• 全部
  • 经验案例
  • 典型配置
  • 技术公告
  • FAQ
  • 漏洞说明
  • 全部
  • 全部
  • 大数据引擎
  • 知了引擎
产品线
搜索
取消
案例类型
发布者
是否解决
是否官方
时间
搜索引擎
匹配模式
高级搜索

IPSEC 野蛮模式,路由器

2020-12-04提问
  • 0关注
  • 1收藏,2048浏览
粉丝:0人 关注:4人

问题描述:

详细的命令配置案例有吗,

组网及组网描述:


最佳答案

粉丝:0人 关注:1人

总部
ipsec transform-set (起一个名字)
esp encryption-algorithm 3des-cbc
esp authentication-algorithm sha1
ipsec policy-template (起一个名字)
transform-set (关联transform-set)
local-address 210.21.233.162
ike-profile (关联)
ipsec policy (名字) 1 isakmp template (名字)这个是模板是要调用的
ike identity fqdn 1 (全局下配置一个fqdn)
ike profile (起一个名字)
keychain (关联keychain)
exchange-mode aggressive
local-identity fqdn 1
match remote identity fqdn 2
match local address (填写出口地址)
ike keychain (名字)
match local address (出口地址或者出接口)
pre-shared-key address 0.0.0.0 0.0.0.0 key cipher (输入认证的密钥)

ACL一定要注意,如果出口坐的策略路由,那就Deny掉分支内网地址
acl advanced 3002
rule 0 permit ip destination 192.168.100.0 0.0.0.255
rule 5 permit ip source 192.168.100.0 0.0.0.255
rule 10 permit ip source 192.168.30.0 0.0.0.255
rule 15 permit ip destination 192.168.30.0 0.0.0.255

分支1配置
ipsec transform-set (名字)
esp encryption-algorithm 3des-cbc
esp authentication-algorithm sha1
ipsec policy (名字) 1 isakmp
transform-set (关联transform-set)
security acl (关联ACL)
remote-address 210.21.233.162
ike-profile (关联profile)
ike identity fqdn 2 (全局配置fqdn)
ike profile (名字)
keychain (关联keychain)
exchange-mode aggressive
local-identity fqdn 2
match remote identity fqdn 1
ike keychain (名字)
match local address Dialer0
pre-shared-key address 210.21.233.162 255.255.255.255 key cipher (认证密钥)

2 个回答
粉丝:122人 关注:6人

您好,请知:

以下是官网MSR2600的IPSEC野蛮模式的配置举例,请参考:

2.18.3  IKE野蛮模式及NAT穿越配置举例

说明

设备运行于FIPS模式时,不支持本例。

1. 组网需求

Device A在NAT安全网关内网侧,所连接的内网侧用户使用NAT地址3.3.3.1访问外网。要求在Device A和Device B之间建立一个IPsec隧道,对Host A所在的子网(10.1.1.0/24)与Host B所在的子网(10.1.2.0/24)之间的数据流进行安全保护。具体需要求如下:

·     协商双方使用缺省的IKE提议。

·     协商模式为野蛮模式协商。

·     第一阶段协商的认证方法为预共享密钥认证。

2. 组网图

图2-6 IKE野蛮模式及NAT穿越典型组网图

3. 配置步骤

(1)     配置Device A

# 配置各接口的IP地址,具体略。

# 配置IPv4高级ACL 3000,定义要保护由子网10.1.1.0/24去往子网10.1.2.0/24的数据流。

<DeviceA> system-view

[DeviceA] acl advanced 3000

[DeviceA-acl-ipv4-adv-3000] rule 0 permit ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255

[DeviceA-acl-ipv4-adv-3000] quit

# 创建IPsec安全提议transform1。

[DeviceA] ipsec transform-set transform1

# 配置采用的安全协议为ESP。

[DeviceA-ipsec-transform-set-transform1] protocol esp

# 配置ESP协议采用的加密算法为3DES,认证算法为HMAC-MD5。

[DeviceA-ipsec-transform-set-transform1] esp encryption-algorithm 3des-cbc

[DeviceA-ipsec-transform-set-transform1] esp authentication-algorithm md5

[DeviceA-ipsec-transform-set-transform1] quit

# 创建IKE keychain,名称为keychain1。

[DeviceA] ike keychain keychain1

# 配置与IP地址为2.2.2.2的对端使用的预共享密钥为明文12345zxcvb!@#$%ZXCVB。

[DeviceA-ike-keychain-keychain1] pre-shared-key address 2.2.2.2 255.255.0.0 key simple 12345zxcvb!@#$%ZXCVB

