IPsec+预共享密钥的IKE野蛮模式

已于 2022-10-21 09:53:44 修改
阅读量5.9k 收藏 19
点赞数 10
分类专栏： IPSec VPN H3C 路由交换 文章标签： 网络 路由器 网络协议
于 2022-10-21 09:52:27 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/zero_number/article/details/127440085
版权
H3C 同时被 3 个专栏收录
5 篇文章 0 订阅
订阅专栏
路由交换
5 篇文章 0 订阅
订阅专栏
IPSec VPN
1 篇文章 1 订阅
订阅专栏

目标

  • 配置 IPsec+预共享密钥的IKE 野蛮模式

步骤一、配置各接口IP地址

步骤二、配置默认路由

[RTB]ip route-static 0.0.0.0 0 2.2.2.2

步骤三：配置公网连接

在 SWA 上配置 DHCP Server。设置 RTA 从 SWA 动态获得 IP 地址和默认路由。

[SWA]dhcp enable

[SWA]dhcp server ip-pool 1

[SWA-dhcp-pool-1]network 1.1.1.0 mask 255.255.255.0

[SWA-dhcp-pool-1]gateway-list 1.1.1.2

[SWA-dhcp-pool-1]quit

[RTA]interface GigabitEthernet0/0

[RTA-GigabitEthernet0/1] ip address dhcp-alloc

步骤四：配置 IKE proposal

[RTA]ike proposal 1

//配置IKE安全提议

[RTA-ike-proposal-1]authentication-method pre-share

//配置IKE安全提议的认证方式

[RTA-ike-proposal-1]authentication-algorithm md5

//配置IKE的认证算法建议

[RTA-ike-proposal-1]encryption-algorithm 3des-cbc

//配置IKE安全提议的加密算法

[RTA-ike-proposal-1]quit

[RTB]ike proposal 1

//配置IKE安全提议

[RTB-ike-proposal-1]authentication-method pre-share

//配置IKE安全提议的认证方式

[RTB-ike-proposal-1]authentication-algorithm md5

//配置IKE的认证算法建议

[RTB-ike-proposal-1]encryption-algorithm 3des-cbc

//配置IKE安全提议的加密算法

[RTB-ike-proposal-1]quit

步骤五：配置 IKE 身份信息

[RTA]ike identity fqdn rta

//使用FQDN作为标识

[RTB]ike identity fqdn rtb

//使用FQDN作为标识

步骤六：配置 IKE keychain

[RTA]ike keychain keychain1

[RTA-ike-keychain-keychain1]pre-shared-key address 2.2.2.1 255.255.255.0 keysimple h3c

//配置与对等体使用的预共享密钥

[RTA-ike-keychain-keychain1]quit

[RTB]ike keychain keychain1

[RTB-ike-keychain-keychain1]pre-shared-key hostname rta 255.255.255.0 key simple h3c

//通过主机名指定对等体

[RTB-ike-keychain-keychain1]quit

步骤七：配置 IKE profile

配置 IKE profile，并设置 IKE 第一阶段协商模式为野蛮模式：

[RTA]ike profile profile1

//创建安全提议，并进入提议试图

[RTA-ike-profile-profile1]exchange-mode aggressive

//修改协商模式为野蛮模式

[RTA-ike-profile-profile1]match remote identity fqdn rtb

//配置对等体的策略匹配信息

[RTA-ike-profile-profile1]keychain keychain1

//指定要使用的密钥链

[RTA-ike-profile-profile1]proposal 1

//配置IKE安全策略的IKE安全提议

[RTA-ike-profile-profile1]quit

[RTB]ike profile profile1

[RTB-ike-profile-profile1]exchange-mode aggressive

//修改协商模式为野蛮模式

[RTB-ike-profile-profile1]match remote identity fqdn rta

//匹配对端标识信息

[RTB-ike-profile-profile1]keychain keychain1

//指定要使用的密钥链

[RTB-ike-profile-profile1]proposal 1

//配置IKE安全策略的IKE安全提议

[RTB-ike-profile-profile1]quit

步骤八：配置安全 ACL

安全 ACL 应匹配 192.168.1.0/24 网段与 192.168.2.0/24 网段之间的数据流。

[RTA]acl advanced 3000

[RTA-acl-ipv4-adv-3000] rule 0 permit ip source 192.168.1.0 0.0.0.255 destination

