Group Domain VPN有KS为V7路由器的案例吗？

参考：https://www.h3c.com/cn/d_202103/1390180_30005_0.htm

1.10  Group Domain VPN典型配置举例

1.10.1  Group Domain VPN基本组网配置举例

1. 组网需求

在如图1-4所示的组网环境中，需要组建一个Group Domain VPN，对指定子网之间的数据流进行安全保护，具体要求如下：

·     子网10.1.1.0/24与子网10.1.2.0/24之间的业务流量，以及子网10.1.1.0/24与子网10.1.3.0/24之间的业务流量受IPsec保护。

·     GM 1、GM 2和GM 3加入相同的GDOI组（组ID为12345），并向维护、管理该组的KS进行注册。

·     对各GM之间的数据进行IPsec保护时，采用的安全协议为ESP，加密算法为AES-CBC 128，认证算法为SHA1。

·     GM与KS之间进行IKE协商时，使用预共享密钥的认证方法。

·     KS采用组播方式向GM发送Rekey消息。

·     KS 1与KS 2做冗余备份。KS 1与KS 2之间进行IKE协商时，使用预共享密钥的认证方法。

2. 组网图

图1-4 Group Domain VPN典型配置组网图

‌

3. 配置步骤

(1)     配置KS 1

# 配置各接口的IP地址，此处略。

# 创建IKE提议1。

<KS1> system-view

[KS1] ike proposal 1

# 指定IKE提议使用的加密算法为AES-CBC 128。

[KS1-ike-proposal-1] encryption-algorithm aes-cbc-128

# 指定IKE提议使用的认证算法为SHA1。

[KS1-ike-proposal-1] authentication-algorithm sha

# 指定IKE提议使用DH group 2。

[KS1-ike-proposal-1] dh group2

[KS1-ike-proposal-1] quit

# 创建IKE对等体toks2，用于与KS 2之间的IKE协商。

[KS1] ike peer toks2

# 指定IKE对等体toks2引用IKE提议1。

[KS1-ike-peer-toks2] proposal 1

# 配置采用预共享密钥认证时，使用的预共享密钥为明文tempkey1。

[KS1-ike-peer-toks2] pre-shared-key simple tempkey1

# 指定对端安全网关的IP地址为200.2.2.200。

[KS1-ike-peer-toks2] remote-address 200.2.2.200

[KS1-ike-peer-toks2] quit

# 创建IKE对等体togm，用于与GM之间的IKE协商。

[KS1] ike peer togm

# 指定IKE对等体togm引用IKE提议1。

[KS1-ike-peer-togm] proposal 1

# 配置采用预共享密钥认证时，使用的预共享密钥为明文tempkey1。

[KS1-ike-peer-togm] pre-shared-key simple tempkey1

[KS1-ike-peer-togm] quit

# 创建IPsec安全提议fortek。

[KS1] ipsec transform-set fortek

# 配置IPsec安全提议fortek使用ESP协议。

[KS1-ipsec-transform-set-fortek] transform esp

# 配置IPsec安全提议fortek使用AES-CBC 128加密算法。

[KS1-ipsec-transform-set-fortek] esp encryption-algorithm aes-cbc-128

# 配置IPsec安全提议fortek使用SHA1认证算法。

[KS1-ipsec-transform-set-fortek] esp authentication-algorithm sha1

[KS1-ipsec-transform-set-fortek] quit

# 创建IPsec安全框架fortek。

[KS1] ipsec profile fortek

# 配置IPsec安全框架fortek引用IPsec安全提议fortek

[KS1-ipsec-profile-fortek] transform-set fortek

[KS1-ipsec-profile-fortek] quit

# 创建名称为fortek的ACL。

[KS1] acl number 3000 name fortek

# 配置ACL规则，定义TEK保护的流量范围。因为这里业务流量为单播，所以规则要配置为对称的。

[KS1-acl-adv-3000-fortek] rule 0 permit ip source 10.1.1.0 0.0.0.255 destination

 10.1.2.0 0.0.0.255

[KS1-acl-adv-3000-fortek] rule 1 permit ip source 10.1.2.0 0.0.0.255 destination

 10.1.1.0 0.0.0.255

[KS1-acl-adv-3000-fortek] rule 2 permit ip source 10.1.1.0 0.0.0.255 destination

 10.1.3.0 0.0.0.255

[KS1-acl-adv-3000-fortek] rule 3 permit ip source 10.1.3.0 0.0.0.255 destination

 10.1.1.0 0.0.0.255

[KS1-acl-adv-3000-fortek] quit

# 创建访问控制列表forrekey。

[KS1] acl number 3001 name forrekey

# 配置Rekey的目的地址（组播地址）。

[KS1-acl-adv-3001-forrekey] rule 0 permit ip destination 225.0.0.1 0

[KS1-acl-adv-3001-forrekey] quit

# 创建本地RSA密钥对，名称为rsa1。

[KS1] public-key local create rsa name rsa1

The range of public key modulus is (512 ~ 2048).

NOTES: If the key modulus is greater than 512,

It will take a few minutes.

Press CTRL+C to abort.

Input the bits of the modulus[default = 1024]:

Generating Keys...

++++++++++++++++

+++++++

+++++++++

+++

# 导出名称为rsa1的本地密钥对，导出时使用的加密算法为3DES CBC，加密口令为12345678。该导出的密钥对信息被复制后，将用于导入到KS 2上。

[KS1] public-key local export rsa name rsa1 pem 3des-cbc-128 12345678

-----BEGIN PUBLIC KEY-----

MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQC6Ne4EtnoKqBCL2YZvSjrG+8He

