WX2520 与wx2540 ipsec Ike 隧道模式vpn的配置问题。

没有感兴趣流

缺 ipsec policy 和ACL

1.22.6  基于IPsec隧道接口建立保护IPv4报文的IPsec隧道

1. 组网需求

如图1-16所示，某企业分支和总部均使用固定的IP地址接入Internet。现有如下组网要求：

·     企业分支与企业总部之间的所有流量通过IPsec安全隧道进行传送；

·     当企业分支的私网IP地址段调整时，不需要改变企业总部网关的IPsec配置。

为实现如上组网需求，可采用如下配置思路实现：

·     在Router A和Router B之间使用IPsec隧道接口建立IPsec连接，将发送给对端私网的数据流路由到IPsec虚拟隧道接口上，由IPsec虚拟隧道接口上动态协商建立的IPsec安全隧道对分支子网（10.1.1.0/24）与总部子网（10.1.2.0/24）之间的所有数据流进行安全保护。

2. 组网图

图1-16 基于IPsec隧道建立保护IPv4报文的IPsec隧道组网图

‌

3. 配置Router A

(1)     请根据组网图中标识的接口IP地址，配置各接口的IP地址，具体配置步骤略

(2)     配置IPsec安全框架

# 创建IKE keychain abc并进入IKE keychain视图。

<RouterA> system-view

[RouterA] ike keychain abc

# 配置与地址为2.2.3.1的对端使用的预共享密钥为明文的123456TESTplat&!。

[RouterA-ike-keychain-abc] pre-shared-key address 2.2.3.1 255.255.255.0 key simple 123456TESTplat&!