192.168.2.0 0.0.0.255

[RTA-acl-ipv4-adv-3001]quit

[RTB]acl advanced 3000

[RTB-acl-ipv4-adv-3000] rule 0 permit ip source 192.168.2.0 0.0.0.255 destination

192.168.1.0 0.0.0.255

[RTB-acl-ipv4-adv-3000]quit

步骤九：配置 IPsec 安全提议

[RTA]ipsec transform-set tran1

[RTA-ipsec-proposal-prop1]esp authentication-algorithm sha1

//指定ESP认证算法为sha1

[RTA-ipsec-proposal-prop1]esp encryption-algorithm aes-cbc-128

//指定ESP加密算法

[RTA-ipsec-transform-set-tran1]quit

[RTB]ipsec transform-set tran1

[RTB-ipsec-transform-set-tran1]esp authentication-algorithm sha1

//指定ESP认证算法为sha1

[RTB-ipsec-transform-set-tran1]esp encryption-algorithm aes-cbc-128

//指定ESP加密算法

[RTB-ipsec-transform-set-tran1]quit

步骤十：配置并应用 IPsec 安全策略

配置 IPsec 安全策略，并将其应用于通往对方的物理接口上：

[RTA]ipsec policy policy1 1 isakmp

//指定IPsec隧道对端IP地址

[RTA-ipsec-policy-isakmp-policy1-1]remote-address 2.2.2.1

//指定IPsec隧道对端IP地址

[RTA-ipsec-policy-isakmp-policy1-1]security acl 3000

//配置流量保护参数

[RTA-ipsec-policy-isakmp-policy1-1]transform-set tran1

//指定IPsec转换集

[RTA-ipsec-policy-isakmp-policy1-1]ike-profile profile1

//配置IKE (Internet Key Exchange)安全策略

[RTA-ipsec-policy-isakmp-policy1-1]quit

[RTA]interface GigabitEthernet 0/0

[RTA-GigabitEthernet0/0]ipsec apply policy policy1

//在接口上应用安全策略

[RTA-GigabitEthernet0/0]quit

RTB 作为响应方，无法获取对端的 IP 地址，需要配置成模板形式。

[RTB]ipsec policy-template templete1 1

[RTB-ipsec-policy-template-templete1-1]security acl 3000

[RTB-ipsec-policy-template-templete1-1]transform-set tran1

[RTB-ipsec-policy-template-templete1-1]ike-profile proflie1

[RTB]ipsec policy policy1 1 isakmp template templete1

[RTB]interface GigabitEthernet 0/0

[RTB-GigabitEthernet0/0]ipsec apply policy policy1

[RTB-GigabitEthernet0/0]quit

步骤十一：检验配置

在 RTA 和 RTB 上用 display 命令检查配置参数：

[RTA]display ike proposal

 Priority Authentication Authentication Encryption  Diffie-Hellman Duration

              method       algorithm    algorithm       group      (seconds)

----------------------------------------------------------------------------

 1        PRE-SHARED-KEY     MD5        3DES-CBC    Group 1        86400

 default  PRE-SHARED-KEY     SHA1       DES-CBC     Group 1        86400

[RTA]display ipsec policy

-------------------------------------------

IPsec Policy: policy1

Interface: GigabitEthernet0/0

-------------------------------------------

  -----------------------------

  Sequence number: 1

  Mode: ISAKMP

  -----------------------------

  Traffic Flow Confidentiality: Disabled

  Security data flow: 3000

  Selector mode: standard

  Local address:

  Remote address: 2.2.2.1

  Remote address switchback mode: Disabled

  Transform set:  tran1

  IKE profile: profile1

  IKEv2 profile:

  smart-link policy:

