关于IPSec VPN 的详细配置与讲解

已于 2024-10-14 17:30:05 修改
阅读量8.9k 收藏 82
点赞数 43
文章标签： 网络 运维 网络协议 信息与通信
于 2024-10-14 17:24:27 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_74749868/article/details/142875255
版权

目录

 IPSec简介

加密与验证

加密

验证

安全封装

安全联盟

手工建立IPSec

IKE(密钥管理)方式建立IPsec vpn与使用IPSec vpn模板方式。

IKE三大协议

IKE版本

配置ike v1(默认是主模式)

配置ike v2

NAT 穿越

开启NAT穿越功能

根据出接口进行地址转换

根据NAT服务器进行地址转换

 IPSec简介

IPSec（Internet Protocol Security）是一套用于互联网协议（IP）层的安全协议组合，旨在保护IP通信的安全性。它通过认证、加密和数据完整性验证来确保数据在传输过程中的机密性和完整性。IPSec可以在IPv4和IPv6网络中使用，广泛应用于虚拟专用网络（VPN）和安全站点间通信。

加密与验证

加密

  • 目的是保护数据的机密性，防止未授权的用户窃取或查看数据。
  • 工作原理：通过算法将原始数据（明文）转换为不可读的形式（密文），只有拥有正确密钥的接收方才能解密为明文。
  • 加密方式（对称方式）：DES<3DES<AES

验证

  • 目的是确保数据的完整性和来源可信性，防止数据在传输过程中被篡改或伪造。
  • 工作原理：通过散列函数和签名算法生成消息摘要和身份验证信息，发送者和接收者都可以验证数据是否未被篡改，以及数据确实来自声称的发送者。
  • 验证算法：MD5<SHA1<SHA2

工作方式：AH（验证报文的完整性），ESP（既可以验证报文的完整性又具有加密功能）

安全封装

隧道模式：用于生成新的报文头放在AH和ESP前，用于两个网关之间的IPsec隧道，可以保护内部网络。

传输模式：隧道的源目的地址就是最终通信的源目的地址，应用于两台主机之间的通信。

安全联盟

在IPSec双方建立的连接为SA（安全联盟），建立的双方必须使用相同的封装模式，加密算法，加密算法，验证算法，验证密钥。

为了区分不同的安全联盟，IPSec为每个联盟打上唯一的标识（SPI）。适用于手工建立IPSec的方式。

手工建立IPSec

在上面实验中：总部和分布流量可以实现互访，要求互访的流量被加密。

配置缺省包过滤路由

security-policy
 default action permit

FW10

#
acl number 3000
 rule 5 permit ip source 192.168.1.0 0.0.0.255 destination 172.16.1.0 0.0.0.255
#
ipsec proposal 10
transform esp ##加密与验证方式
encapsulation-mode tunnel ##封装模式为隧道模式
 esp authentication-algorithm sha2-256 ##验证方法
 esp encryption-algorithm aes-256     ##加密方法
#
ipsec policy policy1 1 manual ## manual手工方式建立IPSec策略
 security acl 3000
 proposal 10
 tunnel local 10.0.12.1     ##需要建立IPSec本端地址
 tunnel remote 10.0.12.2    ##需要建立IPSec对端地址
 sa spi inbound esp 12345   ##创建IPSec唯一标识符
 sa string-key inbound esp Text123456
 sa spi outbound esp 12345
 sa string-key outbound esp Text123456
#
#
interface GigabitEthernet0/0/0
 undo shutdown
 ip address 192.168.1.254 255.255.255.0
 alias GE0/METH
#
interface GigabitEthernet1/0/0
 undo shutdown
 ip address 10.0.12.1 255.255.255.0
 ipsec policy policy1  ##在接口下调用IPSec安全策略
#
ip route-static 0.0.0.0 0.0.0.0 10.0.12.2

FW13

#
acl number 3000
 rule 5 permit ip source 172.16.1.0 0.0.0.255 destination 192.168.1.0 0.0.0.255
#
ipsec proposal 10
 esp authentication-algorithm sha2-256
 esp encryption-algorithm aes-256
#
ipsec policy policy1 1 manual
 security acl 3000
 proposal 10
 tunnel local 10.0.12.2
 tunnel remote 10.0.12.1
 sa spi inbound esp 12345
 sa string-key inbound esp Text123456
 sa spi outbound esp 12345
 sa string-key outbound esp Text123456
#
interface GigabitEthernet0/0/0
 undo shutdown
 ip address 172.16.1.254 255.255.255.0
 alias GE0/METH
#
interface GigabitEthernet1/0/0
 undo shutdown
 ip address 10.0.12.2 255.255.255.0
 ipsec policy policy1
#
ip route-static 0.0.0.0 0.0.0.0 10.0.12.1