sae5FWtyj9D25PEkXagpLqb3i9Gm/Qbb6cqLLPUIgDS8eK7Wt/dXLeFUCDc0lY8V

gujJPvarFL4+Jn+VuL9znNbboA9IxPH2fMvew8lkPCwkXoP+52J+1LRpYkh+rIpE

Kj7FG/3/wzGsXu8WJQIDAQAB

-----END PUBLIC KEY-----

-----BEGIN RSA PRIVATE KEY-----

Proc-Type: 4,ENCRYPTED

DEK-Info: DES-EDE3-CBC,7F8FAB15399DF87C

MGaftNqe4esjetm7bRJHSpsbwZ9YUpvA9iWh8R406NGq8e+1A/ZiK23+t1XqRwaU

1FXnwbqHgW1pZ7JxQdgBuC9uXc4VQyP/xe6xCyUepdMC71fmeOaiwUFrj6LAzzBg

o3SfhX1NHyHBnr7c6SnIeUTG2g/qRdj40TD4HcRjgPaLaTGguZ553GyS6ODWAwL7

ZBTjv+vow9kfewZ74ocoBje2gLcWlbmiEKCJGV06zW4gv2AH6I8TAhv4GovIN/v1

lCsD2PscXnPOloLTE/8EDLRHNE8RpIYDWqI/YI8Yg6wlx29mf29+cj/9r4gPrDPy

c/TQ0a0g95Khdy+yl4eDKaFiQQ+Kqn4zdzDTDNq7LRtqr7lGQzVw6srfrr71ib7J

yJFdi2RXETEgOS/jE+xGtNqd38F/YzIRPax7NNMK+hAJC2MzdbN/BEoLWOqG7Plm

hvCE3LFxelExLJU+0XfAX77TI2+5LEHBi1UiGLeH08fd1XUQCefARlIxGoRJdtTu

gHP4+NF4PC9B1/GZoAYUp+171p1QwPk0vyU3TXijueqVUpQBUHGxSE0UW+SS1iwL

8vsSLHIwK4aZ77Z1o+Uw1QBoqw9jpubG4gUkX8RII8E8b13I6/QTH78E4/FgAmIQ

HTYnE2RDHXkhPGR5FGJsZnd21XLvd2BEkGGmhTk80nDeiI2XH3D48E6UahQwcam/

q/txd/KsLnp0rpJkc/WhOTprioeLQQEBayixKRWzNLsZt3L6lqYbA01Z1THho+EV

0Ng0EZKQyiRV1j7gsBYFRinbSAsIpeYlr7gDAnBCRJdSfPNBKG+ewg==

-----END RSA PRIVATE KEY-----

# 创建GDOI KS组ks1。

[KS1] gdoi ks group ks1

# 配置GDOI KS组的ID为编号12345。

[KS1-gdoi-ks-group-ks1] identity number 12345

# 引用密钥对rsa1。

[KS1-gdoi-ks-group-ks1] rekey authentication public-key rsa rsa1

# 引用名称为forrekey的Rekey ACL。

[KS1-gdoi-ks-group-ks1] rekey acl name forrekey

# 创建一个GDOI KS组的IPsec策略，序号为10。

[KS1-gdoi-ks-group-ks1] ipsec 10

# 引用IPsec安全框架fortek。

[KS1-gdoi-ks-group-ks1-ipsec-10] profile fortek

# 引用名称为fortek的ACL。

[KS1-gdoi-ks-group-ks1-ipsec-10] security acl name fortek

[KS1-gdoi-ks-group-ks1-ipsec-10] quit

# 配置对端KS的IP地址为200.2.2.200。

[KS1-gdoi-ks-group-ks1] peer address 200.2.2.200

