AR路由器配置 IKE 方式的 IPSec VPN
IPSec(Internet Protocol Security )是IETF(Internet Engineering Task Force)制定的一组开放的网络安全协议，在IP 层通过数据来源认证、数据加密、数据完整性和抗重放功能来保证通信双方Internet 上传输数据的安全性。
在Internet 的传输中，绝大部分数据的内容都是明文传输的，这样就会存在很多潜在的危险，比如：密码、银行帐户的信息被窃取、篡改，用户的身份被冒充，遭受网络恶意攻击等。
网络中部署IPSec 后，可对传输的数据进行保护处理，降低信息泄漏的风险。
采用默认配置通过IKE协商方式建立IPSec隧道示例组网需求如图 1 所示，RouterA 为企业分支网关，RouterB 为企业总部网关，分支与总部通过公网建立通信。
分支子网为 10.1.1.0/24，总部子网为 10.1.2.0/24。
企业希望对分支子网与总部子网之间相互访问的流量进行安全保护。
分支与总部通过公网建立通信，可以在分支网关与总部网关之间建立一个IPSec 隧道来实施安全保护。
图 1 采用默认配置通过 IKE 协商方式建立 IPSec 隧道组网图
配置思路采用如下思路配置采用 IKE 协商方式建立 IPSec 隧道：
1.配置接口的 IP 地址和到对端的静态路由，保证两端路由可达。
2.配置ACL，以定义需要IPSec 保护的数据流。
3.配置IPSec 安全提议，定义IPSec 的保护方法。
4.配置IKE 对等体，定义对等体间IKE 协商时的属性。
5.配置安全策略，并引用ACL、IPSec 安全提议和IKE对等体，确定对何种数据流采取何种保护方
法。
6.在接口上应用安全策略组，使接口具有 IPSec 的保护功能。
操作步骤
1.分别在 RouterA和RouterB 上配置接口的IP地址和到对端的静态路由
# 在 RouterA 上配置接口的 IP 地址。
# 在 RouterB 上配置接口的 IP 地址。
2.分别在 RouterA 和 RouterB 上配置 ACL，定义各自要保护的数据流
# 在 RouterA 上配置 ACL ，定义由子网 10.1.1.0/24 去子网 10.1.2.0/24 的数据流。
# 在 RouterB 上配置 ACL ，定义由子网 10.1.2.0/24 去子网 10.1.1.0/24 的数据流。
3.分别在 RouterA 和 RouterB 上创建 IPSec 安全提议
# 在 RouterA 上配置 IPSec 安全提议。
# 在 RouterB 上配置 IPSec 安全提议。
此时分别在 RouterA 和 RouterB 上执行display ipsec proposal 会显示所配置的信息。
4.分别在 RouterA 和 RouterB 上配置 IKE 对等体
# 在 RouterA 上配置 IKE 对等体，并根据默认配置，配置预共享密钥和对端 ID。
[RouterA]
# 在 RouterB 上配置 IKE 对等体，并根据默认配置，配置预共享密钥和对端 ID。
[RouterB]
[RouterA] display ike peer name spub verbose
Peer name : spub
Exchange mode : main on phase 1
Pre-shared-key : huawei
Local ID type : IP
DPD : Disable
DPD mode : Periodic
DPD idle time : 30
DPD retransmit interval : 15
DPD retry limit : 3
Host name
Peer Ip address : 202.138.162.1
VPN name
Local IP address
Remote name
Nat-traversal : Disable
Configured IKE version : Version one
PKI realm : NULL
Inband OCSP : Disable
Lifetime notification : Enable
在 RouterA 上配置 IKE 动态协商方式安全策略。
此时分别在 RouterA 和 RouterB 上执行display ike peer 会显示所配置的信息，以 RouterA 为例。
5. 分别在 RouterA 和 RouterB 上创建安全策
略
#
此时分别在 RouterA 和 RouterB 上执行display ipsec policy 会显示所配置的信息。
6. 分别在 RouterA和RouterB 的接口上应用各自的安全策略组，使接口具有IPSec 的保护功能
# 在 RouterA 的接口上引用安全策略组。
# 在 RouterB 的接口上引用安全策略组。
7.检查配置结果
# 配置成功后，在主机 PC A 执行ping 操作仍然可以 ping 通主机 PC B ，它们之间的数据
传输将被加密，执行命令display ipsec statistics esp 可以查看数据包的统计信息。
# 在 RouterA 上执行display ike sa 操作，结果如下。
RD--READY ST--STAYALIVE RL--REPLACED FD--FADING TO--TIME OUT
HRT--HEARTBEAT LKG--LAST KNOWN GOOD SEQ NO. BCK--BACKED UP
# 分别在 RouterA 和 RouterB 上执行display ipsec sa 会显示所配置的信息，以 RouterA 为例。
[RouterA] display ipsec sa
Interface: GigabitEthernet 1/0/0
Path MTU: 1500
IPSec policy name: "map1"
Sequence number : 10
Acl Group 3101
Acl rule : 5
Mode : ISAKMP
Connection ID : 16
Encapsulation mode: Tunnel
Tunnel local : 202.138.163.1
Tunnel remote : 202.138.162.1
Flow source : 10.1.1.0/0.0.0.255 0/0
Flow destination : 10.1.2.0/0.0.0.255 0/0
Qos pre-classify : Disable
Qos group : -
UDP encapsulation used for NAT traversal: N 配置文件• RouterA 的配置文件
• ipsec policy map1
• #
• interface GigabitEthernet2/0/0
• ip address 10.1.1.1 255.255.255.0
• #
• ip route-static 202.138.162.0 255.255.255.0 202.138.163.2
• ip route-static 10.1.2.0 255.255.255.0 202.138.163.2
• #
return
• RouterB 的配置文件
• #
•sysname RouterB
•#
•acl number 3101
•rule 5 permit ip source 10.1.2.0 0.0.0.255 destination 10.1.1.0 0.0.0.255
•#
•ipsec proposal tran1
•#
•ike peer spua v1
•pre-shared-key simple huawei
•remote-address 202.138.163.1
•#
•ipsec policy use1 10 isakmp
•security acl 3101
•ike-peer spua
•proposal tran1
•#
•interface GigabitEthernet1/0/0
•ip address 202.138.162.1 255.255.255.0
•ipsec policy use1
•#
•interface GigabitEthernet2/0/0
•ip address 10.1.2.1 255.255.255.0
•#
•ip route-static 202.138.163.0 255.255.255.0 202.138.162.2
•ip route-static 10.1.1.0 255.255.255.0 202.138.162.2
•#
return
标签：AR,路由器,配置,IKE,方式,IPSec,VPN。