有谁知道

3.9.3  IKEv2 NAT穿越典型配置举例

1. 组网需求

Device A在NAT安全网关内网侧。要求在Device A和Device B之间建立一个IPsec隧道，对Host A所在的子网（10.1.1.2/24）与Host B所在的子网（10.1.2.2/24）之间的数据流进行安全保护。具体需要求如下：

·     协商双方使用缺省的IKEv2安全提议和IKEv2安全策略。

·     第一阶段协商的认证方法为预共享密钥认证。

2. 组网图

图3-4 IKEv2 NAT穿越典型组网图

3. 配置步骤

(1)     配置Device A

# 配置各接口的IP地址，具体略。

# 配置ACL 3101，定义要保护由子网10.1.1.0/24去往子网10.1.2.0/24的数据流。

<DeviceA> system-view

[DeviceA] acl advanced 3101

[DeviceA-acl-ipv4-adv-3101] rule 0 permit ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255

[DeviceA-acl-ipv4-adv-3101] quit

# 创建IPsec安全提议transform1。

[DeviceA] ipsec transform-set transform1

# 配置采用的安全协议为ESP。

[DeviceA-ipsec-transform-set-transform1] protocol esp

# 配置ESP协议采用的加密算法为3DES，认证算法为HMAC-MD5。

[DeviceA-ipsec-transform-set-transform1] esp encryption-algorithm 3des-cbc

[DeviceA-ipsec-transform-set-transform1] esp authentication-algorithm md5

[DeviceA-ipsec-transform-set-transform1] quit

# 创建IKEv2 keychain，名称为keychain1。

[DeviceA] ikev2 keychain keychain1

# 创建IKEV2对端，名称为peer1。

[DeviceA-ikev2-keychain-keychain1] peer peer1

# 指定对端peer1的主机地址为2.2.2.2/16。

[DeviceA-ikev2-keychain-keychain1-peer-peer1] address 2.2.2.2 16

# 指定对端 peer1 的身份信息。

[DeviceA-ikev2-keychain-keychain1-peer-peer1] identity address 2.2.2.2

# 配置对端peer1使用的预共享密钥为明文123。

[DeviceA-ikev2-keychain-keychain1-peer-peer1] pre-shared-key plaintext 123

[DeviceA-ikev2-keychain-keychain1-peer-peer1] quit

[DeviceA-ikev2-keychain-keychain1] quit

# 创建IKEv2 profile，名称为profile1。

[DeviceA] ikev2 profile profile1

# 指定引用的IKEv2 keychain为keychain1。

[DeviceA-ikev2-profile-profile1] keychain keychain1

# 配置本端身份为FQDN名称***.***。

[DeviceA-ikev2-profile-profile1] identity local fqdn ***.***

# 配置匹配对端身份的规则为IP地址2.2.2.2/16。

[DeviceA-ikev2-profile-profile1] match remote identity address 2.2.2.2 255.255.0.0

[DeviceA-ikev2-profile-profile1] quit

# 创建一条IKEv2协商方式的IPsec安全策略，名称为policy1，顺序号为1。

[DeviceA] ipsec policy policy1 1 isakmp

# 配置IPsec隧道的对端IP地址为2.2.2.2。

[DeviceA-ipsec-policy-isakmp-policy1-1] remote-address 2.2.2.2

# 指定引用的安全提议为transform1。

[DeviceA-ipsec-policy-isakmp-policy1-1] transform-set transform1

# 指定引用ACL 3101。

[DeviceA-ipsec-policy-isakmp-policy1-1] security acl 3101

# 指定引用的IKEv2 profile为profile1。

[DeviceA-ipsec-policy-isakmp-policy1-1] ikev2-profile profile1

[DeviceA-ipsec-policy-isakmp-policy1-1] quit

# 在接口GigabitEthernet2/0/1上应用IPsec安全策略policy1。

[DeviceA] interface gigabitethernet 2/0/1

[DeviceA-GigabitEthernet2/0/1] ipsec apply policy policy1

[DeviceA-GigabitEthernet2/0/1] quit

# 配置到Host B所在子网的静态路由。

[DeviceA] ip route-static 10.1.2.0 255.255.255.0 1.1.1.2

(2)     配置Device B

# 配置各接口的IP地址，具体略。

# 配置ACL 3101，定义要保护由子网10.1.2.0/24去往子网10.1.1.0/24的数据流。

<DeviceB> system-view

[DeviceB] acl advanced 3101

[DeviceB-acl-ipv4-adv-3101] rule 0 permit ip source 10.1.2.0 0.0.0.255 destination 10.1.1.0 0.0.0.255