# 配置KS发送报文的源地址为100.1.1.100。

[KS1-gdoi-ks-group-ks1] source address 100.1.1.100

# 配置本端优先级为10000。

[KS1-gdoi-ks-group-ks1] local priority 10000

# 开启冗余备份功能。

[KS1-gdoi-ks-group-ks1] redundancy enable

[KS1-gdoi-ks-group-ks1] quit

以上配置的具体步骤请参考KS的相关配置指导。

(2)     配置KS 2

# 配置各接口的IP地址，此处略。

# 创建IKE提议1。

<KS2> system-view

[KS2] ike proposal 1

# 指定IKE提议使用的加密算法为AES-CBC 128。

[KS2-ike-proposal-1] encryption-algorithm aes-cbc-128

# 指定IKE提议使用的认证算法为SHA1。

[KS2-ike-proposal-1] authentication-algorithm sha

# 指定IKE提议使用DH group 2。

[KS2-ike-proposal-1] dh group2

[KS2-ike-proposal-1] quit

# 创建IKE对等体toks1，用于与KS1之间的IKE协商。

[KS2] ike peer toks1

# 指定IKE对等体toks1引用IKE提议1。

[KS2-ike-peer-toks1] proposal 1

# 配置采用预共享密钥认证时，使用的预共享密钥为明文tempkey1。

[KS2-ike-peer-toks1] pre-shared-key simple tempkey1

# 指定对端安全网关的IP地址为100.1.1.100。

[KS2-ike-peer-toks1] remote-address 100.1.1.100

[KS2-ike-peer-toks1] quit

# 创建IKE对等体togm，用于与GM之间的IKE协商。

[KS2] ike peer togm

# 指定IKE对等体togm引用IKE提议1。

[KS2-ike-peer-togm] proposal 1

# 配置采用预共享密钥认证时，使用的预共享密钥为明文tempkey1。

[KS2-ike-peer-togm] pre-shared-key simple tempkey1

[KS2-ike-peer-togm] quit

# 创建IPsec安全提议fortek。

[KS2] ipsec transform-set fortek

# 配置IPsec安全提议fortek使用ESP协议。

[KS2-ipsec-transform-set-fortek] transform esp

# 配置IPsec安全提议fortek使用AES-CBC 128加密算法。

[KS2-ipsec-transform-set-fortek] esp encryption-algorithm aes-cbc-128

# 配置IPsec安全提议fortek使用SHA1认证算法。

[KS2-ipsec-transform-set-fortek] esp authentication-algorithm sha1

[KS2-ipsec-transform-set-fortek] quit

# 创建IPsec安全框架fortek。

[KS2] ipsec profile fortek

# 配置IPsec安全框架fortek引用IPsec安全提议fortek。

[KS2-ipsec-profile-fortek] transform-set fortek

[KS2-ipsec-profile-fortek] quit

# 创建名称为fortek的ACL。

[KS2] acl number 3000 name fortek

# 配置ACL规则，定义TEK保护的流量范围。

[KS2-acl-adv-3000-fortek] rule 0 permit ip source 10.1.1.0 0.0.0.255 destination

