IPSec的高可靠性

最新推荐文章于 2023-12-08 15:41:57 发布
最新推荐文章于 2023-12-08 15:41:57 发布
阅读量3.3k 收藏 25
点赞数 2
分类专栏： 网络安全 文章标签： IPSec VPN VPN
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_38265137/article/details/89893795
版权

IPSec高可靠性技术

IPSec VPN高可靠性概述：

IPSec隧道由网络设备和链路组成，设备故障或者链路故障都会导致IPSec隧道中断，存在单点故障。因此在设计IPSec VPN高可靠性时既要考虑保护链路，也需要考虑保护网络设备。

IPSec高可靠性设计可以分为两类，一种是链路冗余，另一种是主备网络备份。其中链路冗余可以分为主备链路备份和隧道化链路备份。

解决链路单点故障

解决方案概述：

多链路两种思路：

  • A. 链路的主备方式

    2:1模式 2:2 模式

  • B.隧道化的备份 ----华为建议

通过Tunnel接口进行链路冗余备份可以实现多条链路的冗余备份，而且与主备链路冗余备份相比，配置更简单，流量切换速度更快。

主备链路模式缺点：当主链路DOWN以后切换至备份链路需要重新触发IKE SA IPSEC SA,造成业务中断

隧道备份方式

  • 优点：当物理接口DOWN了，不影响IPSEC隧道的SA，不会影响业务的中断
  • 缺点：隧道接口需要一个公网IP地址。

IPSec 主备链路备份配置示例：

在这里插入图片描述

图：IPsec 主备链路配置拓扑图

2:1模式的配置思路：

2端 
第一步：配置IPSEC VPN 
阶段一：                                  
ike proposal 10
 authentication-algorithm sha2-256
 integrity-algorithm hmac-sha2-256
#
ike peer fw2
 pre-shared-key Huawei@123
 ike-proposal 10
 remote-address 10.1.21.10

阶段二： 
acl number 3000
 rule 5 permit ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255
acl number 3001
 rule 5 permit ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255
注意：需要配置两个ACL 

ipsec proposal 10
 esp authentication-algorithm sha2-256

ipsec policy map1 10 isakmp
 security acl 3000
 ike-peer fw2
 alias map1_10
 proposal 10
#
ipsec policy map2 10 isakmp
 security acl 3001
 ike-peer fw2
 alias map2_10
 proposal 10   

注意：配置两个IPSEC策略对应对方的两个
                            
interface GigabitEthernet0/0/2
 ip address 202.100.1.10 255.255.255.0
 ipsec policy map1
#                                         
interface GigabitEthernet0/0/3
 ip address 202.100.2.10 255.255.255.0
 ipsec policy map2
---------------------------------------------
1端
阶段一： 
ike proposal 10
 authentication-algorithm sha2-256
 integrity-algorithm hmac-sha2-256
#
ike peer a1
 pre-shared-key Huawei@123
 ike-proposal 10
 remote-address 202.100.1.10

#
ike peer a2
 pre-shared-key Huawei@123
 ike-proposal 10
 remote-address 202.100.2.10
注意：需要配置两个PEER，对应不同的物理接口

阶段二：
acl number 3000
 rule 5 permit ip source 10.1.2.0 0.0.0.255 destination 10.1.1.0 0.0.0.255
acl number 3001
 rule 5 permit ip source 10.1.2.0 0.0.0.255 destination 10.1.1.0 0.0.0.255

注意：需要配置两个感兴趣流                                       

ipsec proposal 10
 esp authentication-algorithm sha2-256
#
ipsec policy map1 10 isakmp
 security acl 3000
 ike-peer a1
 alias map1_10
 proposal 10
#                                         
ipsec policy map2 10 isakmp
 security acl 3001
 ike-peer a2
 alias map2_10
 proposal 10

注意：配置两个IPSEC策略

interface Tunnel1
 ip address unnumbered interface GigabitEthernet0/0/2
 tunnel-protocol ipsec  ----------隧道协议为IPSEC封装
 ipsec policy map1
#
interface Tunnel2
 ip address unnumbered interface GigabitEthernet0/0/2
 tunnel-protocol ipsec
 ipsec policy map2 

第二步：规划路由
主备模式
2端
 ip route-static 0.0.0.0 0.0.0.0 202.100.2.254 preference 100
 ip route-static 0.0.0.0 0.0.0.0 202.100.1.254 
 
