IPsec案例

最新推荐文章于 2024-07-28 14:48:07 发布
最新推荐文章于 2024-07-28 14:48:07 发布
阅读量412 收藏 2
点赞数
文章标签： 5G
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/fairy_xp/article/details/130104943
版权

Ipsec调试

一、问题概述

某5G优享项目，为保证数据安全传输，客户预建立Ipsec传输隧道，在实施方案的设计过程中发现移动核心网侧只能配置Tunnel模式，而隧道客户侧深信服5GUPF下沉配置的是Acl模式,配置模式不匹配，因此不能建立传输隧道。（注：在5G UPF下沉建立IPSec隧道时只能使用tunnel模式）

二、内容分析

1、IPSec传输模式分为隧道模式和传输模式

（1）隧道模式适用于公网传输，采用隧道封装认证加密传输，数据包进入隧道会在数据包前添加一个新的报文头部来隐藏源IP地址，保证数据在隧道中安全传输。

（2）传输模式仅适用于两台主机之间的通讯，或者是一台主机和一个安全网关之间的通讯。在传输模式下，对报文进行加密和解密的两台设备本身必须是报文的原始发送者和最终接收者。

2、隧道模式中保护数据流方式

1.基于ACL保护数据流；

2基于隧道tunnel方式保护数据流。

配置内容如下：

 

