路由器基础（十二）：IPSEC VPN配置

最新推荐文章于 2025-03-21 15:09:14 发布
最新推荐文章于 2025-03-21 15:09:14 发布
阅读量1.4w 收藏 59
点赞数 8
分类专栏： Network 文章标签： 网络 智能路由器 运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/limengshi138392/article/details/134212857
版权

一、IPSec  VPN基本知识

        完整的IPSec协议由加密、摘要、对称密钥交换、安全协议四个部分组成。

        两台路由器要建立IPSecVPN连接，就需要保证各自采用加密、摘要、对称密钥 交换、安全协议的参数一致。但是IPSec协议并没有确保这些参数一致的手段。 同时，IPSec没有规定身份认证，无法判断通信双方的真实性，这就有可能出现 假冒现象.

        因此，在两台IPSec路由器交换数据之前就要建立一种约定，这种约定称为SA  (Security Association, 安全关联),它是单向的，在两个使用IPSec的实体(主机或路由器)间建立逻辑连接，定义了实体间如何使用安全服务(如加密)  进行通信。SA 包含安全参数索引 (Security Parameter Index,SPI)、IP目的地 址、安全协议 (AH 或者ESP) 三个部分。

二、构建IKE SA (第一阶段) 

        协商创建一个通信信道 (IKE  SA),并对该信道进行验证，为双方进一步的IKE通信 提供机密性、消息完整性及消息源验证服务，即构建一条安全的通道。

        IKE第一阶段的协商可以采用两种模式：主模式 (Main  Mode) 和野蛮模式(Aggressive  Mode),对于IP地址不是固定的情况(如ADSL 拨号上网，内置SIM 卡拨号运营商网络上网),并且双方都希望采用预共享密钥验证方法来创建IKE SA, 就需要采用野蛮模式。主模式一般采用IP地址方式标识对端设备，两端都是固定IP  地址的情况。

        主模式在IKE协商的时候要经过三个阶段： SA交换、密钥交换、ID 交换和验证；

        野蛮模式只有两个阶段： SA交换和密钥生成、ID交换和验证。

        主模式一般采用IP地址方式标识对端设备；野蛮模式可以采用IP地址方式或者域 名方式标识对端设备。相对而言，主模式更安全，而野蛮模式协商速度更快，VPN  的两个或多个设备都要设置成相同的模式VPN 才能建立成功。

第一阶段分为以下几步：

(1)参数协商。

该阶段协商以下参数：

        1)加密算法。可以选择DES 、3DES、AES等。

        2)摘要 (hash)  算法。可以选择MD5或SHA1。

        3)身份认证方法。可以选择预置共享密钥 (pre-share)认证或Kerberos方式认证。

        4)Diffie-Hellman密钥交换 (Diffie-Hellman key exchange,DH)算法一种确保   共享密钥安全穿越不安全网络的方法，该阶段可以选择DH1(768bit 长的密钥)、DH2(1024bit 长的密钥)、DH5 (1536bit 长的密钥)、DH14(2048bit 长的密钥)、DH15(3072bit 长的密钥)、DH16(4096bit 长的密钥)。

        5)生存时间 (life    time)。选择值应小于86400秒，超过生存时间后，原有的SA就 会被删除。

上述参数集合就称为IKE策略 (IKE Policy),而IKE SA就是要在通信双方之间找到相同的Policy。

(2)交换密钥。

(3)双方身份认证。

(4)构建安全的IKE通道。

三、构建IPSec SA  (第二阶段)

        第二阶段采用快速模式，利用第一阶段协商出来的共同的秘钥来进行加密，使 用已建立的IKE SA,协商IPSec参数，为数据传输建立IPSec SA。

构建IPSec SA的步骤如下：

(1)参数协商。

该阶段协商以下参数：

        1)加密算法。可以选择DES、3DES。

        2)Hash  算法。可以选择MD5、SHA1。

        3)生存时间 (life   time)。

        4)安全协议。可以选择AH或ESP。

        5)封装模式。可以选择传输模式或隧道模式。

上述参数称为变换集 (Transform     Set)。

(2)创建、配置加密映射集并应用，构建IPSec SA。

        第二阶段如果响应超时，则重新进行第一阶段的IKE SA协商。

四、IP sec VPN 配置 

        基于IPSec的VPN 隧道 配置通常用于企业分支与企业总部之间。如图所示，某企业的总部  与分支机构之间需要通过IPSecVPN 建立连接。其中RouterA为企业分支机 构的网关， RouterB为企业总部的网关，分支与总部通过公网建立基于IPSec的安全通信。假设分支子网为10.1.1.0/24,总部子网为10.1.2.0/24。