1端：需要引导流量进TUNNEL口
 ip route-static 10.1.1.0 255.255.255.0 Tunnel2 preference 100
 ip route-static 10.1.1.0 255.255.255.0 Tunnel1 

第三步：快速切换
配置IP-LINK
2端
 ip-link check enable
 ip-link 1 destination 202.100.1.254 interface GigabitEthernet0/0/2 mode icmp
 ip route-static 0.0.0.0 0.0.0.0 202.100.1.254 track ip-link 1
注意：如果不放行安全策略，那IP-LINK就是DOWN的

1端
ip-link check enable
 ip-link 1 destination 202.100.1.254 interface GigabitEthernet0/0/2 mode icmp next-hop 10.1.21.254
 ip route-static 10.1.1.0 255.255.255.0 Tunnel1 track ip-link 1

第四步：放行安全策略
security-policy
 rule name IPSEC1 -----------放行建立IPSEC隧道（isakmp和ESP）
  source-zone local
  source-zone untrust
  destination-zone local
  destination-zone untrust
  source-address address-set IPSEC1
  destination-address address-set IPSEC1
  service ISAKMP
  service esp
  action permit
 rule name IPSEC2 --------------放行实际通信流量（感兴趣）
  source-zone trust
  source-zone untrust
  destination-zone trust
  destination-zone untrust
  source-address address-set IPSEC2
  destination-address address-set IPSEC2
  action permit
 rule name IPLINK -----------------放行IP-LINK
  source-zone local
  destination-zone untrust
  destination-address 202.100.1.254 mask 255.255.255.255
  service icmp
  action permit

第五步：测试检查

测试检查：

在这里插入图片描述

图：链路切换流量截图

注意：在主备链路备份下当链路发生切换时，会造成丢包。所以建议用隧道模式。

主备链路模式缺点：当主链路DOWN以后切换至备份链路需要重新触发IKE SA IPSEC SA,造成业务中断

IPSec 隧道化链路备份配置 --------华为建议 ：

在这里插入图片描述

图：IPsec隧道化备份配置拓扑图

配置思路：

第一步：配置IPSEC VPN
tunnle端口 

IPSEC 配置 
acl number 3000
 rule 5 permit ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255
#
ike proposal 10                           
 authentication-algorithm sha2-256
 integrity-algorithm hmac-sha2-256
#
ike peer fw2
 pre-shared-key %$%$bJA<~;(;*0TvgC.G_Qs;*0'{%$%$
 ike-proposal 10
 remote-address 10.1.21.10
#
ipsec proposal 10
 esp authentication-algorithm sha2-256
#
ipsec policy ipsec_policy 10 isakmp
 security acl 3000
 ike-peer fw2
 alias ipsec_policy_10
 proposal 10

调用在TUNNLE口上
interface Tunnel1
 ip address 11.1.1.1 255.255.255.0 
 tunnel-protocol ipsec
 ipsec policy ipsec_policy 

注意：
1. 隧道的地址必须是公网地址，保证可达

AR1需要配置可达路由
ip route-static 11.1.1.1 255.255.255.255 GigabitEthernet0/0/1 202.100.1.10
ip route-static 11.1.1.1 255.255.255.255 GigabitEthernet0/0/2 202.100.2.10

2.tunnle接口必须划进Zone 

物理接口端
acl number 3000
 rule 5 permit ip source 10.1.2.0 0.0.0.255 destination 10.1.1.0 0.0.0.255
#
ike proposal 10
 authentication-algorithm sha2-256        
 integrity-algorithm hmac-sha2-256
#
ike peer fw1
 pre-shared-key %$%$6c/0-j#i3UZ#:L0xE:[A_qh_%$%$
 ike-proposal 10
 remote-address 11.1.1.1 ------------注意，不是指对端的物理接口，所以要可达这个地址
#
ipsec proposal 10
 esp authentication-algorithm sha2-256
#
ipsec policy ipsec_policy 10 isakmp
 security acl 3000
 ike-peer fw1
 alias ipsec_policy_10
 proposal 10

interface GigabitEthernet0/0/2
 ip address 10.1.21.10 255.255.255.0 
 ipsec policy ipsec_policy 

