拓扑：
手工配置
配置步骤：
1、配置安全策略
①配置引流路由
ip route-static 0.0.0.0 0.0.0.0 202.138.163.2 ###配置明细路由即可
②配置保护的数据流
acl number 3000
rule 5 permit ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255
####配置保护的数据流有三种方式：1、ACL；2、虚拟隧道接口；3、Efficient ×××策略。多采用ACL方式。
③配置安全提议
多采用ESP协议
ipsec proposal tran1
esp authentication-algorithm sha2-256 ###设置ESP协议采用的认证算法
esp encryption-algorithm aes-256 ###设置ESP协议采用的加密算法
###数据的封装模式默认为隧道模式
④配置安全策略
ipsec policy map1 10 manual
security acl 3000 ###调用保护的数据流
proposal tran1 ###调用安全提议
tunnel local 202.138.163.1 ###配置IPSec隧道的起点和终点
tunnel remote 202.138.162.1
sa spi inbound esp 54321 ###配置出/入方向SA的SPI值
sa string-key inbound esp cipher huawei ### 配置ESP协议的认证密钥（以字符串方式输入）
sa spi outbound esp 12345
sa string-key outbound esp cipher huawei
2、引用安全策略
interface GigabitEthernet0/0/0
ip address 202.138.163.1 255.255.255.0
ipsec policy map1
###在与公网互联的接口下调用安全策略
原理解析：
数据的封装模式
隧道模式：
在连接互联网的路由器上配置IPSEC。如拓扑中在R1和R3上配置。
在隧道模式下，AH报头或ESP报头插在原始IP头之前，另外生成一个新IP头（新IP头为对等体的IP地址）放到AH报头或ESP报头之前。
传输模式：
在两端的终端上配置，C/S架构。如拓扑中在PC1和PC2上配置。
在传输模式下，AH报头或ESP报头被插入到IP头之后但在传输层协议之前。传输模式保护原始数据包的有效负载。
隧道模式和传输模式对比：
从安全性来讲，隧道模式优于传输模式。它可以完全地对原始IP数据包进行认证和加密，并且可以使用对等体的IP地址来隐藏客户机的IP地址。
从性能来讲，因为隧道模式有一个额外的IP头，所以它将比传输模式占用更多带宽。
安全协议
AH与ESP的不同：
认证头协议AH：提供数据来源认证、数据完整性校验和报文抗重放功能。AH的工作原理是在每一个数据包的标准IP报头后面添加一个AH报头(AH Header)。
封装安全载荷协议ESP：除提供AH的功能之外，还提供对有效载荷的加密功能。ESP协议允许对报文同时进行加密和认证，或只加密，或只认证。ESP的工作原理是在每一个数据包的标准IP报头后面添加一个ESP报头(ESP Header)，并在数据包后面追加一个ESP尾（ESP Tail和ESP Auth data）。
查看命令：
display ipsec sa ### 查看IPSec SA的相关信息
display ipsec policy ### 查看安全策略的信息
display ipsec statistics { ah | esp } ### 查看IPSec处理报文的统计信息
display ike statistics { all | msg | v1 | v2 } ### 查看IKE处理报文的统计信息
IKE 配置
配置过程：
1、配置安全策略
①配置引流路由
ip route-static 10.1.2.0 255.255.255.0 202.138.163.2
ip route-static 202.138.162.0 255.255.255.0 202.138.163.2
②配置保护的数据流
acl number 3000
rule 5 permit ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255
③配置IPSec安全提议
ipsec proposal tran1
esp authentication-algorithm sha2-256
esp encryption-algorithm aes-128
④配置IKE
配置IKE安全提议
ike proposal 5 ###配置安全提议
encryption-algorithm aes-cbc-128 ###配置IKE安全提议使用的加密算法
authentication-algorithm md5 ###配置IKE安全提议使用的认证算法
配置IKE peer
ike peer spub v1
pre-shared-key cipher huawei ###配置认证字
ike-proposal 5 ###引用安全提议
remote-address 202.138.162.1 ###配置IKE协商时的对端IP地址或域名
⑤配置安全策略
ipsec policy map1 10 isakmp
security acl 3000
ike-peer spub
proposal tran1
2、调用安全策略
interface GigabitEthernet0/0/0