最终效果

使用总部PING分部发现数据被进行了加密，由于我们配置的是隧道模式，所以用于两个网关之间的IPsec隧道。

IKE(密钥管理)方式建立IPsec vpn与使用IPSec vpn模板方式。

由于手工配置IPSec方式比较繁琐，容易出错，且在需要调整时，重新配置可能比较麻烦。为保证IPSec长期使用，IKE的出现用于协商和管理IPSec参数。通过IKE，两个端点可以动态地协商加密算法、密钥和其他安全参数。

IKE三大协议

ISAKMP：定义ike对等体关系，ike sa相似与IPSec sa

Oakley 与 SKEME的核心是DH算法，用于分发密钥，验证身份议保证数据传输的安全性。

IKE版本

ike v1：支持主模式与野蛮模式

配置ike v1(默认是主模式)

FW10

#
acl number 3000
 rule 5 permit ip source 192.168.1.0 0.0.0.255 destination 172.16.1.0 0.0.0.255
#
ipsec proposal 10
authentication-method pre-share   ##默认为预共享密钥
 esp authentication-algorithm sha2-256
 esp encryption-algorithm aes-256
#
ike proposal 10
 encryption-algorithm aes-256
 dh group14
 authentication-algorithm sha2-256
 authentication-method pre-share
 integrity-algorithm hmac-sha2-256
 prf hmac-sha2-256
#
ike peer b
 undo version 2      ##开启ike v1 版本
exchange-mode main   ##缺省为主模式
 pre-shared-key Text123456
 ike-proposal 10
#
ipsec policy-template tem1 1  ##创建IPSec模板
 security acl 3000
 ike-peer b
 proposal 10
#
ipsec policy policy1 1 isakmp template tem1  ##创建IPSec安全策略与IPSec模板所关联
#
#
interface GigabitEthernet1/0/0
 undo shutdown
 ip address 10.0.12.1 255.255.255.0
 ipsec policy policy1
#
ip route-static 0.0.0.0 0.0.0.0 10.0.12.2
#

FW13

#
acl number 3000
 rule 5 permit ip source 172.16.1.0 0.0.0.255 destination 192.168.1.0 0.0.0.255
#
ipsec proposal 10
 esp authentication-algorithm sha2-256
 esp encryption-algorithm aes-256
#
ike proposal 10
 encryption-algorithm aes-256
 dh group14
 authentication-algorithm sha2-256
 authentication-method pre-share
 integrity-algorithm hmac-sha2-256
 prf hmac-sha2-256
#
ike peer a
 undo version 2
 pre-shared-key Text123456
 ike-proposal 10
 remote-address 10.0.12.1  
#
ipsec policy policy1 1 isakmp
 security acl 3000
 ike-peer a
 proposal 10
#
interface GigabitEthernet1/0/0
 undo shutdown
 ip address 10.0.12.2 255.255.255.0
 ipsec policy policy1
#
ip route-static 0.0.0.0 0.0.0.0 10.0.12.1
#

配置完成后使用分部计算机和总部计算机互访，激活IPSec vpn隧道。

（主模式）

使用6条ISAKMP建立IKE SA

使用两条ISAKMP建立IPSec SA

野蛮模式

ike peer 
 exchange-mode aggressive  ##配置为野蛮模式

野蛮模式中只用了3条ISAKMP就建立成功了，相比主模式要快很多。但是野蛮模式是明文传输，没有加密和完整性验证，所以它是不安全的。现在已经很少使用了。

配置ike v2

由于ike v1的版本协商时间太长，而且也不支持远程用户接入。这时ike v2就很好的解决了不能认证的办法。(以总部防火墙为列，分部也是同样操作)

ike peer b
[zong-ike-peer-b]version 2

使用ike v2版本是需要4条ISAKMP就完成了IPSec SA 和IKE SA的建立。

NAT 穿越

在上面实验中分部访问总部，其中FWA与FWC建立IPSec VPN。FWB做NAT地址转换负责把10.1.23.0/24的流量通过公网地址12.1.1.2转换。

放行所有策略

#
security-policy
 default action permit
#

FWA

#
acl number 3000
 rule 5 permit ip source 10.1.10.0 0.0.0.255 destination 10.1.20.0 0.0.0.255
#
ipsec proposal 10
 esp authentication-algorithm sha2-256
 esp encryption-algorithm aes-256
#
ike proposal 10
 encryption-algorithm aes-256
 dh group14
 authentication-algorithm sha2-256
 authentication-method pre-share
 integrity-algorithm hmac-sha2-256
 prf hmac-sha2-256
#
ike peer c
 pre-shared-key Text123456
 ike-proposal 10
#
ipsec policy-template tem1 1
 security acl 3000
 ike-peer c
 proposal 10
#
ipsec policy policy1 1 isakmp template tem1
#
interface GigabitEthernet1/0/6
 undo shutdown
 ip address 11.1.1.1 255.255.255.0
 ipsec policy policy1
#
ip route-static 0.0.0.0 0.0.0.0 11.1.1.254
#