 1、配置采用IKE协商方式建立IPSec 隧道步骤

 (1)配置接口的IP地址和到对端的静态路由，保证两端路由可达。

(2)配置ACL,  以定义需要IPSec保护的数据流。

(3)配置IPSec安全提议，定义IPSec的保护方法。

(4)配置IKE对等体，确定对等体间IKE协商时的参数。

(5)配置安全策略，并引用ACL、IPSec 安全提议和IKE对等体，确定对每种数据流采取的保护方法。

(6)在接口上应用安全策略组，使接口具有IPSec的保护功能。

2、配置接口，确保IP网络是连通的 

(1)分别在RouterA 和RouterB  上配置接口的IP地址和到对端的静态路由，确保IP网络是连通的。

在RouterA 上配置接口的IP地址，命令如下：

<Huawei>system-view

[Huawei]sysname      RouterA

[RouterA]interface     gigabitethernet      1/0/0

[RouterA-GigabitEthernet1/0/0]ip address 202.138.163.1  255.255.255.0 //配置接口的IP地址

[RouterA-GigabitEthernet1/0/0]quit

[RouterA]interface gigabitethernet 2/0/0

[RouterA-GigabitEthernet2/0/0]ip address 10.1.1.1255.255.255.0

[RouterA-GigabitEthernet2/0/0]quit

        在RouterA上配置到对端的静态路由，为了配置简洁，此处假设到对端的下一跳地址为202.138.163.2。因此添加去往外网和内网的静态路由即可。

[RouterA]ip       route-static       202.138.162.0  255.255.255.0  202.138.163.2

[RouterA]ip route-static 10.1.2.0  255.255.255.0  202.138.163.2

 <Huawei>system-view

[Huawei]sysname RouterB

[RouterB]interface gigabitethernet 1/0/0

[RouterB-GigabitEthernet1/0/0]ip address 202.138.162.1  255.255.255.0

[RouterB-GigabitEthernet1/0/0]quit

[RouterB]interface gigabitethernet 2/0/0

[RouterB-GigabitEthernet2/0/0]ip address 10.1.2.1255.255.255.0

[RouterB-GigabitEthernet2/0/0]quit

[RouterB]ip route-static 202.138.163.0 255.255.255.0 202.138.162.2 

[RouterB]ip route-static 10.1.1.0  255.255.255.0  202.138.162.2

同样在 RouterB上配置与RouterA相对应的配置：

3、配置ACL,  定义需要保护的数据流

在RouterA上配置ACL, 定义由子网10.1.1.0/24到子网10.1.2.0/24的数据流。

[RouterA]acl number 3100

[RouterA-acl-adv-3100]rule 5 permit ip source 10.1.1.00.0.0.255 destination 10.1.2.00.0.0.255

[RouterA-acl-adv-3100]quit

在RouterB上配置ACL, 定义由子网10.1.2.0/24到子网10.1.1.0/24的数据流。 

[RouterB]acl number 3100

[RouterB-acl-adv-3100]rule 5 permit ip source 10.1.2.0 0.0.0.255  destination 10.1.1.0 0.0.0.255

[RouterB-acl-adv-3100]quit

4、创建IPSec安全提议

在RouterA上配置IPSec安全提议。

[RouterA]ipsec proposal tran1//创建名为tran1的安全提议

[RouterA-ipsec-proposal-tran1]esp authentication-algorithm sha2- 256//配置ESP的认证算法为SHA2-256

[RouterA-ipsec-proposal-tran1]esp encryption-algorithm aes-128//配置ESP的加密算法为AES-128

