]ike keychain 1
[R3-ike-keychain-1]pre-shared-key address 202.101.12.1 key simple 520
[R3-ike-keychain-1]qu

[R3]ike profile 1
[R3-ike-profile-1]proposal 1
[R3-ike-profile-1]keychain 1
[R3-ike-profile-1]exchange-mode aggressive         
[R3-ike-profile-1]match remote identity address 202.101.12.1
[R3-ike-profile-1]qu

配置第二阶段 IPsec SA

在阶段1建立的IKE SA的保护下完成IPSec SA的协商

[R3]ipsec transform-set myset 
[R3-ipsec-transform-set-myset]encapsulation-mode tunnel 
[R3-ipsec-transform-set-myset]esp encryption-algorithm 3des-cbc 
[R3-ipsec-transform-set-myset]esp authentication-algorithm sha256
[R3-ipsec-transform-set-myset]qu

[R3]acl advanced 3000
[R3-acl-ipv4-adv-3000]rule permit ip source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255
[R3-acl-ipv4-adv-3000]qu

## 这边就不用策略模板了，直接用安全策略组就好啦
[R3]ipsec policy mypolicy 1 isakmp 
[R3-ipsec-policy-isakmp-mypolicy-1]ike-profile 1
[R3-ipsec-policy-isakmp-mypolicy-1]security acl 3000
[R3-ipsec-policy-isakmp-mypolicy-1]transform-set myset
[R3-ipsec-policy-isakmp-mypolicy-1]remote-address 202.101.12.1 
[R3-ipsec-policy-isakmp-mypolicy-1]qu

[R3]int g0/0
[R3-GigabitEthernet1/0]ipsec apply policy mypolicy
[R3-GigabitEthernet1/0]qu

PC

PC1

在这里插入图片描述

PC2

在这里插入图片描述

检查

抓包查看（此时，因为是一端是动态接入，地址不固定，R1没有对端的IP地址，没办法自动建立IPsec VPN，这个时候就需要用PC2，也就是动态地址接入那边发起Ping 包，使IPsec VPN通道建立！不然PC1 是 Ping 不通的）
在这里插入图片描述

建立成功

在动态地址接入的情况下，是用野蛮模式来替代主模式来进行IKE的协商，只需要交换三次就能够完成IKE的协商工程，产生IKE SA
然后就是快速模式的三个报文，就成功的协商IPsec SA
最后这两个出来就成功建立了 IPsec VPN，对流量实施了加密啦~
在这里插入图片描述

查看命令

查看IKE SA的基本信息
[R1]display ike sa
在这里插入图片描述

查看IPsec SA的基本信息

[R1]display ipsec sa
刚才，我在上面
在这里插入图片描述

清除IKE / IPsec SA命令

在IPsec VPN 建立完成后，我们想修改一些东西的时候，需要把SA清除干净，这个时候才会去重新建立IPsec VPN,我们所添加的东西才会生效，对了，两边都要清除掉呀

可以看到，当我去清除掉IKE SA的时候，再查看已经被清除掉了，还有IPsec SA，说明清除成功啦
reset ike sa
reset ipsec sa
在这里插入图片描述

配置文档

R1

sys
sysn R1

int g0/0 
ip address 202.101.12.1 24
qu

int g0/1
ip address 192.168.10.254 24
qu

ip route-static 0.0.0.0 0.0.0.0 202.101.12.2

ike proposal 1
encryption-algorithm 3des-cbc 
authentication-algorithm sha256
dh group5
qu

ike keychain 1
pre-shared-key hostname R3 key simple 520
qu

ike profile 1
exchange-mode aggressive      
proposal 1
keychain 1
match remote identity fqdn R3      
qu

ipsec transform-set myset 
encapsulation-mode tunnel 
protocol esp 
esp encryption-algorithm 3des-cbc 
esp authentication-algorithm md5 
qu

acl advanced 3000
rule 0 permit ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255
qu

ipsec policy-template tem 1 
ike-profile 1
transform-set myset
security acl 3000
qu