ip address 202.138.163.1 255.255.255.0
ipsec policy map1
采用策略模板方式配置IPSEC
拓扑：
实验环境：
两个分公司和总部通过IPSEC互联，总部的互联网地址固定为60.1.3.1。分公司的互联网地址不固定的，可能随时更换。在这种情况下对于总公司可用策略模板来配置IPSEC，分公司用ISAKMP来配置。策略模板中仅需配置IKE对等体和预共享密钥即可，不需制定对端IP地址。
配置步骤：
1、配置网关接口IP地址，并配置分支机构公网、私网与总部公网、私网互访的静态路由。
2、配置ACL。由于总部采用策略模板的方式建立IPSEC，可不配置ACL。
3、配置IPSEC安全提议
4、配置IKE对等体
5、在R1和R2上通过ISAKMP建立安全策略，在R3上通过策略模板方式建立安全策略。
R1、R2：
ipsec policy policy1 10 isakmp
security acl 3000
ike-peer rut1
proposal pro1
R3：
ipsec policy-template user1 10 ###配置策略模板
ike-peer rut1
proposal pro1
#
ipsec policy policy1 10 isakmp template user1 ###配置安全策略调用策略模板
6、在公网接口上调用安全策略。
采用安全策略组方式与分支建立多条IPSEC
拓扑：
配置步骤：
1、配置接口的IP地址和到对端的静态路由，保证两端路由可达。
2、配置ACL，以定义需要IPSec保护的数据流。
3、配置IPSec安全提议，定义IPSec的保护方法。
4、配置IKE对等体，定义对等体间IKE协商时的属性。
R3： #####配置两个分公司的IKE对等体
ike peer tran1 v2
pre-shared-key cipher huawei
ike-proposal 5
remote-address 60.1.1.1
ike peer user1 v2
pre-shared-key cipher huawei
ike-proposal 5
remote-address 60.1.2.1
5、分别在RouterA和RouterB上创建安全策略，确定对何种数据流采取何种保护方法。在RouterC上创建安全策略组，分别确定对RouterA与RouterC、RouterB与RouterC之间的数据流采取何种保护方法。
R3： ######配置两个分公司的IPSEC安全策略
ipsec policy policy1 10 isakmp
security acl 3000
ike-peer tran1
proposal pro1
ipsec policy policy1 20 isakmp
security acl 3001
ike-peer user1
proposal pro1
6、在接口上应用安全策略组，使接口具有IPSec的保护功能。
采用多链路共享功能与总部建立IPSEC
拓扑：
R2上需要有1.1.1.1的路由，不然R3无法ping通1.1.1.1
配置步骤：
1、配置接口的IP地址和到对端的静态路由，保证两端路由可达。
R1： #####通过优先级来控制主备链路
ip route-static 10.1.2.0 255.255.255.0 70.1.1.2 preference 10
ip route-static 10.1.2.0 255.255.255.0 80.1.1.2 preference 20
ip route-static 60.1.1.0 255.255.255.0 70.1.1.2 preference 10
ip route-static 60.1.1.0 255.255.255.0 80.1.1.2 preference 20
R3： #####需在R3上配置1.1.1.1的静态路由
ip route-static 1.1.1.0 255.255.255.0 60.1.1.2
ip route-static 10.1.1.0 255.255.255.0 60.1.1.2
ip route-static 70.1.1.0 255.255.255.0 60.1.1.2
ip route-static 80.1.1.0 255.255.255.0 60.1.1.2
2、配置ACL，以定义需要IPSec保护的数据流。
3、配置IPSec安全提议，定义IPSec的保护方法。
4、配置IKE对等体，定义对等体间IKE协商时的属性。
R1： #####R1的IKE对等体地址为R3的互联网接口地址
ike peer rut1 v1
pre-shared-key cipher huawei
ike-proposal 5
remote-address 60.1.1.1
R3： #####R3的IKE对等体地址为R1的loopback口地址
ike peer rut1 v1
pre-shared-key cipher huawei
ike-proposal 5
remote-address 1.1.1.1
5、配置安全策略，并引用ACL和IPSec安全提议，确定对何种数据流采取何种保护方法。
6、在接口上应用安全策略组，使接口具有IPSec的保护功能。其中RouterA上的安全策略组在应用前需要设置为多链路共享，用于在多个接口上应用。
建立NAT穿越功能的IPSEC
拓扑：
在IPSEC的环境下要使能NAT穿越功能，即能保证NAT的转换，也能保证IPSEC的加密。仅在以下两种情况中可以实现：
1、IPSEC：仅在安全协议为ESP的时候能够实现NAT穿越。
