MSR系列路由器中心单IKE Peer、单IPsec策略及序号、多分支功能的配置举例

目  录

1 简介

2 配置前提

3 配置举例

3.1 组网需求

3.2 配置思路

3.3 使用版本

3.4 配置步骤

3.4.1 Router A的配置

3.4.2 Router B的配置

3.4.3 Router C的配置

3.5 验证配置

3.6 配置文件

4 相关资料

1  简介

本文档介绍MSR系列路由器中心单IKE Peer、单IPsec策略及序号、多分支功能的典型配置案例。

2  配置前提

本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请参考相关产品手册，或以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解IPsec特性。

3  配置举例

3.1  组网需求

如图1所示，Router A是某企业总部网关，Router B和Router C是两个分支网关，它们连接在同一个二层链路上。现有如下组网要求：

·     基于ACL采用IKE方式建立IPsec安全隧道，对分支子网与总部子网之间的所有数据流进行安全保护。

·     Router A作为IPsec响应方，Router B和Router C作为IPsec发起方；

·     Router A只配置一个IKE Peer、一个IPsec策略及序号。

图1 MSR系列路由器中心单IKE Peer、单IPsec策略及序号、多分支功能的配置组网图

3.2  配置思路

要使总部Router A配置单IKE对等体连接多个分支网络，则在配置IKE对等体时不能配置对端安全网关的IP地址，而分支Router B和Router C必须配置对端安全网关Router A的IP地址。同时三者必须配置相同的预共享密钥。

