华为ipsecvpn配置

IPSec（Internet Protocol Security）是IETF（Internet Engineering Task Force）制定的一组开放的
网络安全协议，在IP层通过数据来源认证、数据加密、数据完整性和抗重放功能来保证通信双方Internet 上传输数据的安全性。

在Internet的传输中，绝大部分数据的内容都是明文传输的，这样就会存在很多潜在的危险，比如：密码、银行帐户的信息被窃取、篡改，用户的身份被冒充，遭受网络恶意攻击等。

网络
中部署IPSec后，可对传输的数据进行保护处理，降低信息泄漏的风险。

采用默认配置通过IKE协商方式建立IPSec隧道示例
组网需求
如所示，RouterA为企业分支网关，RouterB为企业总部网关，分支与总部通过公网建立通信。

分支子网为，总部子网为。

企业希望对分支子网与总部子网之间相互访问的流量进行安全保护。

分支与总部通过公网建立通信，可以在分支网关与总部网关之间建立一个IPSec隧道来实施安全保护。

图1采用默认配置通过IKE协商方式建立IPSec隧道组网图？
配置思路
采用如下思路配置采用IKE协商方式建立IPSec隧道：
1.配置接口的IP地址和到对端的静态路由，保证两端路由可达。

2.配置ACL，以定义需要IPSec保护的数据流。

3.配置IPSec安全提议，定义IPSec的保护方法。

4.配置IKE对等体，定义对等体间IKE协商时的属性。

5.配置安全策略，并引用ACL、IPSec安全提议和IKE对等体，确定对何种数据流采取何种保护方
法。

6.在接口上应用安全策略组，使接口具有IPSec的保护功能。

操作步骤
1.分别在RouterA和RouterB上配置接口的IP地址和到对端的静态路由
#在RouterA上配置接口的IP地址。

<Huawei>system-view
[Huawei]sysname RouterA
[RouterA]interface gigabitethernet 1/0/0
[RouterA-GigabitEthernet1/0/0]ip address quit
[RouterA]interface gigabitethernet 2/0/0
[RouterA-GigabitEthernet2/0/0]ip address quit
#在RouterA上配置到对端的静态路由，此处假设到对端的下一跳地址为。

[RouterA]ip route-static ip route-static 在RouterB上配置接口的IP地址。

<Huawei>system-view
[Huawei]sysname RouterB
[RouterB]interface gigabitethernet 1/0/0
[RouterB-GigabitEthernet1/0/0]ip address quit
[RouterB]interface gigabitethernet 2/0/0
[RouterB-GigabitEthernet2/0/0]ip address quit
#在RouterB上配置到对端的静态路由，此处假设到对端下一跳地址为。

[RouterB]ip route-static ip route-static 分别在RouterA和RouterB上配置ACL，定义各自要保护的数据流
#在RouterA上配置ACL，定义由子网去子网的数据流。

[RouterA]acl number 3101
[RouterA-acl-adv-3101]rule permit ip source destination quit
#在RouterB上配置ACL，定义由子网去子网的数据流。

[RouterB]acl number 3101
[RouterB-acl-adv-3101]rule permit ip source destination quit
3.分别在RouterA和RouterB上创建IPSec安全提议
#在RouterA上配置IPSec安全提议。

[RouterA]ipsec proposal tran1
[RouterA-ipsec-proposal-tran1]quit
#在RouterB上配置IPSec安全提议。

[RouterB]ipsec proposal tran1
[RouterB-ipsec-proposal-tran1]quit
此时分别在RouterA和RouterB上执行display ipsec proposal会显示所配置的信息。

4.分别在RouterA和RouterB上配置IKE对等体
说明：
该示例中没有配置IKE安全提议，采用的是系统提供的一条缺省的IKE安全提议。

#在RouterA上配置IKE对等体，并根据默认配置，配置预共享密钥和对端ID。

[RouterA]ike peer spub v1
[RouterA-ike-peer-spub]pre-shared-key simple huawei
[RouterA-ike-peer-spub]remote-address quit
#在RouterB上配置IKE对等体，并根据默认配置，配置预共享密钥和对端ID。

[RouterB]ike peer spua v1
[RouterB-ike-peer-spua]pre-shared-key simple huawei
[RouterB-ike-peer-spua]remote-address quit
此时分别在RouterA和RouterB上执行display ike peer会显示所配置的信息，以RouterA 为例。

