comwareV7 ipsec RSA证书认证典型配置

组网如图：

DeviceA与DeviceB以证书的方式建立IPSEC，刚兴趣流使用loopback0充当

前提是已经获得CA证书与服务器证书，现网中需要购买CA与服务器证书

本实验自行搭建CA服务器，然后申请CA证书有服务器证书

IPSEC证书申请的时候，标红的部分一定要和下面一致

DeviceA的主要配置：

（1）证书相关配置

创建PKI域

pki domain domain1

 public-key rsa signature name rsa1

 undo crl check enable

创建PKI实体

pki entity entity1

 common-name ipsec1

导入证书（前提是将CA证书与本地证书已经上传到设备上）

pki import domain domain1 der ca filename ca.cer

pki import domain domain1 p12 local filename ipsec1.pfx

创建证书访问策略

pki certificate access-control-policy policy1

 rule 1 permit group1

创建证书访问规则，对端证书subject-name DN中需包含（ctn）规则中定义的字符串才被认为是有效的证书。本例使用的证书subject-name DN中包含字符“ipsec2”，因此在这里使用参数ctn ipsec2。

pki certificate attribute-group group1

 attribute 1 subject-name dn ctn ipsec2

PS:DN：distinguished name，唯一区别名，其实就是证书的使用者，本例子取其中的一个字段CN

（2）ipsec主要配置

配置感兴趣流

interface LoopBack0

 ip address 10.0.0.1 255.255.255.255

acl advanced 3000

 rule 0 permit ip source 10.0.0.1 0 destination 10.1.0.1 0

ike的配置

ike profile profile1

 certificate domain domain1

 exchange-mode aggressive

 local-identity dn

 match remote certificate policy1

#

ike proposal 10

 authentication-method rsa-signature

 authentication-algorithm md5

ipsec的配置

ipsec transform-set tran1

 esp encryption-algorithm des-cbc

 esp authentication-algorithm sha1

#

ipsec policy map1 10 isakmp

 transform-set tran1

 security acl 3000

 remote-address 1.1.1.3

 ike-profile profile1

接口应用IPSEC策略

interface GigabitEthernet1/0/1

 port link-mode route

 combo enable copper

 ip address 1.1.1.2 255.255.255.0

 ipsec apply policy map1

静态路由的配置

ip route-static 0.0.0.0 0 1.1.1.3

安全域与安全策略配置

security-zone name Trust

import interface GigabitEthernet1/0/1

security-policy ip

 rule 0 name 0

  action pass

deviceB的主要配置

（1）证书相关配置

创建PKI域

pki domain domain1

 public-key rsa signature name rsa1

 undo crl check enable

创建PKI实体

pki entity entity1

 common-name ipsec2

导入证书（前提是将CA证书与本地证书已经上传到设备上）

pki import domain domain1 der ca filename ca.cer

pki import domain domain1 p12 local filename ipsec2.pfx

创建证书访问策略

pki certificate access-control-policy policy1

 rule 1 permit group1

创建证书访问规则，对端证书subject-name DN中需包含（ctn）规则中定义的字符串才被认为是有效的证书。本例使用的证书subject-name DN中包含字符“ipsec1”，因此在这里使用参数ctn ipsec1。

pki certificate attribute-group group1

 attribute 1 subject-name dn ctn ipsec1

PS:DN：distinguished name，唯一区别名，其实就是证书的使用者，本例子取其中的一个字段CN

（2）ipsec主要配置

配置感兴趣流

interface LoopBack0

 ip address 10.1.0.1 255.255.255.255

acl advanced 3000

 rule 0 permit ip source 10.1.0.1 0 destination 10.0.0.1 0

ike的配置

ike profile profile1

 certificate domain domain1

 exchange-mode aggressive

 local-identity dn

 match remote certificate policy1

#

ike proposal 10

 authentication-method rsa-signature

 authentication-algorithm md5

ipsec的配置

ipsec transform-set tran1

 esp encryption-algorithm des-cbc

 esp authentication-algorithm sha1

#

ipsec policy map1 10 isakmp

 transform-set tran1

 security acl 3000

 remote-address 1.1.1.2

 ike-profile profile1

接口应用IPSEC策略

interface GigabitEthernet1/0/1

 port link-mode route

 combo enable copper

 ip address 1.1.1.3 255.255.255.0

 ipsec apply policy map1

静态路由的配置

ip route-static 0.0.0.0 0 1.1.1.2

安全域与安全策略配置

security-zone name Trust

import interface GigabitEthernet1/0/1

security-policy ip

 rule 0 name 0

  action pass