86-MSR系列路由器中心设备和分支设备都处于NAT网关后面时分支与中心建立IPsec隧道功能的配置举例
本章节下载: 86-MSR系列路由器中心设备和分支设备都处于NAT网关后面时分支与中心建立IPsec隧道功能的配置举例 (162.76 KB)
MSR系列路由器中心设备和分支设备都处于NAT网关后面时分支与中心建立IPsec隧道功能的配置举例
Copyright © 2014杭州华三通信技术有限公司 版权所有,保留一切权利。 非经本公司书面许可,任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部, 并不得以任何形式传播。本文档中的信息可能变动,恕不另行通知。 |
目 录
本文档介绍MSR系列路由器中心设备和分支设备都处于NAT网关后面时分支与中心建立IPsec隧道功能的典型配置举例。
本文档不严格与具体软、硬件版本对应,如果使用过程中与产品实际情况有差异,请参考相关产品手册,或以设备实际情况为准。
本文档中的配置均是在实验室环境下进行的配置和验证,配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置,为了保证配置效果,请确认现有配置和以下举例中的配置不冲突。
本文档假设您已了解IPsec和NAT特性。
如图1所示,Router A是某公司分支机构网关,Router D是中心网关设备,Router B和Router D是NAT设备,要求:Router A与Router D建立IPsec连接。
图1 分支与中心建立IPsec隧道功能的配置组网图
· 由于网络中使用了NAT转换来访问Internet,而在IKE协商过程中主模式不支持NAT转换,所以协商模式要配置成野蛮模式,并且要以name的ID类型标识对等体。
· 由于IKE协商使用的源端口号和目的端口号都是500,为了避免NAT地址端口转换的情况,需要在Router B和Router C上配置静态端口映射。
· 由于ESP协议没有端口号,在进行NAT端口转换时会失败,所以需要采用NAT-T技术来对ESP进行NAT转换。
本举例是在Release 2317版本上进行配置和验证的。
· 在配置IPsec隧道前,需确保Router A和Router D之间路由可达。
· 两个NAT设备的公网口地址要固定。
# 配置接口Ethernet0/1的IP地址。
<RouterA> system-view
[RouterA] interface ethernet 0/1
[RouterA-Ethernet0/1] ip address 10.1.3.1 255.255.255.0
[RouterA-Ethernet0/1] quit
# 配置接口Ethernet0/0的IP地址。
[RouterA] interface ethernet 0/0
[RouterA-Ethernet0/0] ip address 192.168.0.2 255.255.255.0
[RouterA-Ethernet0/0] quit
# 配置访问外网的默认路由。
[RouterA] ip route-static 0.0.0.0 0.0.0.0 192.168.0.1 preference 60
# 创建ACL3000,定义需要IPsec保护的数据流。
[RouterA] acl number 3000
[RouterA-acl-adv-3000] rule 0 permit ip source 10.1.3.0 0.0.0.255 destination 10.