[RouterA-ipsec-proposal-tran1]quit

同样在RouterB上配置相关的IPSec安全提议。

[RouterB]ipsec proposal tran1

[RouterB-ipsec-proposal-tran1]esp authentication-algorithm sha2- 256

[RouterB-ipsec-proposal-tranl]esp encryption-algorithm aes-128

[RouterB-ipsec-proposal-tran1]quit

(4)配置IKE对等体

在RouterA上配置IKE安全提议。

[RouterA]ike proposal 5

[RouterA-ike-proposal-5]encryption-algorithm aes-128

[RouterA-ike-proposal-5]authentication-algorithm sha2-256

[RouterA-ike-proposal-5]dh group14 //配置DH 算法参数

[RouterA-ike-proposal-5]quit

在RouterA上配置IKE对等体，并根据默认配置，配置预共享密钥和对端ID。 [RouterA]ike peer spub

[RouterA-ike-peer-spub]undo version 2

[RouterA-ike-peer-spub]ike-proposal 5

[RouterA-ike-peer-spub]pre-shared-key  cipher  Huawei  //配置预共享密 钥为Huawei

[RouterA-ike-peer-spub]remote-address  202.138.162.1  //配置远端地址

[RouterA-ike-peer-spub]quit

在RouterB 上配置IKE安全提议

[RouterB]ike proposal 5

[RouterB-ike-proposal-5]encryption-algorithm aes-128

[RouterB-ike-proposal-5]authentication-algorithm sha2-256

[RouterB-ike-proposal-5]dh group14

[RouterB-ike-proposal-5]quit

在RouterB上配置IKE对等体，并根据默认配置，配置预共享密钥和对端ID。

[RouterB]ike peer spua

[RouterB-ike-peer-spua]undo version 2

[RouterB-ike-peer-spua]ike-proposal 5

[RouterB-ike-peer-spua]pre-shared-key cipher huawei

[RouterB-ike-peer-spua]remote-address 202.138.163.1

[RouterB-ike-peer-spua]quit

 6、创建安全策略

在RouterA上配置IKE动态协商方式安全策略。

[RouterA]ipsec policymap110 isakmp

[RouterA-ipsec-policy-isakmp-map1-10]ike-peer spub

[RouterA-ipsec-policy-isakmp-map1-10]proposal tran1

[RouterA-ipsec-policy-isakmp-map1-10]security acl 3100

[RouterA-ipsec-policy-isakmp-map1-10]quit

在RouterB上配置IKE动态协商方式安全策略。

[RouterB]ipsec policy usel 10 isakmp

[RouterB-ipsec-policy-isakmp-use1-10]ike-peer spua

[RouterB-ipsec-policy-isakmp-usel-10]proposal tran1

[RouterB-ipsec-policy-isakmp-use1-10]security acl 3100

[RouterB-ipsec-policy-isakmp-use1-10]quit

此时分别在RouterA和RouterB上执行display ipsec policy, 将显示所配置的信息。

在RouterA的接口上引用安全策略组。

[RouterA]interface gigabitethernet 1/0/0

[RouterA-GigabitEthernet1/0/0]ipsec policy map1

[RouterA-GigabitEthernet1/0/0]quit

在RouterB的接口上引用安全策略组。

[RouterB]interface gigabitethernet 1/0/0

[RouterB-GigabitEthernet1/0/0]ipsec policy use1

[RouterB-GigabitEthernet1/0/0]quit

VPN技术指南：OpenVPN和IPsec的配置与管理
Echo_Wish
12-03 676
OpenVPN和IPsec是两种强大的VPN解决方案，通过合理配置和管理，可以有效提高数据传输的安全性和网络的可靠性。本文详细介绍了OpenVPN和IPsec的配置步骤和优化方法，希望能为读者提供有价值的参考。如果有任何问题或需要进一步讨论，欢迎交流探讨。让我们共同推动网络安全技术的发展，为现代信息社会的高效运作保驾护航。
IPSec VPN配置
LCH131420的博客
12-08 1816
