使用IPsec保证IP数据报文在网络上安全传输

---

摘要

IPSec 主要由AH、ESP和IKE协议套件来实现IP数据报文的安全传输，AH提供认证和校验功能，ESP除了提供AH协议的所有功能外还提供对IP报文的加密功能。IPsec 有传输模式和隧道模式，其中隧道模式可以隐藏数据包的源ip地址。

---

一、IPsec架构

• SA用来定义两个通信对等体间使用的数据封装模式、认证和加密算法、秘钥等参数。
• 使用IKE只需要通信对等体间配置好IKE协商参数，IKE就能自动协商来创建和维护SA，适用于中、大型的动态网络环境中。
• AH提供认证和校验功能，ESP提供除了AH的功能外还提供加密功能。

• 隧道模式加密点不等于真实通讯地址，隐藏了源ip。

• 传输模式加密点等于通讯点
  

二、IPsec 手动配置

示例拓扑图

1、配置网络可达：

AR1：
interface GigabitEthernet0/0/0
 ip address 10.1.1.254 255.255.255.0
interface GigabitEthernet0/0/1
 ip address 20.1.1.1 255.255.255.0
ip route-static 30.1.1.0 255.255.255.0 20.1.1.2

AR2：
interface GigabitEthernet0/0/0
 ip address 20.1.1.2 255.255.255.0
interface GigabitEthernet0/0/1
 ip address 30.1.1.254 255.255.255.0
ip route-static 10.1.1.0 255.255.255.0 20.1.1.1

2、配置ACL识别感兴趣流

AR1：
acl number 3001  
 rule 5 permit ip source 10.1.1.0 0.0.0.255 destination 30.1.1.0 0.0.0.255

AR2：
acl number 3001  
 rule 5 permit ip source 30.1.1.0 0.0.0.255 destination 10.1.1.0 0.0.0.255

3、创建安全提议

AR1和AR2：
ipsec proposal tunnel
 encapsulation-mode tunnel //配置封装模式为隧道模式
 esp authentication-algorithm sha2-256  //配置认证算法是sha2-256
 esp encryption-algorithm aes-128  //配置加密算法是aes-128

4、配置安全策略

• 安全策略将要保护的数据与安全提议绑定

AR1：
ipsec policy p1 10 manual //创建安全策略p1，手动方式
 security acl 3001 //绑定数据流ACL3001
 proposal tunnel //绑定名字为tunnel的安全提议
 tunnel local 20.1.1.1 //配置本地端口ip
 tunnel remote 20.1.1.2 //配置对端端口ip
 sa spi inbound esp 12345 //配置本端入方向SA的安全参数索引SPI，必须和对端的出方向SA的SPI值相同
 sa spi outbound esp 54321 //配置本端出方向SA的安全参数索引SPI，必须和对端的入方向SA的SPI值相同
  sa string-key inbound esp simple huawei //配置本端的入方向安全密钥，必须和对端的出方向安全密钥相同
 sa string-key outbound esp simple huawei //配置本端的出方向安全密钥，必须和对端的入方向安全密钥相同

AR2：
ipsec policy p1 10 manual
 security acl 3001
 proposal tunnel
 tunnel local 20.1.1.2
 tunnel remote 20.1.1.1
 sa spi inbound esp 54321
 sa string-key inbound esp simple huawei
 sa spi outbound esp 12345
 sa string-key outbound esp simple huawei

5、应用安全策略

AR1：
interface GigabitEthernet0/0/1
ipsec policy p1

AR2:
interface GigabitEthernet0/0/0
ipsec policy p1

6、验证

display ipsec statistics esp

• 可以看到经过加密的数据包数量

总结

以上阐述了IPsec 的几种协议套件、架构和手动配置的方法，相信会对你入门和加深理解IPsec 的原理提供很大的帮助。