1.2.0 0.0.0.255
[RouterA-acl-adv-3000] rule 5 deny ip
[RouterA-acl-adv-3000] quit
# 配置本端安全网关的名字为branch。
[RouterA] ike local-name branch
# 创建一个IKE对等体,并进入IKE-Peer视图。
[RouterA] ike peer center
# 配置IKE第一阶段的协商模式为野蛮模式。
[RouterA-ike-peer-center] exchange-mode aggressive
# 配置预共享密钥。
[RouterA-ike-peer-center] pre-shared-key 123
# 选择IKE第一阶段的协商过程中使用ID的类型为name。
[RouterA-ike-peer-center] id-type name
# 配置对端安全网关的名字。
[RouterA-ike-peer-center] remote-name center
# 配置远端地址为NAT设备的公网出口地址。
[RouterA-ike-peer-center] remote-address 1.1.1.2
# 启用NAT穿越功能。
[RouterA-ike-peer-center] nat traversal
[RouterA-ike-peer-center] quit
# 采用安全提议的缺省配置。
[RouterA] ipsec proposal def
# 配置ESP协议采用md5认证算法。
[RouterA-ipsec-transform-set-def] esp authentication-algorithm md5
[RouterA-ipsec-transform-set-def] quit
# 创建IPsec安全策略policy,其协商方式为isakmp。
[RouterA] ipsec policy policy 1 isakmp
# 配置IPsec安全策略引用的访问控制列表。
[RouterA-ipsec-policy-isakmp-policy-1] security acl 3000
# 配置IPsec安全策略所引用的IPsec安全提议。
[RouterA-ipsec-policy-isakmp-policy-1] proposal def
# 在IPsec安全策略中引用IKE对等体。
[RouterA-ipsec-policy-isakmp-policy-1] ike-peer center
[RouterA-ipsec-policy-isakmp-policy-1] quit
# 在接口Ethernet0/0上应用安全策略。
[RouterA] interface ethernet 0/0
[RouterA-Ethernet0/0] ipsec policy policy
[RouterA-Ethernet0/0] quit
# 配置接口Ethernet0/1的IP地址。
<RouterB> system-view
[RouterB] interface ethernet 0/1
[RouterB-Ethernet0/1] ip address 192.168.0.1 255.255.255.0
[RouterB-Ethernet0/1] quit
# 配置接口Ethernet0/0的IP地址。
[RouterB] interface ethernet 0/0
[RouterB-Ethernet0/0] ip address 1.1.1.1 255.255.255.0
[RouterB-Ethernet0/0] quit
# 配置NAT转换的ACL规则。
[RouterB] acl number 2000
[RouterB-acl-basic-2000] rule 0 permit source 192.168.0.0 0.0.0.255
[RouterB-acl-basic-2000] rule 5 deny
[RouterB-acl-basic-2000] quit
# 在接口下配置NAT转换。
[RouterB] interface ethernet 0/0
[RouterB-Ethernet0/0] nat outbound 2000
# 对IPsec建立过程中IKE协商进行端口映射。
[RouterB-Ethernet0/0] nat server protocol udp global 1.1.1.1 500 inside 192.168.0
.2 500
# 对IPsec建立过程中的ESP协议穿越NAT进行端口映射。
[RouterB-Ethernet0/0]nat server protocol udp global 1.1.1.1 4500 inside 192.168.
0.2 4500
[RouterB-Ethernet0/0] quit
# 配置接口Ethernet0/0的IP地址。
<RouterC> system-view
[RouterC] interface ethernet 0/0
[RouterC-Ethernet0/0] ip address 1.1.1.2 255.255.255.0
[RouterC-Ethernet0/0] quit
# 配置接口Ethernet0/1的IP地址。
[RouterC] interface ethernet 0/1
[RouterC-Ethernet0/1] ip address 10.1.1.2 255.255.255.0
[RouterC-Ethernet0/1] quit
# 配置NAT转换的ACL规则。
[RouterC] acl number 2000
[RouterC-acl-basic-2000] rule 0 permit source 10.1.1.0 0.0.0.255
[RouterC-acl-basic-2000] rule 5 deny
[RouterC-acl-basic-2000] quit
# 在接口下配置NAT转换。
[RouterC] interface ethernet 0/0
[RouterC-Ethernet0/0] nat outbound 2000
# 对IPsec建立过程中IKE协商进行端口映射。
[RouterC-Ethernet0/0] nat server protocol udp global 1.1.1.2 500 inside 10
.1.1.1 500
# 对IPsec建立过程中的ESP协议穿越NAT进行端口映射。
[RouterC-Ethernet0/1] nat server protocol udp global 1.1.1.2 4500 inside 1
0.1.1.1 4500
[RouterC-Ethernet0/0] quit
# 配置接口Ethernet0/1的IP地址。
<RouterD> system-view
[RouterD] interface ethernet 0/1
[RouterD-Ethernet0/1] ip address 10.1.2.1 255.255.255.0
[RouterD-Ethernet0/1] quit
# 配置接口Ethernet0/0的IP地址。
[RouterD] interface ethernet 0/0
[RouterD-Ethernet0/0] ip address 10.1.1.1 255.255.255.0
[RouterD-Ethernet0/0] quit
# 配置访问外网的默认路由。
[RouterD] ip route-static 0.0.0.0 0.0.0.0 10.1.1.2 preference 60
# 配置本端安全网关的名字为center。
[RouterD] ike local-name center
# 创建ACL3000,定义需要IPsec保护的数据流。
[RouterD] acl number 3000
[RouterD-acl-adv-3000] rule 0 permit ip source 10.1.2.0 0.0.0.255 destination 10.