执行display ipsec proposal命令，验证配置结果。执行display ipsec proposal命令，验证配置结果。待OSPF收敛完成后，查看OSPF邻居以及路由表。步骤五 配置IPSec VPN提议。步骤七 在接口下应用IPSec策略。步骤四 配置ACL定义感兴趣流。步骤一 完成基本配置。步骤六 创建IPSec策略。步骤八 检测网络的连通性。步骤二 创建逻辑接口。步骤三 配置OSPF。
IPsec VPN（实验）
weixin_74436091的博客
11-20 2267
R1-Tunnel0/0/1]tunnel-protocol gre ## 定义隧道协议类型为GRE。[Huawei-GigabitEthernet0/0/1]ipsec policy myvpn //加入到连接外网的接口。[Huawei-Tunnel0/0/0]nhrp entry multicast dynamic //设置为监听连接模式。[Huawei-Tunnel0/0/0]tunnel-protocol gre p2mp //隧道设置为点对多点。
华为IPSec VPN的配置
热门推荐
caolongbin的博客
09-08 2万+
基于华为ENSP的简单IPSecVPN实验
第十四章，IPSec VPN
最新发布
firshman_start的博客
03-21 675
IPSec--->由IETF指定的一组开放的网络安全协议。IPSec协议簇--->解决了TCP/IP协议簇先天缺陷，没有考虑到数据传输的安全性。IPSec是针对IPv6来设计的。在IPv6场景中，IPSec属于强制使用。在IPv4网络中，IPSec属于可选项。IPSec VPN仅仅是基于IPSec协议簇构建的一种应用于网络层的VPN技术。信息安全三要素：1、机密性2、完整性3、可用性机密性实际上就是数据加密。借助了密码学，采用对称加密算法对数据进行加密和解密。
IPSec 技术详解：原理、应用与配置实践
zero_number的博客
03-12 1828
IPSec 是一组在网络层（OSI 模型第 3 层）为 IP 数据报提供安全保护的协议和服务集合。它由 IETF（互联网工程任务组）于 1995 年首次定义（RFC 1825-1829），并在后续演进中形成了当前标准（RFC 4301-4309）。IPSec 的核心目标是通过加密、完整性校验和身份验证，确保数据在不可信网络（如公共互联网）中的安全传输。与应用层安全（如 TLS/SSL）不同，IPSec 在网络层工作，能够保护所有基于 IP 的流量，而不仅是特定应用。
IPSEC VPN配置
m0_71264131的博客
04-14 2335
只有在RD状态才表明IKE SA建立成功，其他任何状态都是没有建立成功的。可以看到使用的IPSEC安全策略、IPSEC工作模式、隧道本地和对端IP。3.配置IPSEC VPN实现两端私网互通。Protocol是IPSEC使用的安全协议。2.配置静态路由以保证两端互通。1.正确配置各个IP地址。
关于IPSec VPN 的详细配置与讲解
weixin_74749868的博客
10-14 1万+
IPSec（Internet Protocol Security）是一套用于互联网协议（IP）层的安全协议组合，旨在保护IP通信的安全性。它通过认证、加密和数据完整性验证来确保数据在传输过程中的机密性和完整性。IPSec可以在IPv4和IPv6网络中使用，广泛应用于虚拟专用网络（VPN）和安全站点间通信。
IPsec VPN配置方式
Mario_Ti的博客
03-09 7344
文章详细介绍了IPsec VPN配置方式，有手工方式以及IKE方式，其中IKE方式又有IKEv1、IKEv2以及点对点、点对多点的问题，其中模板方式是一种能够简化配置的方式。
IPSec VPN 原理与配置
m0_73258133的博客
04-20 4173
VPN就是在两个网络实体之间建立的一种受保护的连接，这两个实体可以通过点到点的链路直 接相连，但通常情况下它们会相隔较远的距离。对于定义的“受保护”一词，可以从以下几个方面理解。实际工作环境中的VPN解决方案不一定包含上述所有功能，这要由具体的环境需求和实现方式 决定。而且很多企业可能采用不止一种的VPN解决方案。
华为路由器 IPSec VP* 配置
一直被模仿，从未被超越
05-31 1万+
上面的网络情况跟生产环境基本一致。我们要在 R1 跟 R2 之间配置 IPSec VPN，实现上海与成都两地内网互通。PC1 不能访问 PC2，反之也是。PC1能访问 R2 的外网地址。PC2能访问 R1 的外网地址。一、首先完成网络配置。1、R1 路由器设置。二、配置 IPSec。1、R1 路由器设置。2、R2 路由器设置。
华为路由器配置IPSEC VPN
aaheguosong的博客
05-07 1252
AR1为企业分支网关，AR2为企业总部网关，分支与总部通过公网建立通信。分支子网为10.0.10.0/24，总部子网为10.0.20.0/24。企业希望对分支子网与总部子网之间相互访问的流量进行安全保护。分支与总部通过公网建立通信，可以在分支网关与总部网关之间建立一个IPSec隧道来实施安全保护。由于分支子网较为庞大，有大量需要IPSec保护的数据流，可基于虚拟隧道接口方式建立IPSec隧道，对Tunnel接口下的流量进行保护，不需使用ACL定义待保护的流量特征。
Cisco Packet Tracer实战 - IPSec VPN配置练习
weixin_44517249的博客
02-29 5409
IPSec全称为Internet Protocol Security，是由Internet Engineering Task Force (IETF) 定义的安全标准框架，在公网上为两个私有网络提供安全通信通道,通过加密通道保证连接的安全——在两个公共网关间提供私密数据封包服务
VPN专题：IPsec VPN实验配置 超详细必码！
2301_76170756的博客
11-14 1497
