防火墙建立IPSEC VPN?

可以参考下典型配置，通过ACL 限制访问ip.

. 组网需求

如图1-15所示，某企业分支使用拨号方式获取动态IP地址接入Internet，企业总部使用固定的IP地址接入Internet。现有如下组网要求：

·              企业分支与企业总部之间的所有流量通过IPsec安全隧道进行传送；

·              当企业分支的私网IP地址段调整时，不需要改变企业总部网关的IPsec配置。

为实现如上组网需求，可采用如下配置思路实现：

·              在Device A和Device B之间使用IPsec隧道接口建立IPsec连接，将发送给对端私网的数据流路由到IPsec虚拟隧道接口上，由IPsec虚拟隧道接口上动态协商建立的IPsec安全隧道对分支子网（10.1.1.0/24）与总部子网（10.1.2.0/24）之间的所有数据流进行安全保护。

2. 组网图

图1-15 基于IPsec隧道建立保护IPv4报文的IPsec隧道组网图

在开始下面的配置之前，请确保Device A的GE1/0/2接口和Device B的GE1/0/2接口之间IPv4报文路由可达。

3. 配置步骤

·              配置Device A

(1)      请根据组网图中标示的接口IP地址，配置各接口的IP地址，具体配置步骤略。

(2)      配置IPsec安全框架

# 创建IKE keychain abc并进入IKE keychain视图。

<DeviceA> system-view

[DeviceA] ike keychain abc

# 配置与地址为2.2.3.1的对端使用的预共享密钥为明文的123456TESTplat&!。

[DeviceA-ike-keychain-abc] pre-shared-key address 2.2.3.1 255.255.255.0 key simple 123456TESTplat&!

