笔记:基于ACL方式手工建立IPSec隧道

配置参考：友人a笔记

链接华为 Router配置采用手工方式建立IPSec隧道_友人a笔记的博客-CSDN博客_ipsec隧道建立过程

一、拓扑图：

二、配置思路

采用如下思路配置采用手工方式建立IPSec隧道：

配置接口的IP地址和到对端的静态路由，保证两端路由可达。
配置ACL，以定义需要IPSec保护的数据流。
配置IPSec安全提议，定义IPSec的保护方法。
配置安全策略，并引用ACL和IPSec安全提议，确定对何种数据流采取何种保护方法。
在接口上应用安全策略组，使接口具有IPSec的保护功能。

三、详细配置

1.为每个路由器的接口配上IP地址

AR1:
system-view
interface GigabitEthernet0/0/1
 ip address 192.168.1.1 255.255.255.0 
interface GigabitEthernet0/0/2
 ip address 10.10.10.1 255.255.255.0 
q

AR2:
system-view
interface GigabitEthernet0/0/1
 ip address 11.11.11.1 255.255.255.0 
interface Vlanif1
 ip address 172.16.1.1 255.255.255.0 
q

AR3:
system-view
interface GigabitEthernet0/0/0
 ip address 10.10.10.2 255.255.255.0 
interface GigabitEthernet0/0/1
 ip address 11.11.11.2 255.255.255.0 
q

2.采用路由协议使得网络互通（静态、OSPF、RIP.......）

AR1:
rip 1
 version 2
 network 192.168.1.0
 network 10.0.0.0
q

AR3:
rip 1
 version 2
 network 10.0.0.0
 network 11.0.0.0
q

AR2:
rip 1
 version 2
 network 11.0.0.0
 network 172.16.0.0
q

3.在两端路由器配置ACL，定义需要保护的数据流，AR2的ACL规则的源目网段与AR1相反

AR1:
acl number 3000  
 rule 5 permit ip source 192.168.1.0 0.0.0.255 destination 172.16.1.0 0.0.0.255

AR2:
acl number 3001  
 rule 10 permit ip source 172.16.1.0 0.0.0.255 destination 192.168.1.0 0.0.0.255

4.在两端路由器上配置ipsec 安全提议(两端加密方式须一致)

AR1:
ipsec proposal 1
esp authentication-algorithm md5
q

AR2:
ipsec proposal 1
esp authentication-algorithm md5
q

5.配置手工安全策略

AR1:
ipsec policy map1 10 manual
 security acl 3000
 proposal 1
 tunnel local 192.168.1.1
 tunnel remote 172.16.1.1
 sa spi inbound esp 2594
 sa string-key inbound esp simple 123
 sa spi outbound esp 4952
 sa string-key outbound esp simple 321



AR2:
ipsec policy use1 10 manual
 security acl 3001
 proposal 1
 tunnel local 172.16.1.1
 tunnel remote 192.168.1.1
 sa spi inbound esp 4952
 sa string-key inbound esp simple 321
 sa spi outbound esp 2594
 sa string-key outbound esp simple 123

6.在两端路由器出接口上引用安全策略组

AR1:
interface GigabitEthernet0/0/2
 ipsec policy map1

AR2:
interface GigabitEthernet0/0/1
 ipsec policy use1