1.3.0 0.0.0.255
[RouterD-acl-adv-3000] rule 5 deny ip
[RouterD-acl-adv-3000] quit
# 创建一个IKE对等体,并进入IKE-Peer视图。
[RouterD] ike peer branch
# 配置IKE第一阶段的协商模式为野蛮模式。
[RouterD-ike-peer-branch] exchange-mode aggressive
# 配置预共享密钥。
[RouterD-ike-peer-branch] pre-shared-key 123
# 选择IKE第一阶段的协商过程中使用ID的类型为name。
[RouterD-ike-peer-branch] id-type name
# 配置对端安全网关的名字。
[RouterD-ike-peer-branch] remote-name branch
# 配置远端地址为NAT设备的公网出口地址。
[RouterD-ike-peer-branch] remote-address 1.1.1.1
# 启用NAT穿越功能。
[RouterD-ike-peer-branch] nat traversal
[RouterD-ike-peer-branch] quit
# 采用安全提议的缺省配置。
[RouterD] ipsec proposal def
# 配置ESP协议采用md5认证算法。
[RouterD-ipsec-transform-set-def] esp authentication-algorithm md5
[RouterD-ipsec-transform-set-def] quit
# 创建IPsec安全策略policy,其协商方式为isakmp。
[RouterD] ipsec policy policy 1 isakmp
# 配置IPsec安全策略引用的访问控制列表。
[RouterD-ipsec-policy-isakmp-policy-1] security acl 3000
# 配置IPsec安全策略所引用的IPsec安全提议。
[RouterD-ipsec-policy-isakmp-policy-1] proposal def
# 在IPsec安全策略中引用IKE对等体。
[RouterD-ipsec-policy-isakmp-policy-1] ike-peer branch
[RouterD-ipsec-policy-isakmp-policy-1] quit
# 在接口Ethernet0/0上应用安全策略。
[RouterD] interface ethernet 0/0
[RouterD-Ethernet0/0] ipsec policy policy
[RouterD-Ethernet0/0] quit
完成以上配置后,Router A和Router D即可实现互通,且数据经IPsec进行加密,并不受NAT影响。这里以Router A为例进行验证。
# 可以通过如下显示信息看到,Router A和Router D实现互通。
<RouterA> ping -a 10.1.3.1 10.1.2.1
PING 10.1.2.1: 56 data bytes, press CTRL_C to break
Request time out
Reply from 10.1.2.1: bytes=56 Sequence=1 ttl=255 time=3 ms
Reply from 10.1.2.1: bytes=56 Sequence=2 ttl=255 time=3 ms
Reply from 10.1.2.1: bytes=56 Sequence=3 ttl=255 time=2 ms
Reply from 10.1.2.1: bytes=56 Sequence=4 ttl=255 time=2 ms
--- 10.1.2.1 ping statistics ---
5 packet(s) transmitted
4 packet(s) received
20.00% packet loss
round-trip min/avg/max = 2/2/3 ms
# 可以通过如下显示信息看到,IKE协商成功,生成了两个阶段的SA。
<RouterA> display ike sa
total phase-1 SAs: 1
connection-id peer flag phase doi
----------------------------------------------------------------
5 1.1.1.2 RD|ST 1 IPSEC
6 1.1.1.2 RD|ST 2 IPSEC
flag meaning
RD--READY ST--STAYALIVE RL--REPLACED FD--FADING TO--TIMEOUT RK--REKEY
# 可以通过如下显示信息查看协商生成的IPsec SA。
<RouterA> display ipsec sa
===============================
Interface: Ethernet0/0
path MTU: 1500
===============================
-----------------------------
IPsec policy name: "policy"
sequence number: 1
acl version: ACL4
mode: isakmp
-----------------------------
PFS: N, DH group: none
tunnel:
local address: 192.168.0.2
remote address: 1.1.1.2
flow:
sour addr: 10.1.3.0/255.255.255.0 port: 0 protocol: IP
dest addr: 10.1.2.0/255.255.255.0 port: 0 protocol: IP
[inbound ESP SAs]
spi: 0x894BE29D(2303451805)
transform: ESP-ENCRYPT-NULL ESP-AUTH-MD5
in use setting: Tunnel
connection id: 1
sa duration (kilobytes/sec): 1843200/3600
sa remaining duration (kilobytes/sec): 1843199/3450