 10.1.2.0 0.0.0.255

[KS1-acl-adv-3000-fortek] rule 1 permit ip source 10.1.2.0 0.0.0.255 destination

 10.1.1.0 0.0.0.255

[KS2-acl-adv-3000-fortek] rule 2 permit ip source 10.1.1.0 0.0.0.255 destination

 10.1.3.0 0.0.0.255

[KS1-acl-adv-3000-fortek] rule 3 permit ip source 10.1.3.0 0.0.0.255 destination

 10.1.1.0 0.0.0.255

[KS2-acl-adv-3000-fortek] quit

# 创建访问控制列表forrekey。

[KS2] acl number 3001 name forrekey

# 配置Rekey的目的地址（组播地址）。

[KS2-acl-adv-3001-forrekey] rule 0 permit ip destination 225.0.0.1 0

[KS2-acl-adv-3001-forrekey] quit

# 将从KS1导出的RSA密钥以PEM格式导入到KS2，并命名为rsa1。此导入过程中，需要将从KS 1上复制的密钥信息粘贴到本端界面上。

[KS2] public-key local import rsa name rsa1 pem

Enter PEM-formatted certificate.

End with a Ctrl+C on a line by itself.

-----BEGIN RSA PRIVATE KEY-----

Proc-Type: 4,ENCRYPTED

DEK-Info: DES-EDE3-CBC,7F8FAB15399DF87C

MGaftNqe4esjetm7bRJHSpsbwZ9YUpvA9iWh8R406NGq8e+1A/ZiK23+t1XqRwaU

1FXnwbqHgW1pZ7JxQdgBuC9uXc4VQyP/xe6xCyUepdMC71fmeOaiwUFrj6LAzzBg

o3SfhX1NHyHBnr7c6SnIeUTG2g/qRdj40TD4HcRjgPaLaTGguZ553GyS6ODWAwL7

ZBTjv+vow9kfewZ74ocoBje2gLcWlbmiEKCJGV06zW4gv2AH6I8TAhv4GovIN/v1

lCsD2PscXnPOloLTE/8EDLRHNE8RpIYDWqI/YI8Yg6wlx29mf29+cj/9r4gPrDPy

c/TQ0a0g95Khdy+yl4eDKaFiQQ+Kqn4zdzDTDNq7LRtqr7lGQzVw6srfrr71ib7J

yJFdi2RXETEgOS/jE+xGtNqd38F/YzIRPax7NNMK+hAJC2MzdbN/BEoLWOqG7Plm

hvCE3LFxelExLJU+0XfAX77TI2+5LEHBi1UiGLeH08fd1XUQCefARlIxGoRJdtTu

gHP4+NF4PC9B1/GZoAYUp+171p1QwPk0vyU3TXijueqVUpQBUHGxSE0UW+SS1iwL

8vsSLHIwK4aZ77Z1o+Uw1QBoqw9jpubG4gUkX8RII8E8b13I6/QTH78E4/FgAmIQ

HTYnE2RDHXkhPGR5FGJsZnd21XLvd2BEkGGmhTk80nDeiI2XH3D48E6UahQwcam/

q/txd/KsLnp0rpJkc/WhOTprioeLQQEBayixKRWzNLsZt3L6lqYbA01Z1THho+EV

0Ng0EZKQyiRV1j7gsBYFRinbSAsIpeYlr7gDAnBCRJdSfPNBKG+ewg==

-----END RSA PRIVATE KEY-----

^C

Please input the password:

