华为技术&ipsec安全策略模拟实验配置步骤✍

网段地址：
R1
G0/0/0 192.168.1.100 24
G0/0/1 200.1.13.1 24

R3
G0/0/0 200.1.13.2 24
G0/0/1 200.1.23.2 24

R2
G0/0/0 192.168.2.100 24
G0/0/1 200.1.23.1 24

PC1:192.168.1.1 24
PC2:192.168.2.1 24

第一步

配置Security ACL，用于匹配站点间通信网络之间的感兴趣流。
配置：

[R1-acl-adv-3000]rule 2 permit ip source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255 

IPSec使用高级ACL定义需要保护的数据流。IPSec根据ACL的规则来确定哪些报文需要安全保护，哪些报文不需要安全保护。
在隧道发起端，匹配（permit）高级ACL的数据流将被保护，即经过IPSec加密处理后再发送；不能匹配高级ACL的数据流则直接转发。
在隧道接收端，对数据流进行解密，并检查解密后的数据流是否匹配了ACL规则，丢弃不匹配ACL规则的报文。

ACL配置原则

1.若不同的数据流需要采用不同的安全策略来保护，则需要为之创建不同的ACL。

2.若不同的数据流可以采用相同的安全策略来保护，则可以在一条ACL中配置多条rule来保护不同的数据流。但是ACL中序列号大的rule不能完全包含序列号小的rule 的内容。

3.IPSec两端ACL规则定义的协议类型要一致，如：一端使用IP协议，另一端也必须使用IP协议。

4.同一个安全策略组中配置的ACL不能包含相同的rule规则。采用IKEv2进行协商时，同一个安全策略组中所有安全策略的引用的ACL的rule之间不能存在交集。

5.建议IPSec隧道两端配置的ACL规则互为镜像，即一端ACL规则的源地址和目的地址分别为另一端ACL规则的目的地址和源地址。

第二步

配置IKE安全提议，决定处理IKE流量的安全机制（可选：可以采用默认
IKE安全提议）

IKE对等体通过IKE安全提议来协商建立IKE SA所需要的
加密算法、
认证方法、
认证算法、
Diffie-Hellman组标识
安全联盟生存周期

[R1]ike proposal 10 (创建IKE安全提议)

[R1-ike-proposal-10]authentication-algorithm ?(配置认证算法)
  aes-xcbc-mac-96  Select aes-xcbc-mac-96 as the hash algorithm
  md5              Select MD5 as the hash algorithm
  sha1             Select SHA as the hash algorithm
  sm3              Select sm3 as the hash algorithm
[R1-ike-proposal-10]authentication-algorithm md5 

[R1-ike-proposal-10]encryption-algorithm ?(配置加密算法)
  3des-cbc     168 bits 3DES-CBC
  aes-cbc-128  Use AES-12