[RouterA]display ike peer name spub verbose
----------------------------------------
Peer name: spub
Exchange mode: main on phase 1
Pre-shared-key: huawei
Local ID type: IP
DPD: Disable
DPD mode: Periodic
DPD idle time: 30
DPD retransmit interval: 15
DPD retry limit: 3
Host name:
Peer Ip address: VPN name:
Local IP address:
Remote name:
Nat-traversal: Disable
Configured IKE version: Version one
PKI realm: NULL
Inband OCSP: Disable
Lifetime notification: Enable
----------------------------------------
5.分别在RouterA和RouterB上创建安全策略
#在RouterA上配置IKE动态协商方式安全策略。

[RouterA]ipsec policy map1 10 isakmp
[RouterA-ipsec-policy-isakmp-map1-10]ike-peer spub
[RouterA-ipsec-policy-isakmp-map1-10]proposal tran1
[RouterA-ipsec-policy-isakmp-map1-10]security acl 3101
[RouterA-ipsec-policy-isakmp-map1-10]quit
#在RouterB上配置IKE动态协商方式安全策略。

[RouterB]ipsec policy use1 10 isakmp
[RouterB-ipsec-policy-isakmp-use1-10]ike-peer spua
[RouterB-ipsec-policy-isakmp-use1-10]proposal tran1
[RouterB-ipsec-policy-isakmp-use1-10]security acl 3101
[RouterB-ipsec-policy-isakmp-use1-10]quit
此时分别在RouterA和RouterB上执行display ipsec policy会显示所配置的信息。

6.分别在RouterA和RouterB的接口上应用各自的安全策略组，使接口具有IPSec的保护功能
#在RouterA的接口上引用安全策略组。

[RouterA]interface gigabitethernet 1/0/0
[RouterA-GigabitEthernet1/0/0]ipsec policy map1
[RouterA-GigabitEthernet1/0/0]quit
#在RouterB的接口上引用安全策略组。

[RouterB]interface gigabitethernet 1/0/0
[RouterB-GigabitEthernet1/0/0]ipsec policy use1
[RouterB-GigabitEthernet1/0/0]quit
7.检查配置结果
#配置成功后，在主机PC A执行ping操作仍然可以ping通主机PC B，它们之间的数据传输将被加密，执行命令display ipsec statistics esp可以查看数据包的统计信息。

#在RouterA上执行display ike sa操作，结果如下。

[RouterA]display ike sa
Conn-IDPeerVPNFlag(s)Phase
---------------------------------------------------------
160RD|ST2
140RD|ST1
Flag Description:
RD--READYST--STAYALIVERL--REPLACEDFD--FADINGTO--TIMEOUT
HRT--HEARTBEATLKG--LAST KNOWN GOOD SEQ NO.BCK--BACKED UP
#分别在RouterA和RouterB上执行display ipsec sa会显示所配置的信息，以RouterA为例。

[RouterA]display ipsec sa
===============================
Interface: GigabitEthernet 1/0/0
Path MTU: 1500
===============================
-----------------------------
IPSec policy name: "map1"
Sequence number: 10
Acl Group: 3101
Acl rule: 5
Mode: ISAKMP
-----------------------------
Connection ID: 16
Encapsulation mode: Tunnel
Tunnel local: Tunnel remote: Flow source: 0/0
Flow destination: 0/0
Qos pre-classify: Disable
Qos group: -
[Outbound ESP SAs]
SPI: 79 (0x3d2815bb)
Proposal: ESP-ENCRYPT-DES-64 ESP-AUTH-MD5
SA remaining key duration (bytes/sec): 00/3596
Max sent sequence-number: 5
UDP encapsulation used for NAT traversal: N
[Inbound ESP SAs]
SPI: 59 (0x5ef4168b)
Proposal: ESP-ENCRYPT-DES-64 ESP-AUTH-MD5
SA remaining key duration (bytes/sec): 00/3596
Max received sequence-number: 4
Anti-replay window size: 32
UDP encapsulation used for NAT traversal: N
配置文件
RouterA的配置文件
#
sysname RouterA
#
acl number 3101
rule 5 permit ip source destination #
ipsec proposal tran1
#
ike peer spub v1
pre-shared-key simple huawei
remote-address #
ipsec policy map1 10 isakmp
security acl 3101
ike-peer spub
proposal tran1
#
interface GigabitEthernet1/0/0
ip address ipsec policy map1
#
interface GigabitEthernet2/0/0
ip address #
ip route-static ip route-static #
return
RouterB的配置文件
#
sysname RouterB
#
acl number 3101
rule 5 permit ip source destination #
ipsec proposal tran1
#
ike peer spua v1
pre-shared-key simple huawei
remote-address #
ipsec policy use1 10 isakmp
security acl 3101
ike-peer spua
proposal tran1
#
interface GigabitEthernet1/0/0
ip address ipsec policy use1
#
interface GigabitEthernet2/0/0
ip address #
ip route-static ip route-static # return
标签：,,,,,,。