# 创建GDOI KS组ks2。

[KS2] gdoi ks group ks2

# 配置GDOI KS组的ID为编号12345。

[KS2-gdoi-ks-group-ks2] identity number 12345

# 引用密钥对rsa1。

[KS2-gdoi-ks-group-ks2] rekey authentication public-key rsa rsa1

# 引用名称为forrekey的Rekey ACL。

[KS2-gdoi-ks-group-ks2] rekey acl name forrekey

# 创建一个GDOI KS组的IPsec策略，序号为10。

[KS2-gdoi-ks-group-ks2] ipsec 10

# 引用IPsec安全框架fortek。

[KS2-gdoi-ks-group-ks2-ipsec-10] profile fortek

# 引用名称为fortek的ACL。

[KS2-gdoi-ks-group-ks2-ipsec-10] security acl name fortek

[KS2-gdoi-ks-group-ks2-ipsec-10] quit

# 配置对端KS的IP地址为100.1.1.100。

[KS2-gdoi-ks-group-ks2] peer address 100.1.1.100

# 配置KS发送报文的源地址为200.2.2.200。

[KS2-gdoi-ks-group-ks2]source address 200.2.2.200

# 配置本端优先级为100。

[KS2-gdoi-ks-group-ks2] local priority 100

# 开启冗余备份功能。

[KS2-gdoi-ks-group-ks2] redundancy enable

(3)     配置GM 1

# 配置各接口的IP地址，此处略。

# 创建IKE提议1。

<GM1> system-view

[GM1] ike proposal 1

# 指定IKE提议使用的加密算法为AES-CBC 128。

[GM1-ike-proposal-1] encryption-algorithm aes-cbc-128

# 指定IKE提议使用的认证算法为SHA1。

[GM1-ike-proposal-1] authentication-algorithm sha

# 指定IKE提议使用DH group 2。

[GM1-ike-proposal-1] dh group2

[GM1-ike-proposal-1] quit

# 创建IKE keychain，名称为keychain1。

[GM1] ike keychain keychain1

# 配置与IP地址为100.1.1.100的对端使用的预共享密钥为明文tempkey1。

[GM1-ike-keychain-keychain1] pre-shared-key address 100.1.1.100 255.255.255.0 key simple tempkey1

[GM1-ike-keychain-keychain1] quit

# 创建IKE keychain，名称为keychain2。

[GM1] ike keychain keychain2

# 配置与IP地址为200.2.2.200的对端使用的预共享密钥为明文tempkey1。

[GM1-ike-keychain-keychain2] pre-shared-key address 200.2.2.200 255.255.255.0 key simple tempkey1

[GM1-ike-keychain-keychain2] quit

# 创建并配置IKE profile，名称为profile1。

[GM1] ike profile profile1

[GM1-ike-profile-profile1] proposal 1

[GM1-ike-profile-profile1] keychain keychain1

[GM1-ike-profile-profile1] keychain keychain2

[GM1-ike-profile-profile1] match remote identity address 100.1.1.100 255.255.255.0

[GM1-ike-profile-profile1] match remote identity address 200.2.2.200 255.255.255.0

[GM1-ike-profile-profile1] quit

# 创建GDOI GM组1。

[GM1] gdoi gm group 1

# 配置GDOI GM组的ID为编号12345。

[GM1-gdoi-gm-group-1] identity number 12345

# 指定GDOI GM组的KS地址为100.1.1.100和200.2.2.200。

[GM1-gdoi-gm-group-1] server address 100.1.1.100

[GM1-gdoi-gm-group-1] server address 200.2.2.200

[GM1-gdoi-gm-group-1] quit

# 创建GDOI类型的IPsec安全策略1。

[GM1] ipsec policy map 1 gdoi

# 引用GDOI GM组1。

[GM1-ipsec-policy-gdoi-map-1] group 1

[GM1-ipsec-policy-gdoi-map-1] quit

# 在接口GigabitEthernet1/0/1上应用IPsec安全策略map。

[GM1] interface gigabitethernet 1/0/1

[GM1-GigabitEthernet1/0/1] ipsec apply policy map

[GM1-GigabitEthernet1/0/1] quit

(4)     配置GM 2

# 配置各接口的IP地址，此处略。

# 创建IKE提议1。

<GM2> system-view

[GM2] ike proposal 1

# 指定IKE提议使用的加密算法为AES-CBC 128。

[GM2-ike-proposal-1] encryption-algorithm aes-cbc-128

# 指定IKE提议使用的认证为SHA1。

[GM2-ike-proposal-1] authentication-algorithm sha

# 指定IKE提议使用DH group 2。

[GM2-ike-proposal-1] dh group2

[GM2-ike-proposal-1] quit

# 创建IKE keychain，名称为keychain1。

[GM2] ike keychain keychain1

# 配置与IP地址为100.1.1.100的对端使用的预共享密钥为明文tempkey1。

[GM2-ike-keychain-keychain1] pre-shared-key address 100.1.1.100 255.255.255.0 key simple tempkey1

[GM2-ike-keychain-keychain1] quit

# 创建IKE keychain，名称为keychain2。

[GM2] ike keychain keychain2

# 配置与IP地址为200.2.2.200的对端使用的预共享密钥为明文tempkey1。

[GM2-ike-keychain-keychain2] pre-shared-key address 200.2.2.200 255.255.255.0 key simple tempkey1