AR1-1

#
interface GigabitEthernet0/0/0
 ip address 11.1.1.254 255.255.255.0 
#
interface GigabitEthernet0/0/1
 ip address 12.1.1.254 255.255.255.0 
#
ip route-static 10.1.10.0 255.255.255.0 11.1.1.1
ip route-static 10.1.23.0 255.255.255.0 12.1.1.2

FWB

#
interface GigabitEthernet1/0/6
 undo shutdown
 ip address 12.1.1.2 255.255.255.0
#
interface GigabitEthernet1/0/0
 undo shutdown
 ip address 10.1.23.2 255.255.255.0
#
ip route-static 10.1.20.0 255.255.255.0 10.1.23.3
ip route-static 11.1.1.0 255.255.255.0 12.1.1.254
#

FWC

#
acl number 3000
 rule 5 permit ip source 10.1.20.0 0.0.0.255 destination 10.1.10.0 0.0.0.255
#
ipsec proposal 10
 esp authentication-algorithm sha2-256
 esp encryption-algorithm aes-256
#
ike proposal 10
 encryption-algorithm aes-256
 dh group14
 authentication-algorithm sha2-256
 authentication-method pre-share
 integrity-algorithm hmac-sha2-256
 prf hmac-sha2-256
#
ike peer a
 pre-shared-key Text123456
 ike-proposal 10
 remote-address 11.1.1.1
#
ipsec policy policy1 1 isakmp
 security acl 3000
 ike-peer a
 proposal 10
#

interface GigabitEthernet1/0/0
 undo shutdown
 ip address 10.1.20.254 255.255.255.0
#
interface GigabitEthernet1/0/6
 undo shutdown
 ip address 10.1.23.3 255.255.255.0
 ipsec policy policy1
#
ip route-static 0.0.0.0 0.0.0.0 10.1.23.2
#

开启NAT穿越功能

[FWC-ike-peer-a]nat traversal ##默认是开启的

根据出接口进行地址转换

FW1

#
nat-policy
 rule name 1
  source-address 10.1.23.0 mask 255.255.255.0
  destination-address 11.1.1.0 mask 255.255.255.0
  action source-nat easy-ip
#

根据NAT服务器进行地址转换

#
 nat server 0 protocol udp global 12.1.1.2 500 inside 10.1.23.3 500 nat-disable
 nat server 1 protocol udp global 12.1.1.2 4500 inside 10.1.23.3 4500 nat-disable
#

