使用默认配置通过IKE协商方式建立IPSec隧道

默认配置通过IKE协商方式建立IPSec隧道

组网需求

如图1所示，RouterA为企业分支网关，RouterB为企业总部网关，分支与总部通过公网建立通信。分支子网为10.1.1.0/24，总部子网为10.1.2.0/24。

企业希望对分支子网与总部子网之间相互访问的流量进行安全保护。分支与总部通过公网建立通信，可以在分支网关与总部网关之间建立一个IPSec隧道来实施安全保护。

图1 采用默认配置通过IKE协商方式建立IPSec隧道组网图

 

配置思路

采用如下思路配置采用IKE协商方式建立IPSec隧道：

1. 配置接口的IP地址和到对端的静态路由，保证两端路由可达。

2. 配置ACL，以定义需要IPSec保护的数据流。

3. 配置IPSec安全提议，定义IPSec的保护方法。

4. 配置IKE对等体，定义对等体间IKE协商时的属性。

5. 配置安全策略，并引用ACL、IPSec安全提议和IKE对等体，确定对何种数据流采取何种保护方法。

6. 在接口上应用安全策略组，使接口具有IPSec的保护功能。

操作步骤

操作步骤

1. 分别在RouterA和RouterB上配置接口的IP地址和到对端的静态路由

   # 在RouterA上配置接口的IP地址。

   <Huawei> system-view
   [Huawei] sysname RouterA
   [RouterA] interface gigabitethernet 1/0/0
   [RouterA-GigabitEthernet1/0/0] ip address 1.1.1.1 255.255.255.0
   [RouterA-GigabitEthernet1/0/0] quit
   [RouterA] interface gigabitethernet 2/0/0
   [RouterA-GigabitEthernet2/0/0] ip address 10.1.1.1 255.255.255.0
   [RouterA-GigabitEthernet2/0/0] quit
   

   # 在RouterA上配置到对端的静态路由，此处假设到对端的下一跳地址为1.1.1.2。

   [RouterA] ip route-static 2.1.1.0 255.255.255.0 1.1.1.2
   [RouterA] ip route-static 10.1.2.0 255.255.255.0 1.1.1.2

   # 在RouterB上配置接口的IP地址。

   <Huawei> system-view
   [Huawei] sysname RouterB
   [RouterB] interface gigabitethernet 1/0/0 
   [RouterB-GigabitEthernet1/0/0] ip address 2.1.1.1 255.255.255.0
   [RouterB-GigabitEthernet1/0/0] quit
   [RouterB] interface gigabitethernet 2/0/0
   [RouterB-GigabitEthernet2/0/0] ip address 10.1.2.1 255.255.255.0
   [RouterB-GigabitEthernet2/0/0] quit
   

   # 在RouterB上配置到对端的静态路由，此处假设到对端下一跳地址为2.1.1.2。

   [RouterB] ip route-static 1.1.1.0 255.255.255.0 2.1.1.2
   [RouterB] ip route-static 10.1.1.0 255.255.255.0 2.1.1.2

2. 分别在RouterA和RouterB上配置ACL，定义各自要保护的数据流

   # 在RouterA上配置ACL，定义由子网10.1.1.0/24去子网10.1.2.0/24的数据流。

   [RouterA] acl number 3101
   [RouterA-acl-adv-3101] rule permit ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255
   [RouterA-acl-adv-3101] quit

   # 在RouterB上配置ACL，定义由子网10.1.2.0/24去子网10.1.1.0/24的数据流。

   [RouterB] acl number 3101
   [RouterB-acl-adv-3101] rule permit ip source 10.1.2.0 0.0.0.255 destination 10.1.1.0 0.0.0.255
   [RouterB-acl-adv-3101] quit

