华为设备配置ipsec 与mpls用于分支网络连接主网络

这粉红色模块的代表的是分支网络

一，配置ipsec

AR6配置：

阶段一

ike proposal 1

encryption-algorithm aes-cbc-256 ||加密算法

authentication-algorithm sha1 ||验证算法

dh group14 ||dh 组

authentication-method pre-share ||设备验证类型 共享密码

sa duration 120 ||管理连接时间

quit

ike peer 1 v2 积极模式 ||总部有固定IP地址，分部没固定的IP地址，分部发起管理连接）

remote-address 23.1.1.2 || 对端ID

]pre-shared-key cipher hw@123|| 共享密码

ike-proposal 1 引用管理连接属性

阶段二

ipsec proposa 1

encapsulation-mode tunnel ||隧道模式

esp authentication-algorithm sha2-512 ||进入隧道加密后验证

esp encryption-algorithm aes-256 ||加密

感兴趣流（进入隧道数据） ||加密

acl 3000

rule permit ip source 192.168.5.0 0.0.0.255 destination 192.168.100.0 0.0.0.255

创建IPSEC 策略，引用ACL

ipsec policy 1 1 isakmp

security acl 3000

ike-peer 1

proposal 1

应用在外部接口

AR6要与LSW3能够连通这里用了ospf协议连通这个主网络

然后用默认路由指向ipsec对端

 AR7关于ipsec的配置相似可类推

这个路由器关于192.168.100.0 网段的端口地址不为网关因为这个ipsec是作为备份链路

主链路是走mpls的。

二，配置mpls

要配置mpls首先要使基础网络互通

AR13,12,11使用ospf 标记ospf1连通链路，不宣告34.1.1.0 与67.1.1.0 链路。

之后AR13与AR11建立bgp

 

 之后

PE(创建实例VPN 标识信息

AR13

ip vpn-instance vpn1

ipv4-family

route-distinguisher 1:1

vpn-target 1:1 export-extcommunity

vpn-target 1:100 import-extcommunity

在进入pe的接口上绑定实例

 AR13（pe2）,AR14(ce2)与LSW3，AR11(ce1)与AR10(pe1)分别用ospf 这里的pe的ospf有点不同

bgp视图 在pe2上引入这个ospf 10

在bgp视图与bgp对端开启vpnv4

 ospf10引入bgp

在AR11中相似

 

 之后分发标签

在AR13,12,11上都要

mpls lsr-id xx.xx.xx.xx

mpls

mpls ldp

最后在AR13 g0/0/0，AR12 g0/0/0,g0/0/1,AR11 g0/0/1

mpls

mpls ldp

AR14(ce2)

AR10(ce1)

 这里的默认路由是当mpls链路有故障的时候，链路主动切换到ipsec的备用链路当中去。

ospf优先级是10，默认路由优先级是60。链路故障是ospf路由会消失。

查看BGP VPNv4路由和BGP私网路由的信息。