  SA trigger mode: Traffic-based

  SA duration(time based): 3600 seconds

  SA duration(traffic based): 1843200 kilobytes

  SA soft-duration buffer(time based): --

  SA soft-duration buffer(traffic based): --

  SA idle time: --

  SA df-bit:

[RTB]display ipsec policy-template

-------------------------------------------

IPsec Policy Template: templete1

-------------------------------------------

  -----------------------------

  Sequence number: 1

  -----------------------------

  Traffic Flow Confidentiality: Disabled

  Security data flow : 3000

  Selector mode: standard

  Local address:

  IKE profile: profile1

  IKEv2 profile:

  Remote address:

  Transform set: tran1

  IPsec SA local duration(time based): 3600 seconds

  IPsec SA local duration(traffic based): 1843200 kilobytes

  SA idle time: --

  SA df-bit:

在 RTA 与 RTB 上查看 IPsec/IKE 相关信息：

[RTA]display ike sa verbose

   -----------------------------------------------

   Connection ID: 4

   Outside VPN:

   Inside VPN:

   Profile: profile1

   Transmitting entity: Initiator

   Initiator cookie: b3bcaddf7a4212a5

   Responder cookie: b3c52817b752a0fb

   -----------------------------------------------

   Local IP/port: 1.1.1.1/500

   Local ID type: FQDN

   Local ID: rta

   Remote IP/port: 2.2.2.1/500

   Remote ID type: FQDN

   Remote ID: rtb

   Authentication-method: PRE-SHARED-KEY

   Authentication-algorithm: MD5

   Encryption-algorithm: 3DES-CBC

   Life duration(sec): 86400

   Remaining key duration(sec): 83201

   Exchange-mode: Aggressive

   Diffie-Hellman group: Group 1

   NAT traversal: Not detected

   Extend authentication: Disabled

   Assigned IP address:

   Vendor ID index:0xffffffff

   Vendor ID sequence number:0x0

看到 IKE 的协商模式是野蛮模式（Aggressive）

[RTB]display ike sa verbose

   -----------------------------------------------

   Connection ID: 4

   Outside VPN:

   Inside VPN:

   Profile: profile1

   Transmitting entity: Responder

   Initiator cookie: b3bcaddf7a4212a5

   Responder cookie: b3c52817b752a0fb

   -----------------------------------------------

   Local IP/port: 2.2.2.1/500

   Local ID type: FQDN

   Local ID: rtb

   Remote IP/port: 1.1.1.1/500

   Remote ID type: FQDN

   Remote ID: rta

   Authentication-method: PRE-SHARED-KEY

   Authentication-algorithm: MD5

   Encryption-algorithm: 3DES-CBC

   Life duration(sec): 86400

   Remaining key duration(sec): 83178

   Exchange-mode: Aggressive

   Diffie-Hellman group: Group 1

   NAT traversal: Not detected

   Extend authentication: Disabled

   Assigned IP address:

   Vendor ID index:0xffffffff

   Vendor ID sequence number:0x0

步骤十二：检验隧道工作状况

从 PCA 检测与 PCB 的连通性：

<H3C>ping 192.168.2.2

Ping 192.168.2.2 (192.168.2.2): 56 data bytes, press CTRL_C to break

Request time out

56 bytes from 192.168.2.2: icmp_seq=1 ttl=253 time=3.000 ms

56 bytes from 192.168.2.2: icmp_seq=2 ttl=253 time=1.000 ms

56 bytes from 192.168.2.2: icmp_seq=3 ttl=253 time=2.000 ms

56 bytes from 192.168.2.2: icmp_seq=4 ttl=253 time=1.000 ms

--- Ping statistics for 192.168.2.2 ---

5 packet(s) transmitted, 4 packet(s) received, 20.0% packet loss

round-trip min/avg/max/std-dev = 1.000/1.750/3.000/0.829 ms

<H3C>%Oct 19 14:35:39:639 2022 H3C PING/6/PING_STATISTICS: Ping statistics for 192.168.2.2: 5 packet(s) transmitted, 4 packet(s) received, 20.0% packet loss, round-trip min/avg/max/std-dev = 1.000/1.750/3.000/0.829 ms.