ipsec policy mypolicy 1 isakmp template tem 

int g0/0
ipsec apply policy mypolicy
qu

ISP_R2

sys
sysn ISP_R2

int g0/0
ip address 202.101.12.2 24
qu

int g0/1
ip address 202.101.23.2 24
qu

R3

sys
sysn R3

int g0/0 
ip address 202.101.23.3 24
qu

int g0/1
ip address 192.168.20.254 24
qu

ip route-static 0.0.0.0 0.0.0.0 202.101.23.2

ike identity fqdn R3 

ike proposal 1
encryption-algorithm 3des-cbc 
authentication-algorithm sha256
dh group5
qu
      
ike keychain 1
pre-shared-key address 202.101.12.1 key simple 520
qu

ike profile 1
proposal 1
keychain 1
exchange-mode aggressive         
match remote identity address 202.101.12.1
qu

ipsec transform-set myset
encapsulation-mode tunnel
protocol esp 
esp encryption-algorithm 3des-cbc 
esp authentication-algorithm md5 
quit 

acl advanced 3000
rule per ip so 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255
qu

ipsec policy mypolicy 1 isakmp 
security acl 3000
ike-profile 1
transform-set myset
remote-address 202.101.12.1
qu

int g0/0
ipsec apply policy mypolicy
qu
张白夕
关注
  • 27
    点赞
  • 踩
  • 48
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
H3C IPSec配置实例
weixin_33872660的博客
06-12 5727
配置步骤： 一、.使得R1与R3之间（公网之间）能够通信 [R1]ip route-static 0.0.0.0 0.0.0.0 12.1.1.2 [R3]ip route-static 0.0.0.0 0.0.0.0 23.1.1.2 二、IPSEC配置 R1配置： 1.配置感兴趣的数据流 [R1]acl num 3...
华三DHCP配置实验报告
12-27
【华三DHCP配置实验报告】详细解析 ...总之，华三DHCP配置实验是学习网络技术的重要实践环节，它涵盖了网络基础知识、动态IP分配、路由器配置等多个层面，对提升网络管理员的技能和理论知识大有裨益。
思科防火墙IPsec配置--野蛮模式(基于8.0版本)
xiayu0912的专栏
01-25 1690
动态crypto maps只设置在野蛮模式的接收端，和静态crypto maps一样，也是把一些分散的信息集中起来形成一个完整的ipsec连接信息，里面的匹配规则也和静态crypto maps一样从低到高匹配，配置方式也和静态crypto maps一样。配置cryto map。cryto map是一个列表，该列表记录那些数据包需要建立IPsec, 将前面配置的一些分散的信息绑定到一起形成一个ipsec连接的完整信息，这个列表有序号，序号可以随意填，匹配IPSEC参数的时候按照序号从低到高的顺序进行匹配。
10个步骤上车H3C GRE OVER IPSec VPN配置
最新发布
VEGETA的博客
06-25 956
10个步骤，带你上车H3C GRE OVER IPSec VPN配置
【华三】IPsec VPN 实验配置（地址固定）
2301_77161465的博客
01-09 2737
本篇讲的是新华三的IPsec VPN的配置，场景是在两端IP地址都是在固定的情况下，里面的配置都有加注释，较友好
基于华三HCL模拟器IPSec VPN组网与配置
MAY的博客
05-23 6453
IPsec在互联网中提供端到端的数据报通信安全，通过加密和认证方式保护IP数据报及其封装的数据。IPsec是一个框架协议，包括AH、ESP、SA、IKE等协议。IPsec可以采用直接传输和隧道封装两种模式工作，在通过互联网承载的站点间VPN中通常采用隧道模式。隧道模式是将原始IP数据报作为有效载荷封装在IPsec报头里。
IPSec VPN 基本配置实验（H3C）
kerio123的博客
04-15 2111
