IPv6 IPSec配置

IPv6 IPSec配置

目前，为下一代互联网开发的安全协议——IPSec是TCP/IP协议族IP层唯一的安全协议，同时适用于IPv4和IPv6，IPSec在IP层提供了IP报文的机密性、完整性、IP报文源地址认证以及有限的抗重播***能力。IPSec可以保护在所有支持IP的传输介质上的通信，保护所有运行于IP层上的所有协议在主机间进行安全传输。IPSec网关可以安装在需要安全保护的任何地方，如路由器、防火墙、应用服务器、客户机等。

IPSec是IPv6的一个组成部分，IPv6的节点必须支持IPSec。在IPv4上可以使用IPSec，但并不要求强制IPSec，除IPv4与IPv6本身的区别外，IPSec安全体系在IPv4和IPv6中的功能、结构、作用完全相同。

IPSec主要由三个协议组成：

⒈AH（Authentication Header，认证报头）提供对报文完整性和报文的信源地址认证功能。

⒉ESP（Encapsulating Security Payload）提供对报文内容的加密和认证功能。

⒊IKE（Internet Key Exchange）协商信源节点和信宿节点间保护IP报文的AH和ESP的相关参数，如加密、认证的算法和密钥、密钥的生存期等，称之为安全联盟。

AH和ESP是IP层协议，IKE是应用层协议，使用UDP端口500，多数时候，IPSec仅指网络层协议AH和ESP。

下面是基于IPv6 IPSec的两个配置案例：

实例1

R1 配置

R1#sh running-config Building configuration... Current configuration : 1431 bytes ! version 12.4 service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption ! hostname R1 ! boot-start-marker boot-end-marker ! ! no aaa new-model ! resource policy ! ip subnet-zero ip cef ! ! ! ! ! ipv6 unicast-routing ipv6 cef ! ! ! ! ! crypto isakmp policy 110 authentication pre-share crypto isakmp key cisco123 address ipv6 2001:1:1::2/64 crypto isakmp keepalive 10 ! ! crypto ipsec transform-set *** esp-3des esp-sha-hmac ! crypto ipsec profile ipsec set transform-set *** ! ! ! ! ! ! interface Tunnel0 no ip address ipv6 address 2001:DB:1::1/64 ipv6 mtu 1400 ipv6 rip rip enable tunnel source FastEthernet0/0 tunnel destination 2001:1:1::2 tunnel mode ipsec ipv6 tunnel protection ipsec profile ipsec ! interface FastEthernet0/0 no ip address duplex full ipv6 address 2001:1:1::1/64 ! interface Ethernet1/0 no ip address duplex half ipv6 address 2001:10:1::1/64 ipv6 rip rip enable ! interface Ethernet1/1 no ip address shutdown duplex half ! interface Ethernet1/2 no ip address shutdown duplex half ! interface Ethernet1/3 no ip address shutdown duplex half ! ip classless no ip http server no ip http secure-server ! ! ! logging alarm informational ipv6 router rip rip ! ! ! ! ! control-plane ! ! ! ! ! ! gatekeeper shutdown ! ! line con 0 exec-timeout 0 0 stopbits 1 line aux 0 stopbits 1 line vty 0 4 login ! ! end

R2 配置

R2#sh running-config Building configuration... Current configuration : 1431 bytes ! version 12.4 service timestamps debug datetime msec