[RouterA-ike-keychain-abc] quit

# 创建IKE profile abc，并进入其视图。

[RouterA] ike profile abc

# 在IKE profile abc中指定名称为abc的配置的IKE keychain。

[RouterA-ike-profile-abc] keychain abc

# 指定使用IP地址2.2.2.1标识本端身份。

[RouterA-ike-profile-abc] local-identity address 2.2.2.1

# 指定需要匹配对端身份类型为IP地址，取值为2.2.3.1。

[RouterA-ike-profile-abc] match remote identity address 2.2.3.1 24

# 配置IKE第一阶段协商使用野蛮模式。

[RouterA-ike-profile-abc] exchange-mode aggressive

[RouterA-ike-profile-abc] quit

# 创建名为abc的IPsec安全提议，并进入IPsec安全提议视图。

[RouterA] ipsec transform-set abc

# 在IPsec安全提议中配置ESP加密算法为CBC模式的AES算法，密钥长度为128比特。

[RouterA-ipsec-transform-set-abc] esp encryption-algorithm aes-cbc-128

# 在IPsec安全提议中配置ESP认证算法为HMAC-SHA1算法，密钥长度为160比特。

[RouterA-ipsec-transform-set-abc] esp authentication-algorithm sha1

[RouterA-ipsec-transform-set-abc] quit

# 配置名称为abc的IPsec安全框架，通过IKE协商建立安全联盟。

[RouterA] ipsec profile abc isakmp

# 配置IPsec安全框架引用名称为abc的IPsec安全提议。

[RouterA-ipsec-profile-isakmp-abc] transform-set abc

# 配置IPsec安全框架引用名称为abc的IKE profile。

[RouterA-ipsec-profile-isakmp-abc] ike-profile abc

[RouterA-ipsec-profile-isakmp-abc] quit

(3)     配置IPsec隧道接口

# 创建模式为IPsec隧道的接口Tunnel1。

[RouterA] interface tunnel 1 mode ipsec

# 配置Tunnel1接口的IP地址。

[RouterA-Tunnel1] ip address 3.3.3.1 255.255.255.0

# 配置Tunnel1接口的源端地址（GE1/0/2接口的IP地址）。

[RouterA-Tunnel1] source 2.2.2.1

# 配置Tunnel1接口的目的端地址（RouterB的GE1/0/2接口的IP地址）。

[RouterA-Tunnel1] destination 2.2.3.1

# 在IPsec隧道接口上应用IPsec安全框架

[RouterA-Tunnel1] tunnel protection ipsec profile abc

[RouterA-Tunnel1] quit

(4)     配置Router A到Router B的静态路由。

[RouterA] ip route-static 10.1.2.0 255.255.255.0 tunnel 1

4. 配置Router B

(1)     请根据组网图中标识的接口IP地址，配置各接口的IP地址，具体配置步骤略

(2)     配置IPsec安全框架

# 创建IKE keychain abc并进入IKE keychain视图。

<RouterB> system-view

[RouterB] ike keychain abc

# 配置与地址为2.2.2.1的对端使用的预共享密钥为明文的123456TESTplat&!。

[RouterB-ike-keychain-abc] pre-shared-key address 2.2.2.1 255.255.255.0 key simple 123456TESTplat&!

[RouterB-ike-keychain-abc] quit

# 创建IKE profile abc，并进入其视图。

[RouterB] ike profile abc

# 在IKE profile abc中指定名称为abc的配置的IKE keychain。

[RouterB-ike-profile-abc] keychain abc

# 指定使用IP地址2.2.3.1标识本端身份。

[RouterB-ike-profile-abc] local-identity address 2.2.3.1

# 指定需要匹配对端身份类型为IP地址，取值为2.2.2.1。

[RouterB-ike-profile-abc] match remote identity address 2.2.2.1 24

# 配置IKE第一阶段协商使用野蛮模式。

[RouterB-ike-profile-abc] exchange-mode aggressive

[RouterB-ike-profile-abc] quit

# 创建名为abc的IPsec安全提议，并进入IPsec安全提议视图。

[RouterB] ipsec transform-set abc

# 在IPsec安全提议中配置ESP加密算法为CBC模式的AES算法，密钥长度为128比特。

[RouterB-ipsec-transform-set-abc] esp encryption-algorithm aes-cbc-128

# 在IPsec安全提议中配置ESP认证算法为HMAC-SHA1算法，密钥长度为160比特。

[RouterB-ipsec-transform-set-abc] esp authentication-algorithm sha1

[RouterB-ipsec-transform-set-abc] quit

# 配置名称为abc的IPsec安全框架，通过IKE协商建立安全联盟。

[RouterB] ipsec profile abc isakmp

# 配置IPsec安全框架引用名称为abc的IPsec安全提议。

[RouterB-ipsec-profile-isakmp-abc] transform-set abc

# 配置IPsec安全框架引用名称为abc的IKE profile。

[RouterB-ipsec-profile-isakmp-abc] ike-profile abc

[RouterB-ipsec-profile-isakmp-abc] quit

(3)     配置IPsec隧道接口

# 创建模式为IPsec隧道的接口Tunnel1。

[RouterB] interface tunnel 1 mode ipsec

# 配置Tunnel1接口的IP地址。

[RouterB-Tunnel1] ip address 3.3.3.2 255.255.255.0

# 配置Tunnel1接口的源端地址（GE1/0/2接口的IP地址）。

[RouterB-Tunnel1] source 2.2.3.1

# 配置Tunnel1接口的目的端地址（RouterB的GE1/0/2接口的IP地址）。

[RouterB-Tunnel1] destination 2.2.2.1

# 在IPsec隧道接口上应用IPsec安全框架。

[RouterB-Tunnel1] tunnel protection ipsec profile abc

[RouterB-Tunnel1] quit

(4)     配置Router B到Router A的静态路由

[RouterB] ip route-static 10.1.1.0 255.255.255.0 tunnel 1

5. 验证配置结果

以上配置完成后，Router A会自动与Router B进行IKE协商。当IKE协商完成后，Router A和Router B上的IPsec 虚拟隧道接口都将up，即可以满足上述组网需求，对总部和分支的数据流进行安全保护。

# 通过display ip interface brief命令可查看接口状态如下：

<RouterA> display ip interface brief

*down: administratively down

(s): spoofing  (l): loopback

Interface           Physical Protocol IP address/Mask    VPN instance Description