解析：因为AH协议会对整个封装后的IP报文（包括IP报头）进行认证保护，如果AH报文经过NAT网关，则报头部分的IP地址肯定会发生变化，这时传输到达IPSEC隧道对端时，肯定不能通过AH认证，所以IPSEC采用AH作为安全协议时是不支持NAT的。
但是ESP与AH协议不同，它无论是对IP报文进行认证保护，还是进行加密保护都不会包括最外层的IP报头，所以在ESP报文经过NAT网关时IP报头部分发生IP地址改变不会导致在对端进行ESP认证、数据解密时失败，所以理论上来说采用ESP作为安全协议时是支持NAT的。
2、IKE：IKEv1的协商模式为野蛮模式时，支持NAT。
配置IKE动态协商方式，建立IKE SA也是为了建立IPSEC SA。在IPSEC中配置ESP协议后，自然能够支持NAT，最外层包装为IPSEC的加密和认证。
配置PPPOE拨号分支与总部建立IPSEC
拓扑：
具体配置示例查看文档。
虚拟隧道接口建立IPSec隧道
拓扑：
配置步骤
1、配置接口的IP地址和到对端的静态路由，保证两端路由可达。
R1\R3：
ip route-static 202.138.162.0 255.255.255.0 202.138.163.2
2、配置IPSec安全提议，定义IPSec的保护方法。
R1\R3：
ipsec proposal pro1
esp authentication-algorithm sha2-256
esp encryption-algorithm aes-128
3、配置IKE对等体，定义对等体间IKE协商时的属性。
R1\R3：
ike peer spub v2
pre-shared-key cipher huawei
ike-proposal 5
4、配置安全框架，并引用安全提议和IKE对等体，确定对何种数据流采取何种保护方法。
R1\R3：
ipsec profile profile1
ike-peer spub
proposal pro1 #####IPSEC安全提议的封装模式只能是隧道模式
5、在Tunnel接口上应用安全框架，使接口具有IPSec的保护功能。
R1\R3： #####一个Tunnel接口只能建立一个IPSEC隧道，一个IPSEC Tunnel接口也只能应用一个安全框架
interface Tunnel0/0/0
ip address 192.168.1.1 255.255.255.0
tunnel-protocol ipsec
source 202.138.162.1
destination 202.138.163.1
ipsec profile profile1
6、配置Tunnel接口的转发路由，将需要IPSec保护的数据流引到Tunnel接口
R1\R3： ####引流，在虚拟隧道接口方式中没有ACL，安全框架不支持ACL。
ip route-static 10.1.2.0 255.255.255.0 Tunnel0/0/0
原理解析：
安全框架：
一个安全框架相当于一个安全策略，与安全策略不同的是，安全框架由名称唯一确定，且只能通过IKE协商方式配置，不支持配置ACL，只可应用于Tunnel接口。安全框架定义了对数据流的保护方法，如使用的IPSec安全提议、用于自动协商SA所需要的IKE协商参数、SA的生存周期以及PFS特性。在IPSec虚拟隧道接口下应用安全框架后只会生成一条IPSec隧道，并对所有路由到该隧道接口的数据流进行IPSec保护，简化了安全策略管理的复杂度。 为保证IKE协商成功，安全框架中所有配置的参数必须在本端和对端相匹配。
虚拟隧道接口：
虚拟隧道接口（即Tunnel接口）是一种三层逻辑接口，针对协议类型为GRE、mGRE或IPSec的逻辑接口，设备可提供IPSec保护功能。它建立在IKE协商的基础上。通过配置虚拟隧道接口，并在虚拟隧道接口视图下应用安全框架使得IPSec隧道建立。
虚拟隧道模板接口 建立IPSec隧道
拓扑：
配置信息：
具体配置信息查看华为AR文档，虚拟隧道模板接口建立IPSEC部分。
配置过程：
1、配置接口的IP地址和到对端的静态路由，保证两端公网路由可达。
2、配置ACL，定义本端需要IPSec保护的子网信息。
3、配置AAA业务方案，定义本端需要IPSec推送的子网信息和接口地址。
4、配置IPSec安全提议，定义IPSec的保护方法。
5、配置IKE对等体，定义对等体间IKE协商时的属性。
6、配置安全框架，并引用安全提议和IKE对等体，确定对哪些数据流采取哪种保护方法。
7、总部在Tunnel-Template接口上应用安全框架，分支在Tunnel接口上应用安全框架，使接口具有IPSec的保护功能。
原理解析：
配置了虚拟隧道模板接口后本端就不能发起IKE协商，只能作为协商响应方接受对端的协商请求，一般用于总部网关配置。
主要原因在Tunnel口下配置destination，在配置虚拟隧道模板的时候无法配置目的地址，所以不能发起IKE协商，只能作为协商响应方。
destination dest-ip-address：
当IPSEC虚拟Tunnel接口的目的IP地址未配置的时候，本端不能作为发起方主动发起IKE协商，只能被动接受对端发起的协商。
如果Tunnel接口的封装模式设置为IPSEC方式，则只需要一端配置目的的IP地址即可；如果Tunnel接口的封装模式设置为GRE方式，则两端都需要配置目的IP地址。
转载于:https://blog.51cto.com/xiaojiejt/2044333
8061
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