1.基于ACL保护数据流配置：

设备A配置

RouterA：

sysname RouterA

#配置ACL定义要保护的数据流

acl number 3101

 rule 5 permit ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255

#IPSec安全提议第二阶段验证

ipsec proposal tran1

 esp authentication-algorithm sha2-256

 esp encryption-algorithm aes-128

#

ike proposal 5  #ike的安全提议 第一阶段验证

 encryption-algorithm aes-cbc-128        

 authentication-algorithm sha1

#

ike peer spub v1 #对等体配置

 pre-shared-key cipher huawei

 ike-proposal 5

 remote-address 202.138.162.1  引用远端地址

#在tunnel中不用指定远端地址原因：引用隧道的目的地址

#

ipsec policy map1 10 isakmp

 security acl 3101

 ike-peer spub

 proposal tran1

interface GigabitEthernet0/0/1

 ip address 202.138.163.1 255.255.255.0

 ipsec policy map1  #端口使能IPSec

#

interface GigabitEthernet0/0/0

 ip address 10.1.1.1 255.255.255.0

#保证网络可达

ip route-static 202.138.162.0 255.255.255.0 202.138.163.2

ip route-static 10.1.2.0 255.255.255.0 202.138.163.2

#

return

设备B配置

sysname RouterB

#

acl number 3101

 rule 5 permit ip source 10.1.2.0 0.0.0.255 destination 10.1.1.0 0.0.0.255

#

ipsec proposal tran1

 esp authentication-algorithm sha2-256

 esp encryption-algorithm aes-128

#

ike proposal 5

 encryption-algorithm aes-cbc-128        

 authentication-algorithm sha2-256

#

ike peer spua v1

 pre-shared-key cipher huawei

 remote-address 202.138.163.1

#

ipsec policy use1 10 isakmp

 security acl 3101

 ike-peer spua

 proposal tran1

#

interface GigabitEthernet0/0/1

 ip address 202.138.162.1 255.255.255.0

 ipsec policy use1

#

interface GigabitEthernet0/0/0

 ip address 10.1.2.1 255.255.255.0

#

ip route-static 202.138.163.0 255.255.255.0 202.138.162.2

ip route-static 10.1.1.0 255.255.255.0 202.138.162.2

#

return

2.基于tunnel保护数据流方式配置：

设备A配置

sysname RouterA

#

# IPSec安全提议。

ipsec proposal tran1

 esp authentication-algorithm sha2-256

 esp encryption-algorithm aes-128

#

# IKE安全提议。

ike proposal 5

 encryption-algorithm aes-cbc-128

 authentication-algorithm sha2-256

#

#IKE对等体。

ike peer spub v2

 pre-shared-key cipher huawei

 ike-proposal 5

#

#配置安全框架。

ipsec profile profile1

 ike-peer spub

 proposal tran1

#

#接口上引用安全框架。

interface Tunnel0/0/0

 ip address 192.168.1.1 255.255.255.0

 tunnel-protocol ipsec

 source 202.138.163.1

 destination 202.138.162.1

 ipsec profile profile1

#

interface GigabitEthernet1/0/0

 ip address 202.138.163.1 255.255.255.0

#

interface GigabitEthernet2/0/0

 ip address 10.1.1.1 255.255.255.0

#

ip route-static 202.138.162.0 255.255.255.0 202.138.163.2

ip route-static 10.1.2.0 255.255.255.0 tunnel0/0/0 #保护的数据流引入tunnel中

#

Return

设备B配置：

 sysname RouterB

#

ipsec proposal tran1

 esp authentication-algorithm sha2-256

 esp encryption-algorithm aes-128

#

ike proposal 5

 encryption-algorithm aes-cbc-128

 authentication-algorithm sha2-256

#

ike peer spua v2

 pre-shared-key cipher huawei

 ike-proposal 5

#

ipsec profile profile1

 ike-peer spua

 proposal tran1

#

interface Tunnel0/0/0

 ip address 192.168.1.2 255.255.255.0

 tunnel-protocol ipsec

 source 202.138.162.1

 destination 202.138.163.1

 ipsec profile profile1

#

interface GigabitEthernet1/0/0

 ip address 202.138.162.1 255.255.255.0

#

interface GigabitEthernet2/0/0

 ip address 10.1.2.1 255.255.255.0

#

ip route-static 202.138.163.0 255.255.255.0 202.138.162.2

ip route-static 10.1.1.0 255.255.255.0 tunnel0/0/0

#

return

三、联调分析（以tunnel为例）

  1. 是否能到达网关：ping 网关进行测试
  2. 公网可不可达：联系分公司负责人或者核心网负责人询问测试是否可达

 

测试结果：可达完成。

  1. 隧道是否建立

Dis internet brief

 

  1. 隧道不通：检查Ipsec加密认证算法是否一致，配置中是否嵌套必须（ike prop/ipsec prop）配置

 

 

 

或者使用dis ipsec sa 查看基本配置

 

测试结果：成功建立完成。

  1. Ping测试对端隧道虚拟地址查看是否可通。

 

测试结果：Ping通完成。

  1. 新增地址是否能到服务器

查看是否有静态地址：

Dis this

 