第二步：配置路由
tunnel端需要引导流量
 ip route-static 10.1.2.0 255.255.255.0 Tunnel1

第三步：配置IP-LINK做快速切换
tunnel端
 ip-link check enable
 ip-link 1 destination 202.100.1.254 interface GigabitEthernet0/0/2 mode icmp
 ip-link 2 destination 202.100.2.254 interface GigabitEthernet0/0/3 mode icmp
 ip route-static 0.0.0.0 0.0.0.0 202.100.1.254 track ip-link 1
 ip route-static 0.0.0.0 0.0.0.0 202.100.2.254 track ip-link 2

第四步：放行安全策略
security-policy
 rule name IPSEC1
  source-zone local
  source-zone untrust
  destination-zone local
  destination-zone untrust
  source-address address-set IPSEC1
  destination-address address-set IPSEC1
  service ISAKMP
  service esp
  action permit
 rule name IPSEC2
  source-zone trust
  source-zone untrust
  destination-zone trust
  destination-zone untrust
  source-address address-set IPSEC2
  destination-address address-set IPSEC2
  action permit
 rule name IP_LINK
  source-zone local
  destination-zone untrust
  destination-address 202.100.1.254 mask 255.255.255.255
  destination-address 202.100.2.254 mask 255.255.255.255
  service icmp
  action permit

第五步：测试检查 
dis ike sa
dis ipsec sa

注意：隧道地址必须是公网地址，可达的。

总结：隧道备份方式
优点：当物理接口DOWN了，不影响IPSEC隧道的SA，不会影响业务的中断
缺点：隧道接口需要一个公网IP地址。

解决设备单点故障

解决方案概述：

  • 双机单ISP，可能会存在一个运营商链路故障
  • 双机双ISP，最终完美解决方案。

IPSec 双机热备主备备份配置：

在这里插入图片描述

图：IPSec主备网关备份配置实验拓扑

配置思路：

第一步：配置双机热备
1.配置VRRP及VGMP
interface GigabitEthernet0/0/1
 ip address 10.1.1.10 255.255.255.0
 vrrp vrid 1 virtual-ip 10.1.1.254 active
#                                         
interface GigabitEthernet0/0/2
 ip address 202.100.1.10 255.255.255.0
 vrrp vrid 2 virtual-ip 202.100.1.253 active 

2.配置心跳线 
hrp interface GigabitEthernet0/0/3 

3.启动HRP及配置主备
主设备配置
 hrp enable
 hrp active-device ---------如果是主，默认可以不敲

备设备配置
 hrp enable
 hrp standby-device

注意：双机热备要成功

第二步：配置IPSEC VPN
如果是主备方式，只需要在主设备配置就可以了，备设备同步IPSEC配置

#
acl number 3000                           
 rule 5 permit ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255
#
ike proposal 1
 authentication-algorithm sha2-256
 integrity-algorithm hmac-sha2-256
#
ike peer ike17317255503
 exchange-mode auto
 pre-shared-key %$%$T>QPQR$Oi,EyB&E^~`B2Kqh_%$%$
 ike-proposal 1
 undo version 2
 remote-id-type none
 remote-address 202.100.2.10
#
ipsec proposal prop17317255503
 encapsulation-mode auto
 esp authentication-algorithm sha2-256 sha1
#
ipsec policy ipsec1731725555 1 isakmp
 security acl 3000
 ike-peer ike17317255503
 alias IPSEC_VPN
 proposal prop17317255503                 
 local-address 202.100.1.253 -------------注意点：本地地址不是物理接口地址，是虚拟IP地址
 sa duration traffic-based 200000000
 sa duration time-based 3600

调用IPSEC
interface GigabitEthernet0/0/2
 ip address 202.100.1.10 255.255.255.0
 vrrp vrid 2 virtual-ip 202.100.1.253 active  -------只在ACTIVE接口调用
 ipsec policy ipsec1731725555 auto-neg


第三步：放行安全策略
security-policy
 rule name IPSEC1
  source-zone local
  source-zone untrust
  destination-zone local
  destination-zone untrust
  source-address address-set IPSEC1
  destination-address address-set IPSEC1
  service ISAKMP
  service esp
  action permit
 rule name IPSEC2
  source-zone trust
  source-zone untrust
  destination-zone trust
  destination-zone untrust
  source-address address-set IPSEC2
  destination-address address-set IPSEC2
  action permit
#