[DeviceA-ike-keychain-keychain1] quit

# 创建IKE profile,名称为profile1。

[DeviceA] ike profile profile1

# 指定引用的IKE keychain为keychain1。

[DeviceA-ike-profile-profile1] keychain keychain1

# 配置协商模式为野蛮模式。

[DeviceA-ike-profile-profile1] exchange-mode aggressive

# 配置本端身份为FQDN名称***.***。

[DeviceA-ike-profile-profile1] local-identity fqdn ***.***

# 配置匹配对端身份的规则为IP地址2.2.2.2/16。

[DeviceA-ike-profile-profile1] match remote identity address 2.2.2.2 255.255.0.0

[DeviceA-ike-profile-profile1] quit

# 创建一条IKE协商方式的IPsec安全策略,名称为policy1,顺序号为1。

[DeviceA] ipsec policy policy1 1 isakmp

# 配置IPsec隧道的对端IP地址为2.2.2.2。

[DeviceA-ipsec-policy-isakmp-policy1-1] remote-address 2.2.2.2

# 指定引用的安全提议为transform1。

[DeviceA-ipsec-policy-isakmp-policy1-1] transform-set transform1

# 指定引用ACL 3000。

[DeviceA-ipsec-policy-isakmp-policy1-1] security acl 3000

# 指定引用的IKE profile为profile1。

[DeviceA-ipsec-policy-isakmp-policy1-1] ike-profile profile1

[DeviceA-ipsec-policy-isakmp-policy1-1] quit

# 在接口GigabitEthernet1/0/1上应用IPsec安全策略policy1。

[DeviceA] interface gigabitethernet 1/0/1

[DeviceA-GigabitEthernet1/0/1] ipsec apply policy policy1

[DeviceA-GigabitEthernet1/0/1] quit

# 配置到Host B所在子网的静态路由。

[DeviceA] ip route-static 10.1.2.0 255.255.255.0 1.1.1.2

(2)     配置Device B

# 配置各接口的IP地址,具体略。

# 创建IPsec安全提议transform1。

<DeviceB> system-view

[DeviceB] ipsec transform-set transform1

# 配置采用的安全协议为ESP。

[DeviceB-ipsec-transform-set-transform1] protocol esp

# 配置ESP协议采用的加密算法为3DES,认证算法为HMAC-MD5。

[DeviceB-ipsec-transform-set-transform1] esp encryption-algorithm 3des-cbc

[DeviceB-ipsec-transform-set-transform1] esp authentication-algorithm md5

[DeviceB-ipsec-transform-set-transform1] quit

# 创建IKE keychain,名称为keychain1。

[DeviceB]ike keychain keychain1

# 配置与IP地址为1.1.1.1的对端使用的预共享密钥为明文12345zxcvb!@#$%ZXCVB。在本例中,来自1.1.1.1的报文经NAT转换后,源IP地址被转换为3.3.3.1,因此指定预共享密钥时对端IP地址为3.3.3.1。

[DeviceB-ike-keychain-keychain1] pre-shared-key address 3.3.3.1 255.255.0.0 key simple 12345zxcvb!@#$%ZXCVB

[DeviceB-ike-keychain-keychain1] quit

# 创建IKE profile,名称为profile1。

[DeviceB] ike profile profile1

# 指定引用的IKE keychain为keychain1。

[DeviceB-ike-profile-profile1] keychain keychain1

# 配置协商模式为野蛮模式。

[DeviceB-ike-profile-profile1] exchange-mode aggressive

# 配置匹配对端身份的规则为FQDN名称***.***。

[DeviceB-ike-profile-profile1] match remote identity fqdn ***.***

[DeviceB-ike-profile-profile1] quit

# 创建一个IKE协商方式的IPsec安全策略模板,名称为template1,顺序号为1。

[DeviceB] ipsec policy-template template1 1

# 指定引用的安全提议为tran1。

[DeviceB-ipsec-policy-template-template1-1] transform-set transform1

# 配置IPsec隧道的本端IP地址为2.2.2.2。

[DeviceB-ipsec-policy-template-template1-1] local-address 2.2.2.2

# 指定引用的IKE profile为profile1。

[DeviceB-ipsec-policy-template-template1-1] ike-profile profile1

[DeviceB-ipsec-policy-template-template1-1] quit

# 引用IPsec安全策略模板创建一条IKE协商方式的IPsec安全策略,名称为policy1,顺序号为1。

[DeviceB] ipsec policy policy1 1 isakmp template template1

# 在接口GigabitEthernet1/0/1上应用安全策略policy1。

[DeviceB] interface gigabitethernet 1/0/1

[DeviceB-GigabitEthernet1/0/1] ipsec apply policy policy1

[DeviceB-GigabitEthernet1/0/1] quit

# 配置到Host A所在子网的静态路由。2.2.2.1为本例中的直连下一跳地址,实际使用中请以具体组网情况为准。

[DeviceB] ip route-static 10.1.1.0 255.255.255.0 2.2.2.1

4. 验证配置

以上配置完成后,子网10.1.1.0/24若向子网10.1.2.0/24发送报文,将触发IKE协商。

# 可通过如下显示信息查看到Device A上IKE第一阶段协商成功后生成的IKE SA

[DeviceA] display ike sa

    Connection-ID   Remote                Flag         DOI

------------------------------------------------------------------

    13              2.2.2.2               RD           IPsec

Flags:

