IPSec vpn

1.建议先确认下具体组网情况吧。

如果已知所有节点都有固定公网ip地址且有多个出口，则可实现无影响方式。

否则可能导致ipsec流封装异常，从而导致网络不正常。

2.同理，是否能用主模式却决于是否所有节点都有固定公网ip地址决定的。

3.最理想的方案是gre over ipsec方式。

优点：可灵活配合ospf等路由协议来实现路由主备等高可用等场景。

缺点：

1.需要所有节点有固定公网ip地址，否则即使临时或者短暂实现也不太稳定。

2.对维护人员技术成本相对来说较高。

因此建议先搞清楚尽可能完整的情况（如设备型号、软件版本、是否有公网地址以及多出口等），如果不方便透露建议拨打400热线或者联系设备采购渠道的H3C认证代理商方面沟通下细节。

要看具体的组网情况。

如果两端都是固定IP，可以使用主模式。

如果有一端是非固定IP，可以使用野蛮模式。

以下是配置举例，请参考：

2.18.1  IKE主模式及预共享密钥认证配置举例

1. 组网需求

在Device A和Device B之间建立一个IPsec隧道，对Host A所在的子网（10.1.1.0/24）与Host B所在的子网（10.1.2.0/24）之间的数据流进行安全保护。

·     Device A和Device B之间采用IKE协商方式建立IPsec SA。

·     使用缺省的IKE提议。

·     使用缺省的预共享密钥认证方法。

2. 组网图

图2-4 IKE主模式及预共享密钥认证典型组网图

‌

3. 配置步骤

(1)     配置Device A

# 配置各接口的IP地址，具体略。

# 配置IPv4高级ACL 3101，定义要保护由子网10.1.1.0/24去子网10.1.2.0/24的数据流。

<DeviceA> system-view

[DeviceA] acl advanced 3101

[DeviceA-acl-ipv4-adv-3101] rule permit ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255

[DeviceA-acl-ipv4-adv-3101] quit

# 创建IPsec安全提议tran1。

[DeviceA] ipsec transform-set tran1

# 配置安全协议对IP报文的封装形式为隧道模式。

[DeviceA-ipsec-transform-set-tran1] encapsulation-mode tunnel

# 配置采用的安全协议为ESP。

[DeviceA-ipsec-transform-set-tran1] protocol esp

# 配置ESP协议采用的加密算法为128比特的AES，认证算法为HMAC-SHA1。

[DeviceA-ipsec-transform-set-tran1] esp encryption-algorithm aes-cbc-128

[DeviceA-ipsec-transform-set-tran1] esp authentication-algorithm sha1

[DeviceA-ipsec-transform-set-tran1] quit

# 创建IKE keychain，名称为keychain1。

[DeviceA] ike keychain keychain1

# 配置与IP地址为2.2.2.2的对端使用的预共享密钥为明文123456TESTplat&!。

[DeviceA-ike-keychain-keychain1] pre-shared-key address 2.2.2.2 255.255.0.0 key simple 123456TESTplat&!