第四步： 测试检查
DOWN掉防火墙接口或者DOWN掉主防火墙,可以正常通行

双机单ISP缺点：链路故障

曹世宏的博客
关注
  • 2
    点赞
  • 踩
  • 25
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
安全路由器组网及IPSec技术详细解说
03-04
安全路由器可以隐藏公司内部的网络拓扑结构图，同时还可以加密需要传输的数据，由于安全路由器具有数据加密的功能，局域网上的需要传输的数据在通过安全路由器向外发送时，安全路由器会根据一定的加密算法把数据加密，接收到该数据的对端也要使用相同的算法才能把数据还原。IPSec是一个开放式标准的框架。基于IETF开发的标准，IPSec可以在一个公共IP网络上确保数据通讯的可靠性和完整性。IPSec对于实现通用的安全策略所需要的基于标准的灵活的解决方案提供了一个必备的要素。
通信与网络中的基于SoC的IPSec协议实现技术
12-13
引 言       IPSe[1]作为一种实现VPN的安全协议体系，目前已在VPN设备中广泛使用。但是，随着千兆位高速网络的技术发展，对VPN设备在时效性等方面提出了更高的要求。因此，必须从体系结构等方面，研究新的技术方法实现IPSec。在IPSec安全设备中，SoC技术将是一种较好的选择。soC将系统的CPU、I/O接口、存储器、算法、协议处理等模块全部集成到单一半导体芯片上，实现IPSec协议的全部功能，成为构筑IPSec安全设备的核心部件，极大地提高了高速V。PN网络的安全性、可靠性、时效性以及较高的性能价格比。1 IPSec协议       IPSec协议是因特网工程任务组(IETF)
使用IPSec 加密不可路由或非IP 协议
03-04
自1987 年成立以来，安奈特专注于为用户提供高安全性、高可靠性、易于管理、易于维护、易于升级的网络系统解决方案。公司在世界各地设立了十余个强大的研发机构，时刻跟踪最新的科技进步成果，了解客户的需求，及时推出性能优异、契合需求的全系列产品，包括从接入、汇聚、核心到传输的以太网交换机、路由器、电信综合接入平台、介质转换器、VoIP 产品以及高性能操作系统和网络管理平台。安奈特自成立以来一直保持稳定的高增长态势，成为全球发展最快的高科技公司之一。
企业网络安全架构设计之IPSec应用配置举例
06-19
背景： 现网中总部机构与分支机构都接入进了互联网中，但是分支机构与总部之间需要进行数据资源互访，但是数据访问通过公网进行得不到安全性保障；申请专线进行专网搭建耗费人力物力与财力。 技术设计： 为了更好地解决该场景下的用户痛点，采用安全的IPSec技术，可以在现有情况下构建虚拟专用网络用来实现安全的数据资源互访且不增加成本。 同时为更好的保证总部的接入的可靠性，出口采用双防火墙以双机热备形式部署在互联网出口处，更好的保证分支机构与总部之间的数据访问可靠性。 扩展： 本次资源实验中只有一个分支，现网场景中具有多个分支，总部配置量较大，可以使用user table 表来简化配置。
IPSEC技术网络安全技术
05-16
1、几种常见的网络攻击 ................................................................................................. 4 二、IPSec概述 ........................................................................................................................ 8 （一）纵深防御 ............................................................................................................... 9 （二）用IPSec抵御网络攻击...................................................................................... 10 （三）第三层保护的优点 ............................................................................................. 11 （四）基于策略的安全保护 ......................................................................................... 12 三、IPSEC策略 ..................................................................................................................... 13 （一）规则 ..................................................................................................................... 13 （二）过滤器和过滤器动作 ......................................................................................... 14 （三）连接类型 ............................................................................................................. 15 四、认证 ................................................................................................................................ 15 五、IPSec服务 ...................................................................................................................... 