IPsec VPN指采用IPSec协议来实现远程接入的一种VPN技术，IPSec全称为Internet Protocol Security，是由Internet Engineering Task Force (IETF) 定义的安全标准框架，在公网上为两个私有网络提供安全通信通道,通过加密通道保证连接的安全——在两个公共网关间提供私密数据封包服务。IPSEC是一套比较完整成体系的VPN技术，它规定了一系列的协议标准。
基于HCL模拟器华三设备IPsec vpn的配置实验
WANGMH13的博客
08-01 5685
基于HCL模拟器华三设备IPsec vpn的配置实验
华三DHCP及DHCP 中继实验配置
07-07
在本实验中，我们将学习如何配置华三DHCP服务器，以及如何使用DHCP中继来跨网段自动分配IP地址。 DHCP服务器配置 要配置R1为DHCP服务器，我们需要执行以下步骤： 1. 配置IP地址：在R1上配置IP地址为192.168.1.254...
华三交换机配置vrrp_实验演示
07-07
华三交换机配置VRRP实验演示 VRRP（Virtual Router Redundancy Protocol，虚拟路由器冗余协议）是一种路由器冗余协议，用于实现路由器的高可用性和冗余性。在本实验中，我们将使用华三交换机来配置VRRP，实现路由器...
华三交换技术（Vlan配置）实验报告
12-27
【华三交换技术（VLAN配置）实验报告】 在计算机网络中，VLAN（Virtual Local Area Network，虚拟局域网）是一种将物理网络划分为多个逻辑网络的技术，它有助于提高网络的安全性和管理效率。本实验旨在让学生掌握...
ipsec(分支动态IP)
05-07
在实际的应用中,经常需要使用HUB-Spoke类型的组网,即一个总部到多个分支机构的组网,分支节点建立到总部的IPSEC 隧道,各个分支机构之间的通信由总部节点转发和控制.实
H3C路由器两种ipsec-gre配置总结.pdf
10-30
H3C路由器两种ipsec-gre配置总结.pdf
H3C+IPsec+NAT穿越配置举例
12-17
H3C+IPsec+NAT穿越配置举例
华三用户接入与认证配置指导-整本手册
04-03
华三用户接入与认证配置指导-整本手册
华三防火墙-IPsec VPN配置
qq_53146347的博客
04-20 902
公司需要搭建VPN让子公司连接内网服务器直接获取内网数据，使用IPsec VPN进行对接，预共享密钥：123456。
华三路由器ER3260 ipsec配置
ye_hua的博客
08-11 1603
路由器ipsec vpn 配置笔记
H3C-两台防火墙采用公网固定地址方式搭建IPSEC VPN配置案例(华三-主模式）
m0_68265458的博客
04-11 2019
H3C-两台防火墙采用公网固定地址方式搭建IPSEC VPN配置案例(华三-主模式）
华三ipsec 配置分析、举例
undoshutdown的博客
01-29 1788
ipsec apply policy policy1 //在设备wan口引用ipsec 策略 policy1。ipsec policy policy1 1 isakmp //新建ipsec 策略 policy1 序号1。ipsec policy policy1 1 isakmp //新建ipsec 策略 policy1 序号1。
华三IPsec over GRE VPN 实验
04-29
华三IPsec over GRE VPN 实验可以分为以下几个步骤： 1. 配置GRE隧道：在两个VPN网关设备上分别配置GRE隧道，并配置隧道IP地址和隧道端点地址。 2. 配置IPSec加密：在两个VPN网关设备上分别配置IPSec加密，包括设置加密协议、加密算法、预共享密钥等参数。 3. 配置路由：在两个VPN网关设备上配置路由，将隧道IP地址和隧道端点地址加入路由表。 4. 测试连接：通过ping命令或其他网络工具测试IPSec over GRE VPN连接是否可用。 下面是一个具体的实验步骤： 1. 在两个华三VPN网关设备上分别配置隧道IP地址和隧道端点地址，比如设备A上配置隧道IP地址为10.1.1.1，隧道端点地址为192.168.1.1；设备B上配置隧道IP地址为10.1.1.2，隧道端点地址为192.168.1.2。 2. 在两个华三VPN网关设备上配置IPSec加密，比如设置加密协议为ESP，加密算法为AES，预共享密钥为123456。 3. 在设备A上配置路由，将隧道IP地址和隧道端点地址加入路由表： ``` ip route 192.168.1.0/24 10.1.1.2 ip route 10.1.1.2/32 10.1.1.1 ``` 在设备B上也配置类似的路由。 4. 测试连接，可以在设备A上ping设备B的隧道端点地址192.168.1.2，也可以在设备B上ping设备A的隧道端点地址192.168.1.1。 如果连接正常，就可以进行数据传输了。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

张白夕

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值