华为ipsecvpn配置
- 1、下载文档前请自行甄别文档内容的完整性,平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益,请联系客服反馈,我们会尽快为您处理(人工客服工作时间:9:00-18:30)。
AR路由器配置IKE方式的IPSec VPN
IPSec(Internet Protocol Security)是IETF(Internet Engineering Task Force)制定的一组开放的网络安全
协议,在IP层通过数据来源认证、数据加密、数据完整性和抗重放功能来保证通信双方Internet上传输数据的安全性。在Internet的传输中,绝大部分数据的内容都是明文传输的,这样就会存在很多潜在的危险,比如:密码、银行帐户的信息被窃取、篡改,用户的身份被冒充,遭受网络恶意攻击等。网络中部署IPSec
后,可对传输的数据进行保护处理,降低信息泄漏的风险。
采用默认配置通过IKE协商方式建立IPSec隧道示例
组网需求
如图1所示,RouterA为企业分支网关,RouterB为企业总部网关,分支与总部通过公网建立通信。分支子网为/24,总部子网为/24。
企业希望对分支子网与总部子网之间相互访问的流量进行安全保护。分支与总部通过公网建立通信,可以在分支网关与总部网关之间建立一个IPSec隧道来实施安全保护。
图1 采用默认配置通过IKE协商方式建立IPSec隧道组网图
配置思路
采用如下思路配置采用IKE协商方式建立IPSec隧道:
1.配置接口的IP地址和到对端的静态路由,保证两端路由可达。
2.配置ACL,以定义需要IPSec保护的数据流。
3.配置IPSec安全提议,定义IPSec的保护方法。
4.配置IKE对等体,定义对等体间IKE协商时的属性。
5.配置安全策略,并引用ACL、IPSec安全提议和IKE对等体,确定对何种数据流采取何种保护方
法。
6.在接口上应用安全策略组,使接口具有IPSec的保护功能。
操作步骤
1.分别在RouterA和RouterB上配置接口的IP地址和到对端的静态路由
# 在RouterA上配置接口的IP地址。
[Huawei] sysname RouterA
[RouterA] interface gigabitethernet 1/0/0
[RouterA-GigabitEthernet1/0/0] ip address
[RouterA-GigabitEthernet1/0/0] quit
[RouterA] interface gigabitethernet 2/0/0
[RouterA-GigabitEthernet2/0/0] ip address
[RouterA-GigabitEthernet2/0/0] quit
# 在RouterA上配置到对端的静态路由,此处假设到对端的下一跳地址为。
[RouterA] ip route-static
[RouterA] ip route-static
# 在RouterB上配置接口的IP地址。
[Huawei] sysname RouterB
[RouterB] interface gigabitethernet 1/0/0
[RouterB-GigabitEthernet1/0/0] ip address
[RouterB-GigabitEthernet1/0/0] quit
[RouterB] interface gigabitethernet 2/0/0
[RouterB-GigabitEthernet2/0/0] ip address
[RouterB-GigabitEthernet2/0/0] quit
# 在RouterB上配置到对端的静态路由,此处假设到对端下一跳地址为。
[RouterB] ip route-static
[RouterB] ip route-static
2.分别在RouterA和RouterB上配置ACL,定义各自要保护的数据流
# 在RouterA上配置ACL,定义由子网/24去子网/24的数据流。
[RouterA] acl number 3101
[RouterA-acl-adv-3101] rule permit ip source destination
[RouterA-acl-adv-3101] quit
# 在RouterB上配置ACL,定义由子网/24去子网/24的数据流。
[RouterB] acl number 3101
[RouterB-acl-adv-3101] rule permit ip source destination
[RouterB-acl-adv-3101] quit
3.分别在RouterA和RouterB上创建IPSec安全提议
# 在RouterA上配置IPSec安全提议。
[RouterA] ipsec proposal tran1
[RouterA-ipsec-proposal-tran1] quit
# 在RouterB上配置IPSec安全提议。
[RouterB] ipsec proposal tran1
[RouterB-ipsec-proposal-tran1] quit
此时分别在RouterA和RouterB上执行display ipsec proposal会显示所配置的信息。
4.分别在RouterA和RouterB上配置IKE对等体
说明:
该示例中没有配置IKE安全提议,采用的是系统提供的一条缺省的IKE安全提议。
# 在RouterA上配置IKE对等体,并根据默认配置,配置预共享密钥和对端ID。
[RouterA] ike peer spub v1
[RouterA-ike-peer-spub] pre-shared-key simple huawei
[RouterA-ike-peer-spub] remote-address
[RouterA-ike-peer-spub] quit