3. 分别在RouterA和RouterB上创建IPSec安全提议

   # 在RouterA上配置IPSec安全提议。

   [RouterA] ipsec proposal tran1
   [RouterA-ipsec-proposal-tran1] esp authentication-algorithm sha2-256
   [RouterA-ipsec-proposal-tran1] esp encryption-algorithm aes-128
   [RouterA-ipsec-proposal-tran1] quit

   # 在RouterB上配置IPSec安全提议。

   [RouterB] ipsec proposal tran1
   [RouterB-ipsec-proposal-tran1] esp authentication-algorithm sha2-256
   [RouterB-ipsec-proposal-tran1] esp encryption-algorithm aes-128
   [RouterB-ipsec-proposal-tran1] quit

   此时分别在RouterA和RouterB上执行display ipsec proposal会显示所配置的信息。

4. 分别在RouterA和RouterB上配置IKE对等体

   # 在RouterA上配置IKE安全提议。

   [RouterA] ike proposal 5
   [RouterA-ike-proposal-5] encryption-algorithm aes-128
   [RouterA-ike-proposal-5] authentication-algorithm sha2-256
   [RouterA-ike-proposal-5] dh group14
   [RouterA-ike-proposal-5] quit

   # 在RouterA上配置IKE对等体，并根据默认配置，配置预共享密钥和对端ID。

5. 分别在RouterA和RouterB上创建安全策略

   # 在RouterA上配置IKE动态协商方式安全策略。

   [RouterA] ipsec policy map1 10 isakmp
   [RouterA-ipsec-policy-isakmp-map1-10] ike-peer spub
   [RouterA-ipsec-policy-isakmp-map1-10] proposal tran1
   [RouterA-ipsec-policy-isakmp-map1-10] security acl 3101
   [RouterA-ipsec-policy-isakmp-map1-10] quit

   # 在RouterB上配置IKE动态协商方式安全策略。

   [RouterB] ipsec policy use1 10 isakmp
   [RouterB-ipsec-policy-isakmp-use1-10] ike-peer spua
   [RouterB-ipsec-policy-isakmp-use1-10] proposal tran1
   [RouterB-ipsec-policy-isakmp-use1-10] security acl 3101
   [RouterB-ipsec-policy-isakmp-use1-10] quit

   此时分别在RouterA和RouterB上执行display ipsec policy会显示所配置的信息。

6. 分别在RouterA和RouterB的接口上应用各自的安全策略组，使接口具有IPSec的保护功能

   # 在RouterA的接口上引用安全策略组。

   [RouterA] interface gigabitethernet 1/0/0
   [RouterA-GigabitEthernet1/0/0] ipsec policy map1
   [RouterA-GigabitEthernet1/0/0] quit

   # 在RouterB的接口上引用安全策略组。

   [RouterB] interface gigabitethernet 1/0/0
   [RouterB-GigabitEthernet1/0/0] ipsec policy use1
   [RouterB-GigabitEthernet1/0/0] quit

7. 检查配置结果

   # 配置成功后，在主机PC A执行ping操作仍然可以ping通主机PC B，它们之间的数据传输将被加密，执行命令display ipsec statistics可以查看数据包的统计信息。

   # 在RouterA上执行display ike sa操作，结果如下。

   [RouterA] display ike sa
   IKE SA information :
      Conn-ID   Peer                VPN   Flag(s)   Phase   RemoteType  RemoteID
     --------------------------------------------------------------------------------
      16        2.1.1.1:500               RD|ST     v1:2    IP          2.1.1.1
      14        2.1.1.1:500               RD|ST     v1:1    IP          2.1.1.1
                                                  
      Number of IKE SA : 2
     --------------------------------------------------------------------------------
     RD--READY   ST--STAYALIVE   RL--REPLACED   FD--FADING   TO--TIMEOUT
     HRT--HEARTBEAT   LKG--LAST KNOWN GOOD SEQ NO.   BCK--BACKED UP
     M--ACTIVE   S--STANDBY   A--ALONE  NEG--NEGOTIATING