3.3  使用版本

本举例是在Release 2317版本上进行配置和验证的。

3.4  配置步骤

3.4.1  Router A的配置

# 配置接口Ethernet0/1的IP地址。

<RouterA> system-view

[RouterA] interface ethernet 0/1

[RouterA-Ethernet0/1] ip address 10.1.1.1 255.255.255.0

[RouterA-Ethernet0/1] quit

# 配置接口Ethernet0/0的IP地址。

[RouterA] interface ethernet 0/0

[RouterA-Ethernet0/0] ip address 1.1.1.1 255.255.255.0

[RouterA-Ethernet0/0] quit

# 配置到两个分支网络的静态路由。

[RouterA] ip route-static 10.2.2.0 255.255.255.0 1.1.1.2

[RouterA] ip route-static 10.4.4.0 255.255.255.0 1.1.1.4

# 配置ACL，定义由总部网络到分支网络的数据流。

[RouterA] acl number 3000

[RouterA-acl-adv-3000] rule 0 permit ip source 10.1.1.0 0.0.0.255 destination 10

.2.2.0 0.0.0.255

[RouterA-acl-adv-3000] rule 5 permit ip source 10.1.1.0 0.0.0.255 destination 10

.4.4.0 0.0.0.255

[RouterA-acl-adv-3000] quit

# 创建一个IKE对等体，并进入IKE-Peer视图。

[RouterA] ike peer branch

# 配置预共享密钥。

[RouterA-ike-peer-branch] pre-shared-key 123

[RouterA-ike-peer-branch] local-address 1.1.1.1

[RouterA-ike-peer-branch] quit

# 采用安全提议的缺省配置。

[RouterA] ipsec proposal def

# 配置ESP协议采用md5认证算法。

[RouterA-ipsec-transform-set-def] esp authentication-algorithm md5

[RouterA-ipsec-transform-set-def] quit

# 创建一个IPsec安全策略模板，并进入IPsec安全策略模板视图。

[RouterA] ipsec policy-template branch 1

# 在IPsec安全策略中引用IKE对等体。

[RouterA-ipsec-policy-template-branch-1] ike-peer branch

# 配置IPsec安全策略所引用的IPsec安全提议。

[RouterA-ipsec-policy-template-branch-1] proposal def

[RouterA-ipsec-policy-template-branch-1] quit

# 引用IPsec安全策略模板创建一条IPsec安全策略。

[RouterA] ipsec policy hk 1 isakmp template branch

# 在接口Ethernet0/0上应用安全策略。

[RouterA] interface ethernet 0/0

[Router_A-Ethernet0/0] ipsec policy hk

[Router_A-Ethernet0/0] quit

3.4.2  Router B的配置

# 配置接口Ethernet0/1的IP地址。

<RouterB> system-view

[RouterB] interface ethernet 0/1

[RouterB-Ethernet0/1] ip address 10.2.2.1 255.255.255.0

[RouterB-Ethernet0/1] quit

# 配置接口Ethernet0/0的IP地址。

[RouterB] interface ethernet 0/0

[RouterB-Ethernet0/0] ip address 1.1.1.2 255.255.255.0

[RouterB-Ethernet0/0] quit

# 配置分支到总部的静态路由。

[RouterB] ip route-static 10.1.1.0 255.255.255.0 1.1.1.1

# 配置ACL，定义由10.2.2.0/24到10.1.1.0/24的数据流。

[RouterB] acl number 3000

[RouterB-acl-adv-3000] rule 0 permit ip source 10.2.2.0 0.0.0.255 destination 10

.1.1.0 0.0.0.255

[RouterB-acl-adv-3000] quit

# 创建一个IKE对等体，并进入IKE-Peer视图。

[RouterB] ike peer center

# 配置预共享密钥。

[RouterB-ike-peer-center] pre-shared-key 123

# 配置对端安全网关的IP地址。

[RouterB-ike-peer-center] remote-address 1.1.1.1

[RouterB-ike-peer-center] local-address 1.1.1.2

[RouterB-ike-peer-center] quit

# 采用安全提议的缺省配置。

[RouterB] ipsec proposal def

# 配置ESP协议采用md5认证算法。

[RouterB-ipsec-transform-set-def] esp authentication-algorithm md5

[RouterB-ipsec-transform-set-def] quit

# 创建IPsec安全策略hk，其协商方式为isakmp。

[RouterB] ipsec policy hk 1 isakmp

# 配置IPsec安全策略引用的访问控制列表。

[RouterB-ipsec-policy-isakmp-hk-1] security acl 3000

# 在IPsec安全策略中引用IKE对等体。

[RouterB-ipsec-policy-isakmp-hk-1] ike-peer center

# 配置IPsec安全策略所引用的IPsec安全提议。

[RouterB-ipsec-policy-isakmp-hk-1] proposal def

[RouterB-ipsec-policy-isakmp-hk-1] quit

# 在接口Ethernet0/0上应用安全策略。

[RouterB] interface ethernet 0/0

[RouterB-Ethernet0/0] ipsec policy hk

[RouterB-Ethernet0/0] quit

3.4.3  Router C的配置

# 配置接口Ethernet0/1的IP地址。

<RouterC> system-view

[RouterC] interface ethernet 0/1

[RouterC-Ethernet0/1] ip address 10.4.4.1 255.255.255.0

[RouterC-Ethernet0/1] quit

# 配置接口Ethernet0/0的IP地址。

[RouterC] interface ethernet 0/0

[RouterC-Ethernet0/0] ip address 1.1.1.4 255.255.255.0