RD--READY RL--REPLACED FD-FADING RK-REKEY

[DeviceA] display ike sa verbose

   -----------------------------------------------

   Connection ID: 13

   Outside VPN:

   Inside VPN:

   Profile: profile1

   Transmitting entity: Initiator

   Initiator COOKIE: 1bcf453f0a217259

   Responder COOKIE: 5e32a74dfa66a0a4

   -----------------------------------------------

   Local IP: 1.1.1.1

   Local ID type: FQDN

   Local ID: ***.***

 

   Remote IP: 2.2.2.2

   Remote ID type: IPV4_ADDR

   Remote ID: 2.2.2.2

 

   Authentication-method: PRE-SHARED-KEY

   Authentication-algorithm: SHA1

   Encryption-algorithm: DES-CBC

 

   Life duration(sec): 86400

   Remaining key duration(sec): 84565

   Exchange-mode: Aggressive

   Diffie-Hellman group: Group 1

   NAT traversal: Detected

 

   Extend authentication: Disabled

   Assigned IP address:

   Vendor ID index: 0xa1d

   Vendor ID sequence number: 0x0

# 可通过如下显示信息查看到IKE第二阶段协商生成的IPsec SA。

[DeviceA] display ipsec sa

-------------------------------

Interface: GigabitEthernet1/0/1

-------------------------------

 

  -----------------------------

  IPsec policy: policy1

  Sequence number: 1

  Mode: ISAKMP

  -----------------------------

    Tunnel id: 0

    Encapsulation mode: tunnel

    Perfect Forward Secrecy:

    Inside VPN:

    Extended Sequence Numbers enable: N

    Traffic Flow Confidentiality enable: N

    Path MTU: 1435

    Tunnel:

        local  address: 1.1.1.1

        remote address: 2.2.2.2

    Flow:

        sour addr: 10.1.1.0/255.255.255.0  port: 0  protocol: ip

        dest addr: 10.1.2.0/255.255.255.0  port: 0  protocol: ip

    [Inbound ESP SAs]

      SPI: 830667426 (0x3182faa2)

      Connection ID: 90194313219

      Transform set: ESP-ENCRYPT-3DES-CBC ESP-AUTH-MD5

      SA duration (kilobytes/sec): 1843200/3600

      SA remaining duration (kilobytes/sec): 1843200/2313

      Max received sequence-number:

      Anti-replay check enable: Y

      Anti-replay window size: 64

      UDP encapsulation used for NAT traversal: Y

      Status: Active

 

    [Outbound ESP SAs]

      SPI: 3516214669 (0xd1952d8d)

      Connection ID: 64424509441

      Transform set: ESP-ENCRYPT-3DES-CBC ESP-AUTH-MD5

      SA duration (kilobytes/sec): 1843200/3600

      SA remaining duration (kilobytes/sec): 1843200/2313

      Max sent sequence-number:

      UDP encapsulation used for NAT traversal: Y

      Status: Active


以下是HCL模拟器的F1060Ipsec 野蛮模式配置举例:

https://zhiliao.h3c.com/theme/details/102893

粉丝:3人 关注:0人

什么型号的路由器,配置是不一样的:

https://zhiliao.h3c.com/Theme/details/124923

1 配置需求或说明

1.1  适用产品系列

本案例适用于MER3220MER5200MER8300路由器。

1.2  配置需求及实现的效果

Router A使用ERG2路由器,Router B均使用MER路由器,在两者之间建立一个安全隧道,对客户分支机构A所在的子网(192.168.1.0/24)与客户分支机构B所在的子网(192.168.2.0/24)之间的数据流进行安全保护,实现两端子网终端通过IPsec VPN 隧道进行互访。并且ERG2路由器是不固定的IP地址。

配置步骤

2 组网图


3 配置步骤

3.1  基本上网配置

路由器基本上网配置省略,可参考“路由器上网配置方法”案例。

3.2  配置IPSEC VPN

3.2.1  配置 ERG2--Router A

单击【VPN--IPsec VPN--【虚接口】, 点击【新增】,虚接口选择【ipsec0】,绑定接口选择【WAN1】,点击【增加】。


#配置IKE安全提议  点击【新增】,验证算法选择【MD5】,加密算法选择【3DES】,DH组选择【DH2】,点击【增加】。

#配置IKE对等体,点击【新增】,虚接口选择【ipsec0】,对端地址选择【2.2.2.2】,协商模式选择【野蛮模式】,ID类型选择【NAME类型】,本段IDERG2】,对端IDMER】,安全提议一选择【ERG2】,预共享密钥选择【123456】,点击【增加】。