[GM2-ike-keychain-keychain2] quit

# 创建并配置IKE profile，名称为profile1。

[GM2] ike profile profile1

[GM2-ike-profile-profile1] proposal 1

[GM2-ike-profile-profile1] keychain keychain1

[GM2-ike-profile-profile1] keychain keychain2

[GM2-ike-profile-profile1] match remote identity address 100.1.1.100 255.255.255.0

[GM2-ike-profile-profile1] match remote identity address 200.2.2.200 255.255.255.0

[GM2-ike-profile-profile1] quit

# 创建GDOI GM组1。

[GM2] gdoi gm group 1

# 配置GDOI GM组的ID为编号12345。

[GM2-gdoi-gm-group-1] identity number 12345

# 指定GDOI GM组的KS地址为100.1.1.100和200.2.2.200。

[GM2-gdoi-gm-group-1] server address 100.1.1.100

[GM2-gdoi-gm-group-1] server address 200.2.2.200

[GM2-gdoi-group-1] quit

# 创建GDOI类型IPsec安全策略1。

[GM2] ipsec policy map 1 gdoi

# 引用GDOI GM组1。

[GM2-ipsec-policy-gdoi-map-1] group 1

[GM2-ipsec-policy-gdoi-map-1] quit

# 在接口GigabitEthernet1/0/1上应用IPsec安全策略map。

[GM2] interface gigabitethernet 1/0/1

[GM2-GigabitEthernet1/0/1] ipsec apply policy map

[GM2-GigabitEthernet1/0/1] quit

(5)     配置GM 3

# 配置各接口的IP地址，此处略。

# 创建IKE提议1。

<GM3> system-view

[GM3] ike proposal 1

# 指定IKE提议使用的加密算法为AES-CBC 128。

[GM3-ike-proposal-1] encryption-algorithm aes-cbc-128

# 指定IKE提议使用的认证算法为SHA1。

[GM3-ike-proposal-1] authentication-algorithm sha

# 指定IKE提议使用DH group 2。

[GM3-ike-proposal-1] dh group2

[GM3-ike-proposal-1] quit

# 创建IKE keychain，名称为keychain1。

[GM3] ike keychain keychain1

# 配置与IP地址为100.1.1.100的对端使用的预共享密钥为明文tempkey1。

[GM3-ike-keychain-keychain1] pre-shared-key address 100.1.1.100 255.255.255.0 key simple tempkey1

[GM3-ike-keychain-keychain1] quit

# 创建IKE keychain，名称为keychain2。

[GM3] ike keychain keychain2

# 配置与IP地址为200.2.2.200的对端使用的预共享密钥为明文tempkey1。

[GM3-ike-keychain-keychain2] pre-shared-key address 200.2.2.200 255.255.255.0 key simple tempkey1

[GM3-ike-keychain-keychain2] quit

# 创建并配置IKE profile，名称为profile1。

[GM3] ike profile profile1

[GM3-ike-profile-profile1] proposal 1

[GM3-ike-profile-profile1] keychain keychain1

[GM3-ike-profile-profile1] keychain keychain2

[GM3-ike-profile-profile1] match remote identity address 100.1.1.100 255.255.255.0

[GM3-ike-profile-profile1] match remote identity address 200.2.2.200 255.255.255.0

[GM3-ike-profile-profile1] quit

# 创建GDOI GM组1。

[GM3] gdoi gm group 1

# 配置GDOI GM组的ID为编号12345。

[GM3-gdoi-gm-group-1] identity number 12345

# 指定GDOI GM组的KS地址为100.1.1.100和200.2.2.200。

[GM3-gdoi-gm-group-1] server address 100.1.1.100

[GM3-gdoi-gm-group-1] server address 200.2.2.200

[GM3-gdoi-gm-group-1] quit

# 创建GDOI类型IPsec安全策略1。

[GM3] ipsec policy map 1 gdoi

# 引用GDOI GM组1。

[GM3-ipsec-policy-gdoi-map-1] group 1

[GM3-ipsec-policy-gdoi-map-1] quit

# 在接口GigabitEthernet1/0/1上应用IPsec安全策略map。

[GM3] interface gigabitethernet 1/0/1

[GM3-GigabitEthernet1/0/1] ipsec apply policy map

[GM3-GigabitEthernet1/0/1] quit