IKE v2的NAT穿越协商（使用分部ping总部激活隧道）

IKE v2使用UDP：4500封装ESP。报文当封装后的报文通过NAT 设备时，NAT 设备对该报文的外层P头和增加的UDP头进行地址和端口号转换。

IKE v1的NAT穿越协商（使用分部ping总部激活隧道）

查看会话记录

因为中间NAT 设备上配置了源NAT转换，所以分部FW上只有分部到总部方向的会话，没有总部到分部方向的会话。

华为防火墙(IPSec)命令行配置案例
仓鼠OO的博客
12-06 2134
华为防火墙(IPSec)命令行配置案例
H3C与VPN高级应用（六）IPSec VPN 的原理与配置实现
洛秋的博客
07-23 1263
VPN，全称Virtual Private Network，即虚拟专用网络。它是一种通过公共网络（如互联网）建立私有网络连接的技术。VPN可以确保远程用户或分支机构通过互联网安全地访问企业内部网络。IPSec VPN 作为一种重要的网络安全技术，在企业网络中发挥着关键作用。通过本文的讲解，我们详细介绍了IPSec VPN 的工作原理、配置步骤、故障排查方法以及应用案例。掌握这些知识，有助于网络管理员更好地配置和维护企业VPN，确保数据传输的安全性和稳定性。
IPSec VPN 原理与配置
m0_73258133的博客
04-20 4056
VPN就是在两个网络实体之间建立的一种受保护的连接，这两个实体可以通过点到点的链路直 接相连，但通常情况下它们会相隔较远的距离。对于定义的“受保护”一词，可以从以下几个方面理解。实际工作环境中的VPN解决方案不一定包含上述所有功能，这要由具体的环境需求和实现方式 决定。而且很多企业可能采用不止一种的VPN解决方案。
IPSec VPN配置
LCH131420的博客
12-08 1742
执行display ipsec proposal命令，验证配置结果。执行display ipsec proposal命令，验证配置结果。待OSPF收敛完成后，查看OSPF邻居以及路由表。步骤五 配置IPSec VPN提议。步骤七 在接口下应用IPSec策略。步骤四 配置ACL定义感兴趣流。步骤一 完成基本配置。步骤六 创建IPSec策略。步骤八 检测网络的连通性。步骤二 创建逻辑接口。步骤三 配置OSPF。
【华为】IPSec （动态）的原理与配置
最新发布
2403_83112422的博客
03-05 1408
实现PC1与PC2在公网传输时加密通信（IPSec VPN），并且实现PC1访问R5的loopback8端口（NAT）
IPSEC---VPN
zhoutong2323的博客
03-04 6107
提示：这里对文章进行总结：例如：以上就是今天要讲的内容，本文仅仅简单介绍了pandas的使用，而pandas提供了大量能使我们快速便捷地处理数据的函数和方法。
IPSEC VPN配置
m0_71264131的博客
04-14 2299
只有在RD状态才表明IKE SA建立成功，其他任何状态都是没有建立成功的。可以看到使用的IPSEC安全策略、IPSEC工作模式、隧道本地和对端IP。3.配置IPSEC VPN实现两端私网互通。Protocol是IPSEC使用的安全协议。2.配置静态路由以保证两端互通。1.正确配置各个IP地址。
路由器基础（十二）：IPSEC VPN配置
limengshi138392的博客
11-04 1万+
路由器基础（十二）：IPSEC VPN配置
IPsec VPN配置方式
Mario_Ti的博客
03-09 7171
文章详细介绍了IPsec VPN配置方式，有手工方式以及IKE方式，其中IKE方式又有IKEv1、IKEv2以及点对点、点对多点的问题，其中模板方式是一种能够简化配置的方式。
ipsec ××× 配置详解
weixin_34279184的博客
04-28 279
1.Berlin(config)#crypto isakmp enable 启用IKE/isakmp(建立传送IPsec隧道参数的隧道) 2.Berlin(config)#crypto isakmp policy 1 设置isakmp策略 Berlin(config-isakmp)#authentication pre-share 身份验证方法：pre-share/rsa...
华为IPSec VPN的配置
热门推荐
caolongbin的博客
09-08 2万+
基于华为ENSP的简单IPSecVPN实验
配置ipsec步骤详解
12-10
IPSec（IP Security）是 IETF为保证在Internet上传送数据的安全保密性，而制定的框架协议 应用在网络层，保护和认证用IP数据包 是开放的框架式协议，各算法之间相互独立 提供了信息的机密性、数据的完整性、用户的验证和防重放保护 支持隧道模式和传输模式
IPSec VPN配置与管理：详细教程帮助您搭建安全的IPSec VPN
# 第一章: 简介 ## 1.1 什么是IPSec VPN IPSec全称为Internet Protocol Security...IPSec VPN的主要作用是保护远程访问用户、分支机构与总部之间的数据传输安全，并确保数据在互联网上的私密性。与传统的远程访问方式
华为防火墙IPSec详解与配置实验
m0_68208233的博客
11-04 1万+
IPSec（Internet协议安全）是一个工业标准网络安全协议栈，为IP网络通信提供透明的安全服务，保护TCP/IP通信免遭窃听和篡改，可以有效抵御网络攻击，同时保持易用性。IPSec通过在IPSec对等体之间建立双向安全联盟（VPN隧道），形成一个安全互通的IPSec隧道，来实现Internet上数据的安全传输。
IPSEC VPN 介绍
m0_48944871的博客
04-22 436
数据认证技术在VPN中发挥着重要的作用，主要用于验证VPN连接的合法性和可信度，确保数据传输的安全性和完整性。身份认证技术在VPN中发挥着重要的作用，主要用于验证VPN用户的身份和权限，确保VPN连接的安全性和合法性。
结合配置、抓包来分析IKE/IPSec的整个协商过程
网络之路Blog（其他平台同名）
09-22 1766
实际上在配置里面，只是配置了一个ike proposal 1，并没有定义详细的参数，但是这里博主说下，不管是思科、华三还是华为的设备，默认都会有一个内置的默认策略，当创建了一个porposal后，没有定义实际的配置，那么就会继承默认参数，但华为防火墙里面有一个更人性化的地方，它默认内置了一个default，并且加密与认证算法都包含了几种不同强度在里面，这样的好处就是尽可能得简化用户的配置，实用默认的就可以直接建立。下一篇来进入一个正式的环境，来看看在部署了NAT与安全策略后会遇到哪些问题。
网络安全之IPSEC路由基本配置（非常详细）
分享Python知识
12-12 1095
网络安全之IPSEC路由基本配置（非常详细）
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值