 

#配置IPsec安全提议,安全协议选择【ESP】,验证算法选择【MD5】,加密算法选择【3DES-CBC】,点击【增加】。

 

 

#配置IPSec安全策略,勾选“启用IPSec功能”,点击“启用”,本地子网配置【192.168.1.0/255.255.255.0】,对端子网配置【192.168.2.0/255.255.255.0】,协商类型选择【IKE协商】,对等体选择【ERG2】,安全提议一选择【ERG2】,PFS配置【DH1】,点击【增加】。

#添加静态路由 单击【高级设置】--【路由设置】---【静态路由】 点击【新增】,目的地址填【192.168.2.0】,子网掩码【255.255.255.0】,出接口选择【IPSec0】,点击【增加】  

3.2.2  配置MER--Router B

#单击【虚拟专网】--IPsec VPN--IPsec策略】,点击【添加】


#选择【中心节点】,选择公网接口【WAN0】,填写预共享密钥【123456】,点击【显示高级配置】

#配置IKE,协商模式选择【野蛮模式】,本端身份类型选择【FQDN】配置【MER】,算法组合选择【自定义】,认证算法选择【MD5】,加密算法选择【3DES】,PFS选择【DH1

注意:除了上面的配置外还需要在命令行配置match  remote identity fqdn ERG2 否则无法建立。

#配置IPsec,安全协议选择ESP,认证算法选择【MD5】,加密算法选择【3DES-CBC】,PFS选择【Group1】,并保证两端算法一致。然后点击【返回基本配置】,再点击【确定】

3.3  保存配置

#点击页面右上角保存按钮


3.4 验证配置结果

#ERG2下面的终端ping对端MER的内网电脑的地址触发隧道

#ERG2上面看到的安全联盟

#MER上查看隧道信息


我的是一个er5200和一个er8300 为什么按照教程来的行不通呢?

zhiliao_MksdlM 发表时间:2020-12-04

试一下主模式,分部对端地址改成 0.0.0.0

巡山的小妖 发表时间:2020-12-04

以前用域名地址的时候很好用,后来域名不好用了改用ip地址,但是ip地址每天拨号的时候会变,每天要改后来就不用了,改用现在的蒲公英,现在蒲公英的网速不好,想用回ipsec但是现在用ip地址也不通了

zhiliao_MksdlM 发表时间:2020-12-04

两端至少有一端是固定,不管是地址还是域名方式。

巡山的小妖 发表时间:2020-12-04

编辑答案

你正在编辑答案

如果你要对问题或其他回答进行点评或询问,请使用评论功能。

分享扩散:

提出建议

    +

亲~登录后才可以操作哦!

确定

亲~检测到您登陆的账号未在http://hclhub.h3c.com进行注册

注册后可访问此模块

跳转hclhub

你的邮箱还未认证,请认证邮箱或绑定手机后进行当前操作

举报

×

侵犯我的权益 >
对根叔社区有害的内容 >
辱骂、歧视、挑衅等(不友善)

侵犯我的权益

×

泄露了我的隐私 >
侵犯了我企业的权益 >
抄袭了我的内容 >
诽谤我 >
辱骂、歧视、挑衅等(不友善)
骚扰我

泄露了我的隐私

×

您好,当您发现根叔知了上有泄漏您隐私的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您认为哪些内容泄露了您的隐私?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)

侵犯了我企业的权益

×

您好,当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 zhiliao@h3c.com 邮箱,我们会在审核后尽快给您答复。
  • 1. 您举报的内容是什么?(请在邮件中列出您举报的内容和链接地址)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
  • 3. 是哪家企业?(营业执照,单位登记证明等证件)
  • 4. 您与该企业的关系是?(您是企业法人或被授权人,需提供企业委托授权书)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

×

原文链接或出处

诽谤我

×

您好,当您发现根叔知了上有诽谤您的内容时,您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到zhiliao@h3c.com 邮箱,我们会尽快处理。
  • 1. 您举报的内容以及侵犯了您什么权益?(请在邮件中列出您举报的内容、链接地址,并给出简短的说明)
  • 2. 您是谁?(身份证明材料,可以是身份证或护照等证件)
我们认为知名企业应该坦然接受公众讨论,对于答案中不准确的部分,我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔社区有害的内容

×

垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载 >
辱骂、歧视、挑衅等(不友善)
骚扰我
诱导投票

不规范转载

×

举报说明