[DeviceA-ike-keychain-keychain1] quit

# 创建IKE profile，名称为profile1。

[DeviceA] ike profile profile1

# 指定引用的IKE keychain为keychain1。

[DeviceA-ike-profile-profile1] keychain keychain1

# 配置本端的身份信息为IP地址1.1.1.1。

[DeviceA-ike-profile-profile1] local-identity address 1.1.1.1

# 配置匹配对端身份的规则为IP地址2.2.2.2/16。

[DeviceA-ike-profile-profile1] match remote identity address 2.2.2.2 255.255.0.0

[DeviceA-ike-profile-profile1] quit

# 创建一条IKE协商方式的IPsec安全策略，名称为map1，顺序号为10。

[DeviceA] ipsec policy map1 10 isakmp

# 配置IPsec隧道的对端IP地址为2.2.2.2。

[DeviceA-ipsec-policy-isakmp-map1-10] remote-address 2.2.2.2

# 指定引用ACL 3101。

[DeviceA-ipsec-policy-isakmp-map1-10] security acl 3101

# 指定引用的安全提议为tran1。

[DeviceA-ipsec-policy-isakmp-map1-10] transform-set tran1

# 指定引用的IKE profile为profile1。

[DeviceA-ipsec-policy-isakmp-map1-10] ike-profile profile1

[DeviceA-ipsec-policy-isakmp-map1-10] quit

# 在接口GigabitEthernet1/0/1上应用IPsec安全策略map1。

[DeviceA] interface gigabitethernet 1/0/1

[DeviceA-GigabitEthernet1/0/1] ipsec apply policy map1

[DeviceA-GigabitEthernet1/0/1] quit

# 配置到Host B所在子网的静态路由。1.1.1.2为本例中的直连下一跳地址，实际使用中请以具体组网情况为准。

[DeviceA] ip route-static 10.1.2.0 255.255.255.0 1.1.1.2

(2)     配置Device B

# 配置各接口的IP地址，具体略。

# 配置IPv4高级ACL 3101，定义要保护由子网10.1.2.0/24去往子网10.1.1.0/24的数据流。

<DeviceB> system-view

[DeviceB] acl advanced 3101

[DeviceB-acl-ipv4-adv-3101] rule permit ip source 10.1.2.0 0.0.0.255 destination 10.1.1.0 0.0.0.255

[DeviceB-acl-ipv4-adv-3101] quit

# 创建IPsec安全提议tran1。

[DeviceB] ipsec transform-set tran1

# 配置安全协议对IP报文的封装形式为隧道模式。

[DeviceB-ipsec-transform-set-tran1] encapsulation-mode tunnel

# 配置采用的安全协议为ESP。

[DeviceB-ipsec-transform-set-tran1] protocol esp

# 配置ESP协议采用的加密算法为128比特的AES，认证算法为HMAC-SHA1。

[DeviceB-ipsec-transform-set-tran1] esp encryption-algorithm aes-cbc-128

[DeviceB-ipsec-transform-set-tran1] esp authentication-algorithm sha1

[DeviceB-ipsec-transform-set-tran1] quit

# 创建IKE keychain，名称为keychain1。

[DeviceB]ike keychain keychain1

# 配置与IP地址为1.1.1.1的对端使用的预共享密钥为明文123456TESTplat&!。

[DeviceB-ike-keychain-keychain1] pre-shared-key address 1.1.1.1 255.255.0.0 key simple 123456TESTplat&!

[DeviceB-ike-keychain-keychain1] quit

# 创建IKE profile，名称为profile1。

[DeviceB] ike profile profile1

# 指定引用的IKE keychain为keychain1。

[DeviceB-ike-profile-profile1] keychain keychain1

# 配置本端的身份信息为IP地址2.2.2.2。

[DeviceB-ike-profile-profile1] local-identity address 2.2.2.2

# 配置匹配对端身份的规则为IP地址1.1.1.1/16。

[DeviceB-ike-profile-profile1] match remote identity address 1.1.1.1 255.255.0.0

[DeviceB-ike-profile-profile1] quit

# 创建一条IKE协商方式的IPsec安全策略，名称为use1，顺序号为10。

[DeviceB] ipsec policy use1 10 isakmp

# 配置IPsec隧道的对端IP地址为1.1.1.1。

[DeviceB-ipsec-policy-isakmp-use1-10] remote-address 1.1.1.1

# 指定引用ACL 3101。

[DeviceB-ipsec-policy-isakmp-use1-10] security acl 3101

# 指定引用的安全提议为tran1。

[DeviceB-ipsec-policy-isakmp-use1-10] transform-set tran1

# 指定引用的IKE profile为profile1。

[DeviceB-ipsec-policy-isakmp-use1-10] ike-profile profile1

[DeviceB-ipsec-policy-isakmp-use1-10] quit

# 在接口GigabitEthernet1/0/1上应用IPsec安全策略use1。

[DeviceB] interface gigabitethernet 1/0/1

[DeviceB-GigabitEthernet1/0/1] ipsec apply policy use1

# 配置到Host A所在子网的静态路由。2.2.2.1为本例中的直连下一跳地址，实际使用中请以具体组网情况为准。

[DeviceB] ip route-static 10.1.1.0 255.255.255.0 2.2.2.1