anti-replay detection: Enabled
anti-replay window size(counter based): 32
udp encapsulation used for nat traversal: Y
[outbound ESP SAs]
spi: 0x315909BB(827918779)
transform: ESP-ENCRYPT-NULL ESP-AUTH-MD5
in use setting: Tunnel
connection id: 2
sa duration (kilobytes/sec): 1843200/3600
sa remaining duration (kilobytes/sec): 1843199/3450
anti-replay detection: Enabled
anti-replay window size(counter based): 32
udp encapsulation used for nat traversal: Y
· Router A:
ike local-name branch
#
acl number 3000
rule 0 permit ip source 10.1.3.0 0.0.0.255 destination 10.1.2.0 0.0.0.255
rule 5 deny ip
#
ike peer center
exchange-mode aggressive
pre-shared-key cipher $c$3$9pS1EELiafeHVCP6yYavHsVy935hjw==
id-type name
remote-name center
remote-address 1.1.1.2
nat traversal
#
ipsec transform-set def
encapsulation-mode tunnel
transform esp
esp authentication-algorithm md5
#
ipsec policy policy 1 isakmp
security acl 3000
ike-peer center
transform-set def
#
interface Ethernet0/1
port link-mode route
ip address 10.1.3.1 255.255.255.0
#
interface Ethernet0/0
port link-mode route
ip address 192.168.0.2 255.255.255.0
ipsec policy policy
#
ip route-static 0.0.0.0 0.0.0.0 192.168.0.1
#
· Router B:
acl number 2000
rule 0 permit source 192.168.0.0 0.0.0.255
rule 5 deny
#
interface Ethernet0/0
port link-mode route
nat outbound 2000
nat server protocol udp global 1.1.1.1 500 inside 192.168.0.2 500
nat server protocol udp global 1.1.1.1 4500 inside 192.168.0.2 4500
ip address 1.1.1.1 255.255.255.0
#
interface Ethernet0/1
port link-mode route
ip address 192.168.0.1 255.255.255.0
#
· Router C:
acl number 2000
rule 0 permit source 10.1.1.0 0.0.0.255
rule 5 deny
#
interface Ethernet0/1
port link-mode route
ip address 10.1.1.2 255.255.255.0
#
interface Ethernet0/0
port link-mode route
nat outbound 2000
nat server protocol udp global 1.1.1.2 500 inside 10.1.1.1 500
nat server protocol udp global 1.1.1.2 4500 inside 10.1.1.1 4500
ip address 1.1.1.2 255.255.255.0
#
· Router D:
ike local-name center
#
acl number 3000
rule 0 permit ip source 10.1.2.0 0.0.0.255 destination 10.1.3.0 0.0.0.255
rule 5 deny ip
#
ike peer branch
exchange-mode aggressive
pre-shared-key cipher $c$3$NwSQaDq0jITFQV84AlEHVAOwQ6QBiA==
id-type name
remote-name branch
remote-address 1.1.1.1
nat traversal
#
ipsec transform-set def
encapsulation-mode tunnel
transform esp
esp authentication-algorithm md5
#
ipsec policy policy 1 isakmp
security acl 3000
ike-peer branch
transform-set def
#
interface Ethernet0/1
port link-mode route
ip address 10.1.2.1 255.255.255.0
#
interface Ethernet0/0
port link-mode route
ip address 10.1.1.1 255.255.255.0
ipsec policy policy
#
ip route-static 0.0.0.0 0.0.0.0 10.1.1.2
#
· H3C MSR 系列路由器 命令参考(V5)-R2311
· H3C MSR 系列路由器 配置指导(V5)-R2311
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!