16 （一）安全特性 ............................................................................................................. 16 （二）基于电子证书的公钥认证 ................................................................................. 18 （三）预置共享密钥认证 ............................................................................................. 18 （四）公钥加密 ............................................................................................................. 18 （五）Hash函数和数据完整性 .................................................................................... 19 （六）加密和数据可靠性 ............................................................................................. 20 （七）密钥管理 ............................................................................................................. 21 六、IPSEC的实现方式 ......................................................................................................... 22 七、IPSec的安全协议 .......................................................................................................... 25 （一）Authentication Header（AH）协议结构 ........................................................... 25 （二）Encapsulating Security Payload（ESP）协议结构 ........................................... 27 （三）ESP隧道模式和AH隧道模式 ......................................................................... 30 八、密钥交换和密钥保护Internet密钥交换（IKE） ........................................................ 31 （一）什么是SA ........................................................................................................... 32 （二）第一阶段SA（主模式SA，为建立信道而进行的安全关联） ..................... 33 （三）第二阶段SA（快速模式SA，为数据传输而建立的安全关联） ................. 34 （四）SA生命期 ........................................................................................................... 35 （五）密钥保护 ............................................................................................................. 35 1 密钥生命期 ....................................................................................................... 35 2 会话密钥更新限制 ........................................................................................... 36 3 Diffie-Hellman（DH）组................................................................................. 37 4 精确转发保密PFS（Perfect Forward Secrecy）
华为ipsec vpn双链路主备备份配置案例
11-10 1106
华为ipsec vpn双链路主备备份配置案例
防火墙——IPSec高可靠性（IPSec5）
m0_49864110的博客
05-18 1007
主IPSec通道链路固定IP接入，备IPSec通道链路采用固定或拨号接入（需要建立多个IPSec）将IPSec策略应用到Tunnel接口中，然后多个物理接口做备份（只需要建立一个IPSec）IPSec高可用-主备链路_vpp ipsec主备_静下心来敲木鱼的博客-CSDN博客。IPSec高可用——设备冗余实验配置_静下心来敲木鱼的博客-CSDN博客。冗余的两台FW做双机热备，在物理口上引用IPSec安全策略（正常配置）IPSec高可用-隧道化链路备份_静下心来敲木鱼的博客-CSDN博客。
玩转华为ENSP模拟器系列 | IPSec网关主备双机热备
COCO_gsta的博客
10-17 2374
素材来源：华为防火墙配置指南建立IPSec隧道的一端使用两台设备进行双机热备，可以将IPSec的配置信息、隧道建立信息等从主设备备份到备用设备上，保证即使主设备断开后隧道也不会拆除，提高了网络的可靠性。如所示，公司总部（HQ）通过FW_A和FW_B接入外网。分支机构（Branch）员工使用FW_C接入总部。要求实现分支机构安全访问IPSec保护的总部内网服务器。公司由多个分支机构组成，此举例中只以其中一个为例，其网关为FW_C。