GE1/0/1             up       up       10.1.1.1/24        --           --

GE1/0/2             up       up       2.2.2.1/24         --           --

Tun1                up       up       3.3.3.1/24         --           --

# 通过display interface tunnel命令可查看隧道状态如下：

<RouterA> display interface Tunnel 1

Tunnel1

Current state: UP

Line protocol state: UP

Description: Tunnel1 Interface

Bandwidth: 64 kbps

Maximum transmission unit: 1444

Internet address: 3.3.3.1/24 (primary)

Tunnel source 2.2.2.1, destination 2.2.3.1

Tunnel TTL 255

Tunnel protocol/transport IPsec/IP

Output queue - Urgent queuing: Size/Length/Discards 0/100/0

Output queue - Protocol queuing: Size/Length/Discards 0/500/0

Output queue - FIFO queuing: Size/Length/Discards 0/75/0

Last clearing of counters: Never

Last 300 seconds input rate: 0 bytes/sec, 0 bits/sec, 0 packets/sec

Last 300 seconds output rate: 0 bytes/sec, 0 bits/sec, 0 packets/sec

Input: 0 packets, 0 bytes, 0 drops

Output: 0 packets, 0 bytes, 0 drops

# 通过display ipsec sa命令查看协商生成的IPsec SA：

<RouterA> display ipsec sa

-------------------------------

Interface: Tunnel1

-------------------------------

  -----------------------------

  IPsec profile: abc

  Alias: profile-abc

  Mode: ISAKMP

  -----------------------------

    Tunnel id: 0

    Encapsulation mode: tunnel

    Perfect Forward Secrecy:

    Transmitting entity: Initiator

    Path MTU: 1388

    Tunnel:

        local  address/port: 2.2.2.1/500

        remote address/port: 2.2.3.1/500

    Flow:

        sour addr: 0.0.0.0/0.0.0.0  port: 0  protocol: ip

        dest addr: 0.0.0.0/0.0.0.0  port: 0  protocol: ip

    [Inbound ESP SAs]

      SPI: 2701952073 (0xa10c8449)

      Connection ID: 4294967296

      Transform set: ESP-ENCRYPT-AES-CBC-128 ESP-AUTH-SHA1

      SA duration (kilobytes/sec): 1843200/3600

      SA remaining duration (kilobytes/sec): 1843200/3180

      Max received sequence-number: 0

      Anti-replay check enable: Y

      Anti-replay window size: 64

      UDP encapsulation used for NAT traversal: N

      Status: Active

    [Outbound ESP SAs]

      SPI: 3607077598 (0xd6ffa2de)

      Connection ID: 12884901889

      Transform set: ESP-ENCRYPT-AES-CBC-128 ESP-AUTH-SHA1

      SA duration (kilobytes/sec): 1843200/3600

      SA remaining duration (kilobytes/sec): 1843200/3180

      Max sent sequence-number: 0

      UDP encapsulation used for NAT traversal: N

      Status: Active

# 在Router A上用私网地址可以Ping通Router B连接的私网地址：

<RouterA> ping -a 10.1.1.1 10.1.2.1

Ping 10.1.2.1 (10.1.2.1) from 10.1.1.1: 56 data bytes, press CTRL_C to break

56 bytes from 10.1.2.1: icmp_seq=0 ttl=255 time=1.000 ms

56 bytes from 10.1.2.1: icmp_seq=1 ttl=255 time=1.000 ms

56 bytes from 10.1.2.1: icmp_seq=2 ttl=255 time=0.000 ms

56 bytes from 10.1.2.1: icmp_seq=3 ttl=255 time=1.000 ms

56 bytes from 10.1.2.1: icmp_seq=4 ttl=255 time=0.000 ms

--- Ping statistics for 10.1.2.1 ---

5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss

round-trip min/avg/max/std-dev = 0.000/0.600/1.000/0.490 ms