[DeviceA-ike-keychain-abc] quit

# 创建IKE profile abc，并进入其视图。

[DeviceA] ike profile abc

# 在IKE profile abc中指定名称为abc的配置的IKE keychain。

[DeviceA-ike-profile-abc] keychain abc

# 指定使用IP地址2.2.2.1标识本端身份。

[DeviceA-ike-profile-abc] local-identity address 2.2.2.1

# 指定需要匹配对端身份类型为IP地址，取值为2.2.3.1。

[DeviceA-ike-profile-abc] match remote identity address 2.2.3.1 24

# 配置IKE第一阶段协商使用野蛮模式。

[DeviceA-ike-profile-abc] exchange-mode aggressive

[DeviceA-ike-profile-abc] quit

# 创建名为abc的IPsec安全提议，并进入IPsec安全提议视图。

[DeviceA] ipsec transform-set abc

# 在IPsec安全提议中配置ESP加密算法为CBC模式的AES算法，密钥长度为128比特。

[DeviceA-ipsec-transform-set-abc] esp encryption-algorithm aes-cbc-128

# 在IPsec安全提议中配置ESP认证算法为HMAC-SHA1算法，密钥长度为160比特。

[DeviceA-ipsec-transform-set-abc] esp authentication-algorithm sha1

[DeviceA-ipsec-transform-set-abc] quit

# 配置名称为abc的IPsec安全框架，通过IKE协商建立安全联盟。

[DeviceA] ipsec profile abc isakmp

# 配置IPsec安全框架引用名称为abc的IPsec安全提议。

[DeviceA-ipsec-profile-isakmp-abc] transform-set abc

# 配置IPsec安全框架引用名称为abc的的IKE profile。

[DeviceA-ipsec-profile-isakmp-abc] ike-profile abc

[DeviceA-ipsec-profile-isakmp-abc] quit

(3)      配置IPsec隧道接口

# 创建模式为IPsec隧道的接口Tunnel1。

[DeviceA] interface tunnel 1 mode ipsec

# 配置Tunnel1接口的IP地址。

[DeviceA-Tunnel1] ip address 3.3.3.1 255.255.255.0

# 配置Tunnel1接口的源端地址（GE1/0/2接口的IP地址）。

[DeviceA-Tunnel1] source 2.2.2.1

# 配置Tunnel1接口的目的端地址（DeviceB的GE1/0/2接口的IP地址）。

[DeviceA-Tunnel1] destination 2.2.3.1

# 在IPsec隧道接口上应用IPsec安全框架

[DeviceA-Tunnel1] tunnel protection ipsec profile abc

[DeviceA-Tunnel1] quit

(4)      配置Device A到Device B的静态路由。

[DeviceA] ip route-static 10.1.2.0 255.255.255.0 tunnel 1

·              配置Device B

(5)      请根据组网图中标示的接口IP地址，配置各接口的IP地址，具体配置步骤略。

(6)      配置IPsec安全框架

# 创建IKE keychain abc并进入IKE keychain视图。

<DeviceB> system-view

[DeviceB] ike keychain abc

# 配置与地址为2.2.2.1的对端使用的预共享密钥为明文的123456TESTplat&!。

[DeviceB-ike-keychain-abc] pre-shared-key address 2.2.2.1 255.255.255.0 key simple 123456TESTplat&!

[DeviceB-ike-keychain-abc] quit

# 创建IKE profile abc，并进入其视图。

[DeviceB] ike profile abc

# 在IKE profile abc中指定名称为abc的配置的IKE keychain。

[DeviceB-ike-profile-abc] keychain abc

# 指定使用IP地址2.2.3.1标识本端身份。

[DeviceB-ike-profile-abc] local-identity address 2.2.3.1

# 指定需要匹配对端身份类型为IP地址，取值为2.2.2.1。

[DeviceB-ike-profile-abc] match remote identity address 2.2.2.1 24

# 配置IKE第一阶段协商使用野蛮模式。

[DeviceB-ike-profile-1] exchange-mode aggressive

[DeviceB-ike-profile-abc] quit

# 创建名为abc的IPsec安全提议，并进入IPsec安全提议视图。

[DeviceB] ipsec transform-set abc

# 在IPsec安全提议中配置ESP加密算法为CBC模式的AES算法，密钥长度为128比特。

[DeviceB-ipsec-transform-set-abc] esp encryption-algorithm aes-cbc-128

# 在IPsec安全提议中配置ESP认证算法为HMAC-SHA1算法，密钥长度为160比特。

[DeviceB-ipsec-transform-set-abc] esp authentication-algorithm sha1

[DeviceB-ipsec-transform-set-abc] quit

# 配置名称为abc的IPsec安全框架，通过IKE协商建立安全联盟。

[DeviceB] ipsec profile abc isakmp

# 配置IPsec安全框架引用名称为abc的IPsec安全提议。

[DeviceB-ipsec-profile-isakmp-abc] transform-set abc

# 配置IPsec安全框架引用名称为abc的的IKE profile。

[DeviceB-ipsec-profile-isakmp-abc] ike-profile abc

[DeviceB-ipsec-profile-isakmp-abc] quit

(7)      配置IPsec隧道接口

# 创建模式为IPsec隧道的接口Tunnel1。

[DeviceB] interface tunnel 1 mode ipsec

# 配置Tunnel1接口的IP地址。

[DeviceB-Tunnel1] ip address 3.3.3.2 255.255.255.0

# 配置Tunnel1接口的源端地址（GE1/0/2接口的IP地址）。

[DeviceB-Tunnel1] source 2.2.3.1

# 配置Tunnel1接口的目的端地址（DeviceB的GE1/0/2接口的IP地址）。

[DeviceB-Tunnel1] destination 2.2.2.1

# 在IPsec隧道接口上应用IPsec安全框架。

[DeviceB-Tunnel1] tunnel protection ipsec profile abc

[DeviceB-Tunnel1] quit

(8)      配置Device A到Device B的静态路由。

[DeviceB] ip route-static 10.1.1.0 255.255.255.0 tunnel 1

4. 验证配置结果

以上配置完成后，Device A会自动与Device B进行IKE协商。当IKE协商完成后，Device A和Device B上的IPsec 虚拟隧道接口都将up，即可以满足上述组网需求，对总部和分支的数据流进行安全保护。

