***中ipsec --manual的实现
 
要求：通过ipsec--manual模式实现×××。
 

说明：由于实验条件有限，Internet有华为三层交换机代替模拟。
1.路由器r1上的基本的配置
[R1-Ethernet0]ip add 192.168.2.254 24
[R1-Ethernet0]int e1
[R1-Ethernet1]ip add 1.1.2.2 24
R1]ip route 0.0.0.0 0 1.1.2.1 (配置默认的路由用于上网)
2.三层交换机上的配置
[Quidway]vlan 10
[Quidway-vlan10]port e0/10
[Quidway-vlan10]int vlan 10
[Quidway-Vlan-interface10]ip add 1.1.2.1 255.255.255.0
[Quidway-Vlan-interface10]vlan 20
[Quidway-vlan20]port e0/20
[Quidway-vlan20]int vlan 20
[Quidway-Vlan-interface20]ip add 1.1.1.2 255.255.255.0
3.路由器r2上的基本配置
[r2-Ethernet0]int s0
[r2-Serial0]ip add 192.168.1.254 24
[r2-Serial0]loopback（用于测试）
[r2]ip route 0.0.0.0 0 1.1.1.2
 
4.核心代码配置
1）创建acl用于控制数据流
[r2]acl 3000
[r2-acl-3000]rule permit ip source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255
[r2-acl-3000]rule deny ip source any destination any
2）创建安全提议
[r2]ipsec proposal tran1（建安全提议）
[r2-ipsec-proposal-tran1]encapsulation-mode tunnel（封装模式是隧道）
[r2-ipsec-proposal-tran1]transform esp（安全协议上esp）
[r2-ipsec-proposal-tran1]esp authentication md5（验证类型是md5）
[r2-ipsec-proposal-tran1]esp encryption-al des（加密类型是des）
3）创建安全策略（acl+proposal）
 
[r2]ipsec policy policy1 10 manual （定义安全策略名是policy1并是手工配置）
[r2-ipsec-policy-policy1-10]security acl 3000
[r2-ipsec-policy-policy1-10]proposal tran1
4）静态的要定义下面的内容，动态的就不用了
[r2-ipsec-policy-policy1-10]tunnel local 1.1.1.1 （隧道本端的地址新的ip头部）
[r2-ipsec-policy-policy1-10]tunnel remote 1.1.2.2（隧道对端的地址）
[r2-ipsec-policy-policy1-10]sa inbound esp spi 123456（定义进入流量的索引号）
[r2-ipsec-policy-policy1-10]sa inbound esp string-key abcdef（定义进入流量的密钥）
[r2-ipsec-policy-policy1-10]sa outbound esp spi 654321
[r2-ipsec-policy-policy1-10]sa outbound esp string fedcba
5）最后进入外出口应用此安全策略
[r2]int e0
[r2-Ethernet0]ipsec policy policy1
小结：怎么样排错：用到的命令
1.dis acl all
2.dis ipsec proposal
3.dis ipsec policy
4.dis ipsec sa
5.dis ip rout
强调：手工配置sa,两端即r1与r2的spi和string-key一定要照应。