可见除第一个 ICMP Echo Request 包被报告超时之外，其他的都成功收到 Echo Reply 包。

这是因为第一个包触发了 IKE 协商，在 IPsec SA 成功建立之前，这个包无法得到 IPsec 服务，

只能被丢弃。而 IPsec SA 很快就成功建立了，后续的包也就可以顺利到达目的

leo·li
关注
专栏目录
HCIE-Security Day32：IPSec：深入学习ipsec ikev1、主模式、野蛮模式、快速模式、dh算法、预共享密钥
小梁的博客
03-31 4335
ipsec ikev1总框架 主动模式=野蛮模式 华为的ike 默认同时支持v1和v2，因此可以向下兼容，当隧道两端同时支持v2时，使用v2. dis ike peer bri 2022-03-30 12:25:59.510 Current ike peer number: 1 --------------------------------------...
ipsec(ike野蛮模式)
weixin_34297300的博客
03-29 2035
IPSEC野蛮模式 简介： IKE 的协商模式 在RFC2409（The Internet Key Exchange ）中规定，IKE 第一阶段的协商可以采用两种模式：主模式（Main Mode ）和野蛮模式（Aggressive Mode ）。 主模式被设计成将密钥交换信息与身份、认证信息相分离。这种分离保护了身份信息；交换的身份信息受已生成的 Diffie-Hell...
华三IPSec配置（野蛮模式）
最新发布
weixin_44519575的博客
09-27 635
华三IPSec配置（野蛮模式）
H3C IPsec VPN 野蛮模式配置
bfq05234214的博客
03-10 2654
野蛮模式配置公网地址固定的一端: 1.配置IKE fqdn2.创建IKE Proposal(提议)，配置IKE的加密和验证算法，验证方法3.创建和配置预共享密钥，使用主机名标识对方身份4.创建IKE Profile(档案)，配置为野蛮模式，调用前面创建的Proposal和Keychain，指定对端的FQDN5.创建IPsec转换集，配置IPsec的工作模式，封装协议，验证和加密算法6.创建IPsec策略模板，调用前面创建的IKE Profile，IPsec转换集 7.创建IPsec策略，绑定前面创建的模板
IPsec野蛮模式
weixin_33969116的博客
04-01 895
野蛮模式的特别之处: 1. 野蛮模式支持NAT转化，主动模式不支持； 2. 野蛮模式支持以Name方式标识对等体，主动模式只支持ip地址方式标识。 当部署***两端是动态ip地址的时候，例如通过ADSL方式上网，主动模式就束手无策了，因为它只支持ip地址方式标识，当ip地址不是固定的。而野蛮模式可以通过Name标识，没有经...
思科防火墙IPsec配置--野蛮模式(基于8.0版本)
xiayu0912的专栏
01-25 1815
动态crypto maps只设置在野蛮模式的接收端，和静态crypto maps一样，也是把一些分散的信息集中起来形成一个完整的ipsec连接信息，里面的匹配规则也和静态crypto maps一样从低到高匹配，配置方式也和静态crypto maps一样。配置cryto map。cryto map是一个列表，该列表记录那些数据包需要建立IPsec, 将前面配置的一些分散的信息绑定到一起形成一个ipsec连接的完整信息，这个列表有序号，序号可以随意填，匹配IPSEC参数的时候按照序号从低到高的顺序进行匹配。
IPSec VPN (二)野蛮模式
weixin_39555693的博客
08-13 1186
分部没有固定ip地址，ike 采用野蛮模式，总部采用安全策略模板。
H3C模拟器HCL防火墙IPSsec+IKE预共享密钥中心节点-防火墙Web配置实验
LQ的博客
08-28 403
加入Host_1设备，将本机回环网卡连接总部防火墙的GE1/0/1，（默认ip：192.168.0.1）需要将分部防火墙默认的192.168.0.1修改成192.168.0.2并保存，实现本机可以同时访问2台防火墙的web界面。创建策略，选择中心节点，接口，自定义预共享密钥保持和总部一致，采用主动模式，配置感兴趣的流，（总部与分公司通信的网段）IKE提议选择步骤1创建的，其他保持默认即可。创建策略，选择中心节点，接口，自定义预共享密钥，野蛮模式，IKE提议选择步骤1创建的，其他保持默认即可。