[DeviceB-acl-ipv4-adv-3101] quit

# 创建IPsec安全提议transform1。

[DeviceB] ipsec transform-set transform1

# 配置采用的安全协议为ESP。

[DeviceB-ipsec-transform-set-transform1] protocol esp

# 配置ESP协议采用的加密算法为3DES，认证算法为HMAC-MD5。

[DeviceB-ipsec-transform-set-transform1] esp encryption-algorithm 3des-cbc

[DeviceB-ipsec-transform-set-transform1] esp authentication-algorithm md5

[DeviceB-ipsec-transform-set-transform1] quit

# 创建IKEv2 keychain，名称为keychain1。

[DeviceB]ikev2 keychain keychain1

# 创建IKEV2对端，名称为peer1。

[DeviceB-ikev2-keychain-keychain1] peer peer1

# 指定对端 peer1 的主机地址为1.1.1.1/16。

[DeviceB-ikev2-keychain-keychain1-peer-peer1] address 1.1.1.1 16

# 指定对端 peer1的身份信息。

[DeviceB-ikev2-keychain-keychain1-peer-peer1] identity address 1.1.1.1

# 配置对端peer1使用的预共享密钥为明文123。

[DeviceB-ikev2-keychain-keychain1-peer-peer1] pre-shared-key plaintext 123

[DeviceB-ikev2-keychain-keychain1-peer-peer1] quit

[DeviceB-ikev2-keychain-keychain1] quit

# 创建IKEv2 profile，名称为profile1。

[DeviceB] ikev2 profile profile1

# 指定引用的IKEv2 keychain为keychain1。

[DeviceB-ikev2-profile-profile1] keychain keychain1

# 配置匹配对端身份的规则为FQDN名称***.***。

[DeviceB-ikev2-profile-profile1] match remote identity fqdn ***.***

[DeviceB-ikev2-profile-profile1] quit

# 创建一个IKEv2协商方式的IPsec安全策略模板，名称为template1，顺序号为1。

[DeviceB] ipsec policy-template template1 1

# 配置IPsec隧道的对端IP地址为1.1.1.1。

[DeviceB-ipsec-policy-template-template1-1] remote-address 1.1.1.1

# 指定引用ACL 3101。

[DeviceB-ipsec-policy-template-template1-1] security acl 3101

# 指定引用的安全提议为transform1。

[DeviceB-ipsec-policy-template-template1-1] transform-set transform1

# 指定引用的IKEv2 profile为profile1。

[DeviceB-ipsec-policy-template-template1-1] ikev2-profile profile1

[DeviceB-ipsec-policy-template-template1-1] quit

# 引用IPsec安全策略模板创建一条IKEv2协商方式的IPsec安全策略，名称为policy1，顺序号1。

[DeviceB] ipsec policy policy1 1 isakmp template template1

# 在接口GigabitEthernet2/0/1上应用安全策略policy1。

[DeviceB] interface gigabitethernet 2/0/1

[DeviceB-GigabitEthernet2/0/1] ipsec apply policy policy1

[DeviceB-GigabitEthernet2/0/1] quit

# 配置到Host A所在子网的静态路由。2.2.2.1为本例中的直连下一跳地址，实际使用中请以具体组网情况为准。

[DeviceB] ip route-static 10.1.1.0 255.255.255.0 2.2.2.1

4. 验证配置

以上配置完成后，子网10.1.1.0/24若向子网10.1.2.0/24发送报文，将触发IKEv2协商。

# 可通过如下显示信息查看到Device A上IKEv2协商成功后生成的IKEv2 SA。

[DeviceA] display ikev2 sa

Tunnel ID   Local                       Remote                      Status

---------------------------------------------------------------------------

  1        1.1.1.1/500                  2.2.2.2/500                  EST

Status:

IN-NEGO: Negotiating, EST: Establish, DEL:Deleting

 [DeviceA] display ikev2 sa verbose

   -----------------------------------------------

   Connection ID: 13

   Outside VPN:

   Inside VPN:

   Profile: profile1

   Transmitting entity: Initiator

   -----------------------------------------------

   Local IP: 1.1.1.1

   Local ID type: FQDN

   Local ID: ***.***

   Remote IP: 2.2.2.2

   Remote ID type: IPV4_ADDR

   Remote ID: 2.2.2.2

   Authentication-method: PRE-SHARED-KEY

   Authentication-algorithm: MD5

   Encryption-algorithm: 3DES-CBC

   Life duration(sec): 86400

   Remaining key duration(sec): 84565

   Exchange-mode: Aggressive

   Diffie-Hellman group: Group 1

   NAT traversal: Detected

# 可通过如下显示信息查看到IKEv2协商生成的IPsec SA。

[DeviceA] display ipsec sa

-------------------------------

Interface: GigabitEthernet2/0/1

-------------------------------

  -----------------------------

  IPsec policy: policy1

  Sequence number: 1

  Mode: ISAKMP

  -----------------------------

    Tunnel id: 0

    Encapsulation mode: tunnel

    Perfect forward secrecy:

    Path MTU: 1435

    Tunnel:

        local  address: 1.1.1.1

        remote address: 2.2.2.2

    Flow:

    sour addr: 10.1.1.0/255.255.255.0  port: 0  protocol: IP

    dest addr: 10.2.1.0/255.255.255.0  port: 0  protocol: IP

    [Inbound ESP SAs]

      SPI: 830667426 (0x3182faa2)

      Transform set: ESP-ENCRYPT-3DES-CBC ESP-AUTH-MD5

      SA duration (kilobytes/sec): 1843200/3600

      SA remaining duration (kilobytes/sec): 1843200/2313

      Max received sequence-number:

      Anti-replay check enable: Y

      Anti-replay window size: 64

      UDP encapsulation used for nat traversal: Y

      Status: active

    [Outbound ESP SAs]

      SPI: 3516214669 (0xd1952d8d)

      Transform set: ESP-ENCRYPT-3DES-CBC ESP-AUTH-MD5

      SA duration (kilobytes/sec): 1843200/3600

      SA remaining duration (kilobytes/sec): 1843200/2313

      Max received sequence-number:

      Anti-replay check enable: Y

      Anti-replay window size: 64

      UDP encapsulation used for nat traversal: Y

      Status: active

3.10  常见错误配置举例

3.10.1  IKEv2提议不匹配导致IKEv2 SA协商失败

1. 故障现象

通过如下命令查看当前的IKEv2 SA信息，发现IKEv2 SA的状态（Status字段）为IN-NEGO。

<Sysname> display ikev2 sa

Tunnel ID   Local                       Remote                      Status

  ---------------------------------------------------------------------------

  5           123.234.234.124/500         123.234.234.123/500         IN-NEGO

Status:

IN-NEGO: Negotiating, EST: Establish, DEL:Deleting

2. 故障分析

IKEv2提议配置错误。

3. 处理过程

(1)     排查IKEv2相关配置。具体包括：检查两端的IKEv2提议是否匹配，即IKEv2提议中的认证方法、认证算法、加密算法、PRF算法是否匹配。

(2)     修改IKEv2提议的配置，使本端IKEv2提议的配置和对端匹配。

3.10.2  IPsec提议不匹配导致IPsec SA协商失败

1. 故障现象

通过display ikev2 sa命令查看当前的IKEv2 SA信息，发现IKEv2 SA协商成功，其状态（Status字段）为EST。但通过display ipsec sa命令查看当前的IPsec SA时，发现没有协商出相应的IPsec SA。

2. 故障分析

IPsec安全策略参数配置错误。

3. 处理过程

(1)     排查IPsec相关配置。具体包括：检查双方接口上应用的IPsec安全策略的参数是否匹配，即引用的IPsec安全提议的协议、加密算法和认证算法是否匹配。

(2)     修改IPsec策略配置，使本端IPsec安全策略的配置和对端匹配。

3.10.3  无法建立安全隧道

1. 故障现象

双方的ACL配置正确，也有相匹配的IKEv2安全提议，但安全隧道无法建立或者存在安全隧道却无法通信。

2. 故障分析

这种情况一般是由于网络状态不稳定，安全隧道建立好以后，有一方的设备重启造成了两端的IKEv2 SA或者IPsec SA不对称。

3. 处理过程

使用display ikev2 sa命令检查双方是否都已建立IKEv2 SA。如果有一端存在的IKEv2 SA在另一端上不存在，请先使用reset ikev2 sa命令清除双方不对称存在的IKEv2 SA，并重新发起协商；如果两端存在对称的IKEv2 SA，则使用display ipsec sa命令查看接口上的安全策略是否已建立了对称的IPsec SA。如果一端存在的IPsec SA在另一端上不存在，请使用reset ipsec sa命令清除双方不对称存在的IPsec SA，并重新发起协商。