  1. 联通成功

四、问题解决

在客户侧外添加一台路由器建立IPSec隧道使用tunnel模式保护数据流。新增路由器与深信服设备直连，实现数据安全传输。

fairy_xp
关注
  • 0
    点赞
  • 踩
  • 2
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
H3C_IPSec（主模式）及NAT转换综合配置案例
zsisle的博客
10-26 1568
本案例将以IPSec的主模式来演示出口路由如何配置IPSec来达到内网互通以及NAT转换来访问外网。
hcl的ipsec实验
qq_44933518的博客
11-27 2665
1.实验拓扑： 2.需求 1.总公司和分公司通过IPSec VPN连接 2.总公司和分公司都能访问外网 3.需求分析 1.这个实验既要实现vpn连接，也要实现外网的连接，则需要写两条acl，分别作为ipsec的感兴趣流和外网流量的匹配 2.这个实验的难点在于IPSec VPN的配置，IPSec VPN的配置复杂，而且VPN两边参数不一致，会导致VPN无法建立 4.配置步骤 注：这个步骤主要讲解IPSec VPN的配置，我这里演示的只有IPSec VPN的其中一种方法，而且为了配置简单，有些参数就直接使用了
IPSEC配置示例-基于路由静态IPSE
05-06
第一步，创建IKE第一阶段提议 第二步，创建IKE第二阶段提议 第三步，创建对端 第四步，创建IPSEC隧道 第五步，创建隧道接口，指定安全域，并将创建好的隧道绑定到接口 第六步，添加隧道路由 第七步，添加安全策略
IPSec例子
weixin_33916256的博客
03-26 377
实例一 例：一个公司的总部与分公司之间通过internet连接起来。实现1.0与2.0,3.0之间互相ping通。 手工的配置： 配置防火墙F2: 配置端口信息： interface Ethernet0/4 ip add192.168.2.1 24 interface Ethernet0/1 ip add 192.168.20.200 24 ...
华三IPsec VPN（野蛮模式）（案例）
最新发布
qq_73757784的博客
07-28 890
R1-ike-proposal-1]encryption-algorithm 3des-cbc //加密算法3des-cbc（双方一致）之间与LSP相连接；[R1-ike-keychain-1]pre-shared-key hostname R2 key simple 123456 //密码要一致。[R1-ipsec-policy-template-mytem-1]transform-set my //引用ipsec安全提议my。
IPSec在企业网中的应用 案例
cczsmile的博客
04-12 1629
IPSec在企业网中的应用 案例拓扑图： 配置R1：inter  e1ip add 192.168.1.1 24 inter s0ip add 192.168.10.200 24 ip route-static  0.0.0.0 0 192.168.10.1acl  3000rule permit ip source 192.168.1.0 0.0.0.255  dest 192.168.2.0 ...
ipsec的介绍及相关案例
weixin_33850015的博客
03-27 211
案例一 拓扑图： r1的配置： int e1 ip add 202.196.10.100 24 quit int e0 ip add 192.168.1.254 24 quit ip route 0.0.0.0 0 202.196.10.1 acl 3000 rule...
ipsec多点XXX配置案例
openlab网工之路
01-26 1206
实验拓扑： 案例配置需求： 1、R1和PC1模拟上海总公司，R2和PC2模拟福州公司，R3和PC3模拟广州公司，配置分公司和总公司通过IPSec XXX互联，分公司和分公司之间不能建立IPSec XXX。福州分公司访问广州分公司，流量必须经过总公司的IPSec XXX隧道。 2、设备之间互联的IP如图所示,采用XY.1.1.X/24，如R1和ISP（R4）互联地址，R1为14.1.1.1/24，...
GRE over IPSec 配置实例（HCL模拟器）
weixin_43795942的博客
08-07 2169
GRE简介 General Routing Encapsulation，简称GRE，是一种三层VPN封装技术。GRE可以对某些网络层协议（如IPX、Apple Talk、IP等）的报文进行封装，使封装后的报文能够在另一种网络中（如IPv4）传输，从而解决了跨越异种网络的报文传输问题。异种报文传输的通道称为Tunnel（隧道）。 GRE的应用场景 GRE over IPSec IPv6 over IPv4 扩大条数受限的网络工作范围 GRE VPN GRE的优缺点 优点： 支持多种上层协议 支持组播（支持组
网测科技_IPsec VPN吞吐测试案例
Netitest的博客
11-10 361
介绍IPsec VPN吞吐测试案例
防火墙技术案例5_双机热备(负载分担)组网下的IPSec配置.pdf
11-26
防火墙技术案例5_双机热备(负载分担)组网下的IPSec配置.pdf
ipsec ***在企业网中的综合应用案例
weixin_34248705的博客
08-09 140
拓扑设计： 概述 　　IPSEC是一套比较完整成体系的×××技术，它规定了一系列的协议标准。如果不深入探究IPSEC的过于详细的内容，我们对于IPSEC大致按照以下几个方面理解。 　　×××国家标准： 　　标准制定单位：华为技术有限公司、中兴、深信服科技有限公司、无锡江南信息安全工程技术中心 　　 为什么要导入IPSEC协议 　　导入...
信息安全实践2.1(IPSec应用)
沉在海里的鱼的博客
05-29 1141
信息安全实践二我感觉我做的比较好，基本都能实现了实验的要求。
IPSec：互联网协议安全机制的深度解析与应用
IT技术分享社区
07-01 849
因特网密钥交换（IKE）：IKE协议是IPSec中的核心组件，负责协商和管理IPSec连接的安全参数和密钥，包括建立安全关联（Security Associations, SAs）。而安全关联则是IPSec操作的具体实例，包含了所使用的安全协议（AH、ESP或两者）、加密和认证算法、密钥以及SA的有效期限等具体参数。封装安全载荷（ESP）：ESP协议除了提供类似AH的完整性保护外，还支持数据加密功能，通过在原始IP数据包外附加一个加密的安全载荷部分来保证数据的机密性。
ipsec协议_（故障案例）来自国外的IPSEC攻击导致爱快路由器带宽被占用满
weixin_39859220的博客
12-01 1671