IPSEC 的IKE协商过程，主模式和野蛮模式，AH和ESP
热门推荐
weixin_44809632的博客
07-20 2万+
一. 基本名词解释： 1.IPSec 对等体 IPSec 用于在两个端点之间提供安全的 IP 通信，通信的两个端点被称为 IPSec 对等体。 2.安全联盟 SA（Security Association）安全联盟定义了 IPSec 通信对等体间将使用哪种摘要和加密算法、什么样的密钥进行数据的安全转换和传输。SA 是单向的，在两个对等体之间的双向通信，至少需要两个 SA。SA 由一个三元组来唯一标识，这个三元组包括安全参数索引 SPI（Security Parameter Index）、目的 IP 地址、安
hcl的ipsec野蛮模式配置
qq_44933518的博客
11-30 2607
1.实验拓扑 2.需求 r2作为DHCP server，给r3和r4分配ip 路由器上的环回口地址作为业务地址， 总部分别和分部r3、分部r4建立vpn隧道，采用ipsec vpn的野蛮模式 3.分析 由于R3和R4的ip不是固定的，所以只能使用ipsec 的野蛮模式，无法使用ipsec的主模式 注：这个实验，我只注重配置IPSec vpn，没有配置NAT，所以 ...
IPSec—IKE协议介绍
qq_32044265的博客
11-29 8159
IKE为IPSec提供了自动协商密钥、建立IPSec安全联盟的服务。​IKE具有一套自保护机制，可以在网络上安全地认证身份、分发密钥、建立IPSec SA。下面分别对IKE的安全机制和IKEv1和IKEv2的协商安全联盟的过程进行介绍。
H3C V7 ipsec主:野蛮模式配置脚本.pdf
08-30
H3C V7 ipsec主:野蛮模式配置脚本.pdf
野蛮模式IPSec的典型组网和配置.pdf
11-12
野蛮模式IPSec的典型组网和配置.pdf
华为L2TP+ipsec野蛮模式，nat穿越 配置实例
08-30
华为L2TP+ipsec野蛮模式，nat穿越 配置实例 。。。。。。。。。。。。。
ipsec ***野蛮模式应用
weixin_34049032的博客
03-26 309
IPSEC野蛮模式： 简介： IKE 的协商模式 在RFC2409（The Internet Key Exchange ）中规定，IKE 第一阶段的协商可以采用 两种模式：主模式（Main Mode ）和野蛮模式（Aggressive Mode ）。 主模式被设计成将密钥交换信息与身份、认证信息相分离。这种分离保护了身 份信息；交换的身份信息受已生成的 ...
ipsec 野蛮模式
weixin_33894992的博客
04-01 266
1 beijing 配置 f1 ike local-name f1 firewall packet-filter enable 开启包过滤的功能 firewall packet-filter default permit 默认的为允许 ike peer peer1 指定peer的 对等体 exchange-mode aggressiv...
H3C IPSec IKE野蛮模式
无心
05-27 2358
这里使用H3C模拟器。H3C IPSec IKE野蛮模式，又称为IKE Main Mode，主要是在第一阶段（Phase 1）的过程中提供身份保护。它主要用于VPN隧道建立过程中的密钥交换。这里创建一个IKE提案描述了阶段1的加密、哈希算法等。分别可以定义远程和本地的IKE提案。这里创建一个IKE对等体，并配置了预共享密钥与对端的远程地址。这里创建了一个IPSec策略模板，引用了IPSec提案和IKE对等体，同时指定一个访问控制列表ACL。在隧道接口上应用IPSec策略。
基于ipsec的***在企业网中的经典应用之案例二---野蛮模式
weixin_33810302的博客
03-28 252
拓扑图： 说明：图中的路由器均由防火墙代替。 需求分析： 通过建立ipsec的隧道，实现北京总部和上海分公司以及郑州分公司的内网的互相访问，并对传输的数据进行加密，保证通信的安全性。 实验步骤 一：北京总部的配置 F1 [F1]dis cu ike local-name f1 # firewall packet-filter enable 开启包过滤的...
IPsec （主模式，野蛮模式）
七汣的博客
02-04 2598
IPsec vpn的主模式和野蛮模式
IPSEC 主模式与野蛮模式配置案例
05-20