[RouterC-Ethernet0/0] quit

# 配置分支到总部的静态路由。

[RouterC] ip route-static 10.1.1.0 255.255.255.0 1.1.1.1

# 配置ACL，定义由10.4.4.0/24到10.1.1.0/24的数据流。

[RouterC] acl number 3000

[RouterC-acl-adv-3000] rule 0 permit ip source 10.4.4.0 0.0.0.255 destination 10

.1.1.0 0.0.0.255

[RouterC-acl-adv-3000] quit

# 创建一个IKE对等体，并进入IKE-Peer视图。

[RouterC] ike peer center

# 配置预共享密钥。

[RouterC-ike-peer-center] pre-shared-key 123

# 配置对端安全网关的IP地址。

[RouterC-ike-peer-center] remote-address 1.1.1.1

[RouterC-ike-peer-center] local-address 1.1.1.4

[RouterC-ike-peer-center] quit

# 采用安全提议的缺省配置。

[RouterC] ipsec proposal def

# 配置ESP协议采用md5认证算法。

[RouterC-ipsec-transform-set-def] esp authentication-algorithm md5

[RouterC-ipsec-transform-set-def] quit

# 创建IPsec安全策略hk，其协商方式为isakmp。

[RouterC] ipsec policy hk 1 isakmp

# 配置IPsec安全策略引用的访问控制列表。

[RouterC-ipsec-policy-isakmp-hk-1] security acl 3000

# 在IPsec安全策略中引用IKE对等体。

[RouterC-ipsec-policy-isakmp-hk-1] ike-peer center

# 配置IPsec安全策略所引用的IPsec安全提议。

[RouterC-ipsec-policy-isakmp-hk-1] proposal def

[RouterC-ipsec-policy-isakmp-hk-1] quit

# 在接口Ethernet0/0上应用安全策略。

[RouterC] interface ethernet 0/0

[Router_C-Ethernet0/0] ipsec policy hk

[Router_C-Ethernet0/0] quit

3.5  验证配置

以上配置完成后，Router A和Router B、Router C之间如果有报文通过，将触发IKE进行协商建立SA。IKE协商成功并创建了IPsec SA后，分支网络和总部网络之间的数据流将被加密传输。这里以Router B为例进行相关验证，其它路由器验证方法相同。

# 在Router B上可以ping通Router A连接的总部私网地址。

<RouterB> ping -a 10.2.2.1 10.1.1.1

  PING 10.1.1.1: 56  data bytes, press CTRL_C to break

    Reply from 10.1.1.1: bytes=56 Sequence=0 ttl=255 time=3 ms

    Reply from 10.1.1.1: bytes=56 Sequence=1 ttl=255 time=3 ms

    Reply from 10.1.1.1: bytes=56 Sequence=2 ttl=255 time=2 ms

    Reply from 10.1.1.1: bytes=56 Sequence=3 ttl=255 time=3 ms

    Reply from 10.1.1.1: bytes=56 Sequence=4 ttl=255 time=3 ms

  --- 10.1.1.1 ping statistics ---

    5 packet(s) transmitted

    5 packet(s) received

    0.00% packet loss

round-trip min/avg/max = 2/2/3 ms

# 可以通过如下显示信息看到，Router B作为发起方已与Router A协商生成了两个阶段的SA。

<RouterB> display ike sa

    total phase-1 SAs:  1

    connection-id  peer                    flag        phase   doi

  ----------------------------------------------------------------

     12            1.1.1.1                 RD|ST       1       IPSEC

     16            1.1.1.1                 RD|ST       2       IPSEC

  flag meaning

  RD--READY ST--STAYALIVE RL--REPLACED FD--FADING TO--TIMEOUT RK—REKEY

<Router_B>display ike sa

    total phase-1 SAs:  1

    connection-id  peer                    flag        phase   doi

  ----------------------------------------------------------------

     12            1.1.1.1                 RD|ST       1       IPSEC

     16            1.1.1.1                 RD|ST       2       IPSEC

  flag meaning

  RD--READY ST--STAYALIVE RL--REPLACED FD--FADING TO--TIMEOUT RK—REKEY

# 可以通过如下显示信息查看协商生成的IPsec SA。

<Router_B> display ipsec sa

===============================

Interface: Ethernet0/0

    path MTU: 1500

===============================

  -----------------------------

  IPsec policy name: "hk"

  sequence number: 1

  acl version: ACL4

  mode: isakmp

  -----------------------------

    PFS: N, DH group: none

    tunnel:

        local  address: 1.1.1.2

        remote address: 1.1.1.1

    flow:

        sour addr: 10.2.2.0/255.255.255.0  port: 0  protocol: IP

        dest addr: 10.1.1.0/255.255.255.0  port: 0  protocol: IP

    [inbound ESP SAs]

