问

ipsec具体防火墙要放通哪些流量呢？

域间策略/安全域

2024-01-19提问

1关注
0收藏，836浏览

zhiliao_5iHHCm

zhiliao_5iHHCm 二段

粉丝：0人关注：4人

问题描述：

比较模糊，例如第一阶段需要怎么放通，第二阶段需要怎么放通

最佳答案

zhiliao_p9QVR

zhiliao_p9QVR 九段

粉丝：32人关注：3人

IPSEC公网IP的流量，感兴趣流的流量都要放通

暂无评论

3 个回答

按时间按赞数

叫我靓仔

叫我靓仔九段

粉丝：160人关注：1人

IPsec（Internet Protocol Security）是一种网络安全协议，它可以在IP层对数据进行加密和认证，从而保护网络通信的安全 ¹ 。IPsec主要分为两个阶段：第一阶段是IKE（Internet Key Exchange）协商，第二阶段是IPsec隧道建立 ²。

在防火墙上配置IPsec VPN时，需要放通以下几种流量：

第一阶段的IKE协商流量，通常使用UDP协议的500端口或4500端口（如果使用NAT穿越的话）³ 。防火墙需要允许IKE协商报文通过，以便双方交换密钥和参数 ⁴。
第二阶段的IPsec隧道流量，通常使用ESP（Encapsulating Security Payload）协议或AH（Authentication Header）协议。防火墙需要允许IPsec加密报文通过，以便双方传输业务数据。
第二阶段的待加密流量，即IPsec感兴趣的流量，通常使用ACL（Access Control List）来定义。防火墙需要将这些流量引入IPsec隧道，以便进行加密和认证。

¹: 什么是IPsec？IPsec是如何工作的？

²: IPsec VPN的工作原理

³: 如何为IPsec VPN开放安全策略

⁴: 防火墙上配置IPsec vpn （超详细附带思路看完就会） : [ESP和AH的区别] : 如何为IPsec VPN开放安全策略 : [防火墙上配置IPsec vpn （超详细附带思路看完就会）]

暂无评论

senc

senc 四段

粉丝：2人关注：0人

选这几个

暂无评论

得闲饮酒725

得闲饮酒725 九段

粉丝：20人关注：9人

您好，请知：

根据现场需求选用的模式进行放通，在防火墙的服务对象组中选择ipsec相关的就好。

1.1.5 封装模式

IPsec支持两种封装模式：传输模式和隧道模式。

1. 传输模式（Transport Mode）

该模式下的安全协议主要用于保护上层协议报文，仅传输层数据被用来计算安全协议头，生成的安全协议头以及加密的用户数据（仅针对ESP封装）被放置在原IP头后面。若要求端到端的安全保障，即数据包进行安全传输的起点和终点为数据包的实际起点和终点时，才能使用传输模式。如图1-1所示，通常传输模式用于保护两台主机之间的数据。

图1-1 传输模式下的IPsec保护

2. 隧道模式（Tunnel Mode）

该模式下的安全协议用于保护整个IP数据包，用户的整个IP数据包都被用来计算安全协议头，生成的安全协议头以及加密的用户数据（仅针对ESP封装）被封装在一个新的IP数据包中。这种模式下，封装后的IP数据包有内外两个IP头，其中的内部IP头为原有的IP头，外部IP头由提供安全服务的设备添加。在安全保护由设备提供的情况下，数据包进行安全传输的起点或终点不为数据包的实际起点和终点时（例如安全网关后的主机），则必须使用隧道模式。如图1-2所示，通常隧道模式用于保护两个安全网关之间的数据。

图1-2 隧道模式下的IPsec保护