# 通过display ip interface brief命令可查看接口状态如下：

<DeviceA> display ip interface brief

*down: administratively down

(s): spoofing  (l): loopback

Interface                Physical Protocol IP Address      Description

GE1/0/1                  up       up       10.1.1.1        --

GE1/0/2                  up       up       2.2.2.1         --

Tun1                     up       up       3.3.3.1         --

# 通过display interface tunnel命令可查看隧道状态如下：

<DeviceA> display interface Tunnel 1

Tunnel1

Current state: UP

Line protocol state: UP

Description: Tunnel1 Interface

Bandwidth: 64 kbps

Maximum transmission unit: 1444

Internet address: 3.3.3.1/24 (primary)

Tunnel source 2.2.2.1 (GigabitEthernet0/0), destination 2.2.3.1

Tunnel TTL 255

Tunnel protocol/transport IPsec/IP

Output queue - Urgent queuing: Size/Length/Discards 0/100/0

Output queue - Protocol queuing: Size/Length/Discards 0/500/0

Output queue - FIFO queuing: Size/Length/Discards 0/75/0

Last clearing of counters: Never

Last 300 seconds input rate: 0 bytes/sec, 0 bits/sec, 0 packets/sec

Last 300 seconds output rate: 0 bytes/sec, 0 bits/sec, 0 packets/sec

Input: 0 packets, 0 bytes, 0 drops

Output: 0 packets, 0 bytes, 0 drops

# 通过display ipsec sa命令查看协商生成的IPsec SA：

<DeviceA> display ipsec sa

-------------------------------

Interface: Tunnel1

-------------------------------

  -----------------------------

  IPsec profile: abc

  Mode: ISAKMP

  -----------------------------

    Tunnel id: 0

    Encapsulation mode: tunnel

    Perfect forward secrecy:

    Path MTU: 1388

    Tunnel:

        local  address: 2.2.2.1

        remote address: 2.2.3.1

    Flow:

        sour addr: 0.0.0.0/0.0.0.0  port: 0  protocol: ip

        dest addr: 0.0.0.0/0.0.0.0  port: 0  protocol: ip

    [Inbound ESP SAs]

      SPI: 2701952073 (0xa10c8449)

      Connection ID: 4294967296

      Transform set: ESP-ENCRYPT-DES-CBC ESP-AUTH-MD5

      SA duration (kilobytes/sec): 1843200/3600

      SA remaining duration (kilobytes/sec): 1843200/3180

      Max received sequence-number: 0

      Anti-replay check enable: Y

      Anti-replay window size: 64

      UDP encapsulation used for NAT traversal: N

      Status: Active

    [Outbound ESP SAs]

      SPI: 3607077598 (0xd6ffa2de)

      Connection ID: 12884901889

      Transform set: ESP-ENCRYPT-DES-CBC ESP-AUTH-MD5

      SA duration (kilobytes/sec): 1843200/3600

      SA remaining duration (kilobytes/sec): 1843200/3180

      Max sent sequence-number: 0

      UDP encapsulation used for NAT traversal: N

      Status: Active

# 在Device A上用私网地址可以Ping通Device B连接的私网地址：

<DeviceA> ping -a 10.1.1.1 10.1.2.1

Ping 10.1.2.1 (10.1.2.1) from 10.1.1.1: 56 data bytes, press CTRL_C to break

56 bytes from 10.1.2.1: icmp_seq=0 ttl=255 time=1.000 ms

56 bytes from 10.1.2.1: icmp_seq=1 ttl=255 time=1.000 ms

56 bytes from 10.1.2.1: icmp_seq=2 ttl=255 time=0.000 ms

56 bytes from 10.1.2.1: icmp_seq=3 ttl=255 time=1.000 ms

56 bytes from 10.1.2.1: icmp_seq=4 ttl=255 time=0.000 ms

--- Ping statistics for 10.1.2.1 ---

5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss

round-trip min/avg/max/std-dev = 0.000/0.600/1.000/0.490 ms