      spi: 0x58F58E59(1492487769)

      transform: ESP-ENCRYPT-NULL ESP-AUTH-MD5

      in use setting: Tunnel

      connection id: 7

      sa duration (kilobytes/sec): 1843200/3600

      sa remaining duration (kilobytes/sec): 1843199/3481

      anti-replay detection: Enabled

        anti-replay window size(counter based): 32

      udp encapsulation used for nat traversal: N

    [outbound ESP SAs]

      spi: 0xCE045C2A(3456392234)

      transform: ESP-ENCRYPT-NULL ESP-AUTH-MD5

      in use setting: Tunnel

      connection id: 8

      sa duration (kilobytes/sec): 1843200/3600

      sa remaining duration (kilobytes/sec): 1843199/3482

      anti-replay detection: Enabled

        anti-replay window size(counter based): 32

      udp encapsulation used for nat traversal: N

3.6  配置文件

·     Router A：

#

acl number 3000

 rule 0 permit ip source 10.1.1.0 0.0.0.255 destination 10.2.2.0 0.0.0.255

 rule 5 permit ip source 10.1.1.0 0.0.0.255 destination 10.4.4.0 0.0.0.255

#

ike peer branch

 pre-shared-key cipher $c$3$5EXzApVmi1RdX3SGyIymzhIgJquIKQ==

 local-address 1.1.1.1

#

ipsec transform-set def

 encapsulation-mode tunnel

 transform esp

esp authentication-algorithm md5

#

ipsec policy-template branch 1

security acl 3000

 ike-peer branch

 transform-set def

#

ipsec policy hk 1 isakmp template branch

#

interface Ethernet0/1

 port link-mode route

ip address 10.1.1.1 255.255.255.0

#

interface Ethernet0/0

 port link-mode route

ip address 1.1.1.1 255.255.255.0

 ipsec policy hk

#

·     Router B：

#

acl number 3000

 rule 0 permit ip source 10.2.2.0 0.0.0.255 destination 10.1.1.0 0.0.0.255

#

ike peer center

 pre-shared-key cipher $c$3$6IuIazKdkagkROFVyZj5Bn4/QalN7Q==

 remote-address 1.1.1.1

 local-address 1.1.1.2

#

ipsec transform-set def

 encapsulation-mode tunnel

 transform esp

esp authentication-algorithm md5

#

ipsec policy hk 1 isakmp

 security acl 3000

 ike-peer center

 transform-set def

#

interface Ethernet0/0

 port link-mode route

ip address 10.2.2.1 255.255.255.0

#

interface Ethernet0/0

 port link-mode route

ip address 1.1.1.2 255.255.255.0

 ipsec policy hk

#

ip route-static 10.1.1.0 255.255.255.0 1.1.1.1

#

·     Router C：

#

acl number 3000

 rule 0 permit ip source 10.4.4.0 0.0.0.255 destination 10.1.1.0 0.0.0.255

#

ike peer center

 pre-shared-key cipher $c$3$Ht2rDPMQ9PWo7FVG2PzcXX2upJeZrQ==

 remote-address 1.1.1.1

 local-address 1.1.1.4

#

ipsec transform-set def

 encapsulation-mode tunnel

 transform esp

esp authentication-algorithm md5

#

ipsec policy hk 1 isakmp

 security acl 3000

 ike-peer center

 transform-set def

#

interface Ethernet0/1

 port link-mode route

ip address 10.4.4.1 255.255.255.0

#

interface Ethernet0/0

 port link-mode route

ip address 1.1.1.4 255.255.255.0

 ipsec policy hk

#

ip route-static 10.1.1.0 255.255.255.0 1.1.1.1

#

4  相关资料

·     H3C MSR 系列路由器 命令参考(V5)-R2311

·     H3C MSR 系列路由器 配置指导(V5)-R2311