ESP protocol : Authentication MD5-HMAC-96 //认证模式为MD5。IPSec proposal name: 1 //名字为1。[AR1]display ipsec proposal //查看IPSEC VPN 提议。[AR1]display ipsec policy //查看IPSEC的策略。Number of proposals: 1 //编号为1。（2）在AR1的g0/0/2抓包。（1）如图所示配置IP地址。
防火墙Ipsec vpn的配置
zljszn的博客
10-19 1万+
FW1-object-service-set-ike]service protocol udp destination-port 500 //添加IKE的服务，因为IKE的服务使用的事udp的500端口。rule name trust-untrust（双向访问，所以需要允许trust访问untrust区域，也需要允许untrust访问trust区域）4. 防火墙桥接物理网卡，开启网管界面，具体桥接的方式就不在介绍了，之前的文章有具体讲解ENSP怎么桥接物理网卡。ipsec的配置（FW2也一样）
IPSec VPN原理与配置
qq_61946091的博客
06-15 1万+
IPSec。
IPSEC---VPN
zhoutong2323的博客
03-04 6296
提示：这里对文章进行总结：例如：以上就是今天要讲的内容，本文仅仅简单介绍了pandas的使用，而pandas提供了大量能使我们快速便捷地处理数据的函数和方法。
IPSec VPN 基本配置实验（H3C）
kerio123的博客
04-15 5178
IPsec VPN指采用IPSec协议来实现远程接入的一种VPN技术，IPSec全称为Internet Protocol Security，是由Internet Engineering Task Force (IETF) 定义的安全标准框架，在公网上为两个私有网络提供安全通信通道,通过加密通道保证连接的安全——在两个公共网关间提供私密数据封包服务。IPSEC是一套比较完整成体系的VPN技术，它规定了一系列的协议标准。
简单又复杂的IPSec vpn配置
m0_65896563的博客
06-01 1204
不理解的不要管，先原封不动的打出来，然后在理解就容易了
利用思科模拟器完成GRE VPN配置
06-11
好的，我可以为您提供一些基本的GRE VPN配置步骤。在思科模拟器中进行GRE VPN配置，需要完成以下步骤： 1. 配置路由器的接口地址，例如：设置Tunnel接口和物理接口的IP地址，使其能够相互通信。 2. 配置GRE隧道，例如：创建一个GRE隧道，将物理接口和Tunnel接口绑定在一起，使其能够传输数据。 3. 配置IP路由，例如：在隧道接口上配置适当的路由，以确保数据可以正确地传输。 4. 配置VPN隧道加密，例如：设置IPsec加密，保护数据传输的安全。 以下是一个简单的GRE VPN配置示例，您可以根据自己的需要进行修改： ``` Router(config)# interface Tunnel0 Router(config-if)# ip address 192.168.10.1 255.255.255.0 Router(config-if)# tunnel source 192.168.1.1 Router(config-if)# tunnel destination 192.168.2.2 Router(config-if)# tunnel mode gre ip Router(config)# interface GigabitEthernet0/0 Router(config-if)# ip address 192.168.1.1 255.255.255.0 Router(config)# interface GigabitEthernet0/1 Router(config-if)# ip address 192.168.2.2 255.255.255.0 Router(config)# ip route 192.168.20.0 255.255.255.0 192.168.10.2 Router(config)# crypto isakmp policy 10 Router(config-isakmp)# authentication pre-share Router(config-isakmp)# encryption aes Router(config-isakmp)# hash sha Router(config-isakmp)# group 2 Router(config)# crypto isakmp key 12345678 address 192.168.2.2 Router(config)# crypto ipsec transform-set myset esp-aes esp-sha-hmac Router(config)# crypto map mymap 10 ipsec-isakmp Router(config-crypto-map)# set peer 192.168.2.2 Router(config-crypto-map)# set transform-set myset Router(config-crypto-map)# match address 101 Router(config)# access-list 101 permit ip 192.168.1.0 0.0.0.255 192.168.20.0 0.0.0.255 ``` 在这个配置示例中，我们创建了一个Tunnel0接口，并将其绑定到GigabitEthernet0/0和GigabitEthernet0/1接口上。我们还配置了一个IP路由，并设置了隧道加密。 请注意，这只是一个基本的GRE VPN配置示例。您需要根据自己的网络需求进行调整。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

梦实学习室

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值