双出口NAT+PBR+IPSec V*N
weixin_39997345的博客
03-22 815
需求： 1、总部HQ内网有2个网段，其中10.100.1.0/24访问公网选择出口ISP-1、10.100.2.0/24访问公网选择出口ISP-2，两条线路互备； 2、总部HQ路由器连接ISP-1出口与各Branch建立IPSec V*N，其中Branch1是固定IP地址、Branch2和Branch3是动态获取公网IP地址； 3、IPSec V*N建立后，可以实现各站点之间内网互通； 4、Branch之间的内网互访需通过HQ进行转发；
IPSEC的原理及配置步骤整理（一）
m0_60444349的博客
08-10 5988
3.7 创建自定义服务，对外网放行UDP 500端口(IPSEC中的ike协议采用此端口发起和响应协商)，在有NAT穿越的场景下，还要放开4500端口。（1）配置封装协议（有AH、ESP和AH-ESP三种）;*******Ike就是用来创建和更新密钥的协议，用于IKE SA的协商，IPsec双方使用协商好的IKE SA去对IPsec SA的协商进行保护。IPSEC封装模式：封装模式是指将AH或ESP相关的字段插入到原始IP报文中，以实现对报文的认证和加密，封装模式有传输模式和隧道模式两种。.........
IPSec网关主备双机热备实验.docx
01-06
网络攻防原理与技术
IPSEC协议分析文档
08-28
IPSec是一系列基于IP网络（包括Intranet、Extranet和Internet）的，由IETF正式定制的开放性IP安全标准，是虚拟专网的基础，已经相当成熟可靠。
华为防火墙IPSEC简单搭建
baidu_41701694的博客
09-05 3391
消息属于第一次交换（称为IKE_SA_INIT交换），以明文方式完成IKE SA的参数协商，包括协商加密和验证算法，交换临时随机数和DH交换。创建子SA交换包含两条消息，用于一个IKE SA创建多个IPSec SA或IKE的重协商，对应IKEv1的第二阶段。该交换必须在初始交换完成后进行，交换消息由初始交换协商的密钥进行保护。该交换的发起者可以是初始交换的协商发起方，也可以是初始交换的协商响应方。2-设置ike peer，主要设置协商用的密码，应用ike-proposal 和设置对端IP。
GRE over IPSec 主备双链路冗余配置
A soul tortured by desire
11-19 2302
实验背景： 企业总部和分支机构之间要可以相互访问内网，现在一般采用在总部和分支的出口设备上建立VPN的方式，这种方式建立的VPN需要在公网上传输总部与分支之间的数据流。 IPSec仅支持单播，如果采用IPSec VPN只能传输单播报文，那么当两地的网络较庞大时，相互的一条一条互指静态路由，是非常麻烦，且容易出错的；若要使用路由，由于路由协议是组播报文，而GRE支持单播、组播、广播，可以完美的解决IPSec不支持组播，从而不能动态的使用动态路由来发现总部与分支之间的内网。 由于GRE隧道不提供安全性..
商业虚拟专用网络技术七IPSec应用场景
weixin_42227328的博客
03-31 2384
PSec(Internet Protocol Security)：是一组基于网络层的，应用密码学的安全通信协议族，是一个开放的协议族。IPSec主要是解决数据传输过程中的机密性、完整性、真实性、抗重播这些问题，利用IPSec的安全机制在局域网安全互联、与移动用户远程安全接入、与多分支机构的远程安全接入通过隧道嵌套技术，实现安全传输。
华为防火墙 GRE over IPSec [适用点到点、点到多点]
白话聊网络的博客
03-20 2419
但是在over的场景中，以上两种方式并不适用，因为配置方式不同，所以在over的场景中像实现点到多点的部署，就需要将点到点的方式拼凑而成，举个例子，在不over的场景中，1个总部对应10个分部，那总部可以采用策略模板方式，节省配置量，如果在1v10的场景中加上over，那总部则需要写10组配置，分别1-1，1-2，1-3。仔细的同学会发现，基于路由的方式，ips中没有感兴趣流，是的，它的流量走向完全以靠静态路由的出接口，至于限制谁和谁不通，可以靠防火墙的安全策略来限制。那如可直到加密报文是否进隧道呢？
【华为_安全】防火墙IPsec双机实验
最新发布
weixin_53337011的博客
12-08 1556
学习华为防火墙IPsec双机实验记录拓扑。
华为ensp防火墙双出口GRE over IPSEC主备切换
白话聊网络的博客
11-03 963
IPSEC 对两个私网流量加密，通过GRE进行选路，通过静态路由来控制选路，但是主链路中的热任何节点故障，防火墙的主备ipsec流量该如何切换成为难题，这里用NQA和静态的联动，非常的可以解决该问题。配置nqa，只要你中间链路路由可达，指明目的地址，防火墙就开始发送nqa探测报文了。中间路由就是用动态协议打通网络，ospf isis 静态都可以，不是重点配置。本期实验适用在防火墙ipsec vpn多出口的场景，看拓扑。为两个gre隧道口创建两个ipsec名。配置ipsec流量进入gre隧道流量。
安全进阶：防火墙双机组网环境中的 IPSecVPN 实验配置
网络技术联盟站
08-07 377
在完成配置后，FW3会与主防火墙FW1完成IPSecVPN隧道的建立，FW1会将建立好的IPSecSAs同步到备份防火墙FW2上，主备防火墙的IPSec SAs的策略、入站及出站的SPI都是一样的。IPSecVPN相关策略的配置在主防火墙FW1上配置即可，这些配置会自动同步到备份防火墙FW2上，不过，在接口上应用IPSec Policy的这一条命令，是需要在主备防火墙相应的接口上都做配置的，因为这条命令不会自动同步。配置完成后，FW1/FW2会进行主备协商，FW1成为主防火墙，FW2成为备份防火墙。
IPsec 通知交换
10-19
在IPsec通知交换过程中，双方需要协商出一致的安全策略和参数，以确保通信的安全性和可靠性。 通常，IPsec通知交换包括两个阶段：ISAKMP阶段和IPSec阶段。在ISAKMP阶段，通信双方需要交换一些通知信息，以协商出...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值