今天一个老哥(一直支持我课程的朋友)，找我解决了一个奇怪的故障，那必须解决它！！01奇怪的故障外网流量被占用满老哥找我的时候，正好有时间这个图看了后是不是很怪异，WAN1的下行被占用满了，LAN1接内网的没多大流量02分析发现了问题，开始分析出现的可能性初步从是不是爱快的扩展业务繁心或者是开了L2TP/PPTP把带宽给占用了，但老哥说没有，然后禁止了ping后还是带宽跑满。03...
IPSec案例部署
2301_76769137的博客
11-13 1078
步骤二：按照规划划分vlan并开启vlanif接口，配置链路类型实现vlan之间的互通。步骤2 ：配置OSPF实现公司内部通信，配置静态路由实现AR1和AR３路由可达。3. 配置IPSec的安全联盟（协商业务数据加密时使用的参数）下发缺省路由，使网关设备有去往对端的路由‘配置对等体IP地址，即分公司的出口IP。步骤1：设备重命名以及IP地址的配置。步骤4：配置NAT，实现内网访问外网。步骤3：配置IPSec　VPN。5.调用IPSec的安全策略。发了5个包 加密5个包。
路由器基础（十二）：IPSEC VPN配置
limengshi138392的博客
11-04 9216
路由器基础（十二）：IPSEC VPN配置
HCIE-Security Day28：IPSec：实验(三）总部采用ISAKMP方式安全策略组与分支机构之间建立IPSec PN
小梁的博客
03-20 725
ISAKMP方式IPSec安全策略适用于对端IP地址固定的场景，一般用于分支的配置。 ISAKMP方式IPSec安全策略直接在IPSec安全策略视图中定义需要协商的各参数，协商发起方和响应方参数必须配置相同。配置了ISAKMP方式IPSec安全策略的一端可以主动发起协商。 如果说isakmp方式中ike的协商过程让我们感觉到采用手工配置的方法更简单，更好理解ipsec，那么我们使用总部分支的结构来理解isakmp的方式，就会发现比手工方式还是简单一些的。 需求和拓扑 某企业分为总部和两个分支...
华三模拟器(防火墙)实现IPSEC穿越NAT实验
qq_43590351的博客
11-30 9602
华三模拟器(防火墙)实现IPSEC穿越NAT实验 实验拓扑 接口及路由配置省略，FW1和FW2配置默认路由即可实现公网互通(测试两端公网互通即可开始操作) 另外防火墙的策略问题我是用的 any to any，接下来直接上IPSEC的配置 FW1 步骤一:在FW1上创建感兴趣流，匹配两端私网地址网段 [FW1] acl advanced 3002 [FW1] rule 5 permit ip source 192.168.1.0 0.0.0.255 destination 172.16.1.0 0.
IPSEC 主模式与野蛮模式配置案例
05-20
IPSec（Internet Protocol Security）是一种网络协议，用于在IP网络中提供数据的安全性、完整性和认证。IPSec有两种模式：主模式和野蛮模式。下面是它们的配置案例。 1. 主模式配置案例： 在主模式中，需要进行两次请求和响应，用于交换密钥和算法信息。以下是一个主模式IPSec VPN的配置案例： 首先，需要配置IKE策略。IKE（Internet Key Exchange）是一种安全协议，用于协商双方之间的安全参数和密钥。 ``` crypto isakmp policy 10 encr aes authentication pre-share group 2 lifetime 3600 ``` 上述代码中，“crypto isakmp policy 10”表示IKE策略的优先级为10，“encr aes”表示使用AES加密算法，“authentication pre-share”表示使用预共享密钥进行认证，“group 2”表示使用Diffie-Hellman组2交换密钥，“lifetime 3600”表示密钥的生命周期为3600秒。 接下来，需要配置预共享密钥。 ``` crypto isakmp key mykey address 1.1.1.1 ``` 上述代码中，“crypto isakmp key mykey”表示预共享密钥为“mykey”，“address 1.1.1.1”表示对方的IP地址为1.1.1.1。 然后，需要配置IPSec策略。 ``` crypto ipsec transform-set myset esp-aes esp-sha-hmac mode transport crypto map mymap 10 ipsec-isakmp set peer 1.1.1.1 set transform-set myset match address 100 ``` 上述代码中，“crypto ipsec transform-set myset”表示IPSec转换集的名称为“myset”，“esp-aes esp-sha-hmac”表示使用AES加密和SHA哈希算法，“mode transport”表示使用传输模式，“crypto map mymap 10 ipsec-isakmp”表示创建一个名称为“mymap”的加密映射，“set peer 1.1.1.1”表示对方的IP地址为1.1.1.1，“set transform-set myset”表示使用上面定义的IPSec转换集，“match address 100”表示匹配ACL 100。 最后，需要配置ACL。 ``` access-list 100 permit ip 10.0.0.0 0.0.0.255 host 2.2.2.2 ``` 上述代码中，“access-list 100 permit ip 10.0.0.0 0.0.0.255 host 2.2.2.2”表示允许从10.0.0.0/24网络中的任何主机向2.2.2.2发送IP数据报。 2. 野蛮模式配置案例： 在野蛮模式中，只需要进行一次请求和响应，但是存在安全隐患。以下是一个野蛮模式IPSec VPN的配置案例： 首先，需要配置IKE策略和预共享密钥，与主模式相同。 然后，需要配置IPSec策略。 ``` crypto ipsec transform-set myset esp-aes esp-sha-hmac mode tunnel crypto map mymap 10 ipsec-isakmp set peer 1.1.1.1 set transform-set myset match address 100 ``` 上述代码中，“mode tunnel”表示使用隧道模式。 最后，需要配置ACL。 ``` access-list 100 permit ip 10.0.0.0 0.0.0.255 20.0.0.0 0.0.0.255 ``` 上述代码中，“access-list 100 permit ip 10.0.0.0 0.0.0.255 20.0.0.0 0.0.0.255”表示允许从10.0.0.0/24网络中的任何主机向20.0.0.0/24网络中的任何主机发送IP数据报。 以上是IPSec主模式和野蛮模式的配置案例。在实际应用中，需要根据具体需求进行配置。
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值