华为ipsecvpn配置
IPSec（Internet Protocol Security）是IETF（Internet Engineering Task Force）制定的一组开放的网络安全协议，在IP层通过数据来源认证、数据加密、数据完整性和抗重放功能来保证通信双方Internet上传输数据的安全性。在Internet的传输中，绝大部分数据的内容都是明文传输的，这样就会存在很多潜在的危险，比如：密码、银行帐户的信息被窃取、篡改，用户的身份被冒充，遭受网络恶意攻击等。网络中部署IPSec后，可对传输的数据进行保护处理，降低信息泄漏的风险。
采用默认配置通过IKE协商方式建立IPSec隧道示例
组网需求
如图1所示，RouterA为企业分支网关，RouterB为企业总部网关，分支与总部通过公网建立通信。分支子网为，总部子网为。
企业希望对分支子网与总部子网之间相互访问的流量进行安全保护。分支与总部通过公网建立通信，可以在分支网关与总部网关之间建立一个IPSec隧道来实施安全保护。
图1 采用默认配置通过IKE协商方式建立IPSec隧道组网图
配置思路
采用如下思路配置采用IKE协商方式建立IPSec隧道：
1. 配置接口的IP地址和到对端的静态路由，保证两端路由可达。
2. 配置ACL，以定义需要IPSec保护的数据流。
3. 配置IPSec安全提议，定义IPSec的保护方法。
4. 配置IKE对等体，定义对等体间IKE协商时的属性。
5. 配置安全策略，并引用ACL、IPSec安全提议和IKE对等体，确定对何种数据流采取何种保护方法。
6. 在接口上应用安全策略组，使接口具有IPSec的保护功能。
操作步骤
1. 分别在RouterA和RouterB上配置接口的IP地址和到对端的静态路由
# 在RouterA上配置接口的IP地址。
[Huawei] sysname RouterA [RouterA] interface gigabitethernet 1/0/0 [RouterA-GigabitEthernet1/0/0] ip address quit [RouterA] interface gigabitethernet 2/0/0 [RouterA-GigabitEthernet2/0/0] ip address quit # 在RouterA上配置到对端的静态路由，此处假设到对端的下一跳地址为。 [RouterA] ip route-static ip route-static 在RouterB上配置接口的IP地址。 [Huawei] sysname RouterB [RouterB] interface gigabitethernet 1/0/0 [RouterB-GigabitEthernet1/0/0] ip address quit [RouterB] interface gigabitethernet 2/0/0 [RouterB-GigabitEthernet2/0/0] ip address quit # 在RouterB上配置到对端的静态路由，此处假设到对端下一跳地址为。 [RouterB] ip route-static ip route-static 分别在RouterA和RouterB上配置ACL，定义各自要保护的数据流 # 在RouterA上配置ACL，定义由子网去子网的数据流。 [RouterA] acl number 3101 [RouterA-acl-adv-3101] rule permit ip source destination quit # 在RouterB上配置ACL，定义由子网去子网的数据流。 [RouterB] acl number 3101 [RouterB-acl-adv-3101] rule permit ip source destination quit 3. 分别在RouterA和RouterB上创建IPSec安全提议 # 在RouterA上配置IPSec安全提议。 [RouterA] ipsec proposal tran1 [RouterA-ipsec-proposal-tran1] quit # 在RouterB上配置IPSec安全提议。 [RouterB] ipsec proposal tran1 [RouterB-ipsec-proposal-tran1] quit 此时分别在RouterA和RouterB上执行display ipsec proposal会显示所配置的信息。 4. 分别在RouterA和RouterB上配置IKE对等体 说明： 该示例中没有配置IKE安全提议，采用的是系统提供的一条缺省的IKE安全提议。 # 在RouterA上配置IKE对等体，并根据默认配置，配置预共享密钥和对端ID。 [RouterA] ike peer spub v1 [RouterA-ike-peer-spub] pre-shared-key simple huawei [RouterA-ike-peer-spub] remote-address quit # 在RouterB上配置IKE对等体，并根据默认配置，配置预共享密钥和对端ID。 [RouterB] ike peer spua v1 [RouterB-ike-peer-spua] pre-shared-key simple huawei [RouterB-ike-peer-spua] remote-address quit 此时分别在RouterA和RouterB上执行display ike peer会显示所配置的信息，以RouterA为例。 [RouterA] display ike peer name spub verbose ---------------------------------------- Peer name : spub Exchange mode : main on phase 1 Pre-shared-key : huawei Local ID type : IP DPD : Disable DPD mode : Periodic DPD idle time : 30 DPD retransmit interval : 15 DPD retry limit : 3 Host name : Peer Ip address : VPN name : Local IP address : Remote name : Nat-traversal : Disable Configured IKE version : Version one PKI realm : NULL Inband OCSP : Disable Lifetime notification : Enable ---------------------------------------- 5. 分别在RouterA和RouterB上创建安全策略 # 在RouterA上配置IKE动态协商方式安全策略。 [RouterA] ipsec policy map1 10 isakmp [RouterA-ipsec-policy-isakmp-map1-10] ike-peer spub [RouterA-ipsec-policy-isakmp-map1-10] proposal tran1 [RouterA-ipsec-policy-isakmp-map1-10] security acl 3101 [RouterA-ipsec-policy-isakmp-map1-10] quit # 在RouterB上配置IKE动态协商方式安全策略。 [RouterB] ipsec policy use1 10 isakmp [RouterB-ipsec-policy-isakmp-use1-10] ike-peer spua [RouterB-ipsec-policy-isakmp-use1-10] proposal tran1 [RouterB-ipsec-policy-isakmp-use1-10] security acl 3101 [RouterB-ipsec-policy-isakmp-use1-10] quit 此时分别在RouterA和RouterB上执行display ipsec policy会显示所配置的信息。 6. 分别在RouterA和RouterB的接口上应用各自的安全策略组，使接口具有IPSec的保护功能 # 在RouterA的接口上引用安全策略组。 [RouterA] interface gigabitethernet 1/0/0 [RouterA-GigabitEthernet1/0/0] ipsec policy map1 [RouterA-GigabitEthernet1/0/0] quit # 在RouterB的接口上引用安全策略组。 [RouterB] interface gigabitethernet 1/0/0 [RouterB-GigabitEthernet1/0/0] ipsec policy use1 [RouterB-GigabitEthernet1/0/0] quit 7. 检查配置结果 # 配置成功后，在主机PC A执行ping操作仍然可以ping通主机PC B，它们之间的数据传输将被加密，执行命令display ipsec statistics esp可以查看数据包的统计信息。 # 在RouterA上执行display ike sa操作，结果如下。 [RouterA] display ike sa Conn-ID Peer VPN Flag(s) Phase --------------------------------------------------------- 16 0 RD|ST 2 14 0 RD|ST 1 Flag Description: RD--READY ST--STAYALIVE RL--REPLACED FD--FADING TO--TIMEOUT HRT--HEARTBEAT LKG--LAST KNOWN GOOD SEQ NO. BCK--BACKED UP # 分别在RouterA和RouterB上执行display ipsec sa会显示所配置的信息，以RouterA为例。 [RouterA] display ipsec sa =============================== Interface: GigabitEthernet 1/0/0 Path MTU: 1500 =============================== ----------------------------- IPSec policy name: \"map1\" Sequence number : 10 Acl Group : 3101 Acl rule : 5 Mode : ISAKMP ----------------------------- Connection ID : 16 Encapsulation mode: Tunnel Tunnel local : Tunnel remote : Flow source : 0/0 Flow destination : 0/0 Qos pre-classify : Disable Qos group : - [Outbound ESP SAs] SPI: 79 (0x3d2815bb) Proposal: ESP-ENCRYPT-DES-64 ESP-AUTH-MD5 SA remaining key duration (bytes/sec): 00/3596 Max sent sequence-number: 5 UDP encapsulation used for NAT traversal: N [Inbound ESP SAs] SPI: 59 (0x5ef4168b) Proposal: ESP-ENCRYPT-DES-64 ESP-AUTH-MD5 SA remaining key duration (bytes/sec): 00/3596 Max received sequence-number: 4 Anti-replay window size: 32 UDP encapsulation used for NAT traversal: N 配置文件 RouterA的配置文件 # sysname RouterA # acl number 3101 rule 5 permit ip source destination # ipsec proposal tran1 # ike peer spub v1 pre-shared-key simple huawei remote-address # ipsec policy map1 10 isakmp security acl 3101 ike-peer spub proposal tran1 # interface GigabitEthernet1/0/0 ip address ipsec policy map1 # interface GigabitEthernet2/0/0 ip address # ip route-static ip route-static # return RouterB的配置文件 # sysname RouterB # acl number 3101 rule 5 permit ip source destination # ipsec proposal tran1 # ike peer spua v1 pre-shared-key simple huawei remote-address # ipsec policy use1 10 isakmp security acl 3101 ike-peer spua proposal tran1 # interface GigabitEthernet1/0/0 ip address ipsec policy use1 # interface GigabitEthernet2/0/0 ip address # ip route-static ip route-static # return 标签 ：AR,路由器,配置,IKE,方式,IPSec,VPN 因篇幅问题不能全部显示，请点此查看更多更全内容