IPSec（Internet Protocol Security）是一种网络协议，用于在IP网络中提供数据的安全性、完整性和认证。IPSec有两种模式：主模式和野蛮模式。下面是它们的配置案例。 1. 主模式配置案例： 在主模式中，需要进行两次请求和响应，用于交换密钥和算法信息。以下是一个主模式IPSec VPN的配置案例： 首先，需要配置IKE策略。IKE（Internet Key Exchange）是一种安全协议，用于协商双方之间的安全参数和密钥。 ``` crypto isakmp policy 10 encr aes authentication pre-share group 2 lifetime 3600 ``` 上述代码中，“crypto isakmp policy 10”表示IKE策略的优先级为10，“encr aes”表示使用AES加密算法，“authentication pre-share”表示使用预共享密钥进行认证，“group 2”表示使用Diffie-Hellman组2交换密钥，“lifetime 3600”表示密钥的生命周期为3600秒。 接下来，需要配置预共享密钥。 ``` crypto isakmp key mykey address 1.1.1.1 ``` 上述代码中，“crypto isakmp key mykey”表示预共享密钥为“mykey”，“address 1.1.1.1”表示对方的IP地址为1.1.1.1。 然后，需要配置IPSec策略。 ``` crypto ipsec transform-set myset esp-aes esp-sha-hmac mode transport crypto map mymap 10 ipsec-isakmp set peer 1.1.1.1 set transform-set myset match address 100 ``` 上述代码中，“crypto ipsec transform-set myset”表示IPSec转换集的名称为“myset”，“esp-aes esp-sha-hmac”表示使用AES加密和SHA哈希算法，“mode transport”表示使用传输模式，“crypto map mymap 10 ipsec-isakmp”表示创建一个名称为“mymap”的加密映射，“set peer 1.1.1.1”表示对方的IP地址为1.1.1.1，“set transform-set myset”表示使用上面定义的IPSec转换集，“match address 100”表示匹配ACL 100。 最后，需要配置ACL。 ``` access-list 100 permit ip 10.0.0.0 0.0.0.255 host 2.2.2.2 ``` 上述代码中，“access-list 100 permit ip 10.0.0.0 0.0.0.255 host 2.2.2.2”表示允许从10.0.0.0/24网络中的任何主机向2.2.2.2发送IP数据报。 2. 野蛮模式配置案例： 在野蛮模式中，只需要进行一次请求和响应，但是存在安全隐患。以下是一个野蛮模式IPSec VPN的配置案例： 首先，需要配置IKE策略和预共享密钥，与主模式相同。 然后，需要配置IPSec策略。 ``` crypto ipsec transform-set myset esp-aes esp-sha-hmac mode tunnel crypto map mymap 10 ipsec-isakmp set peer 1.1.1.1 set transform-set myset match address 100 ``` 上述代码中，“mode tunnel”表示使用隧道模式。 最后，需要配置ACL。 ``` access-list 100 permit ip 10.0.0.0 0.0.0.255 20.0.0.0 0.0.0.255 ``` 上述代码中，“access-list 100 permit ip 10.0.0.0 0.0.0.255 20.0.0.0 0.0.0.255”表示允许从10.0.0.0/24网络中的任何主机向20.0.0.0/24网络中的任何主机发送IP数据报。 以上是IPSec主模式和野蛮模式的配置案例。在实际应用中，需要根据具体需求进行配置。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

leo·li

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值