40-IPsec第三方对接典型配置举例

1 简介

IPsec用于保护敏感信息在Internet上传输的安全性。它在网络层对IP数据包进行加密和认证。 IPsec提供了以下网络安全服务，这些安全服务是可选的，通常情况下，本地安全策略决定了采用以下安全服务的一种或多种：

· 数据的机密性：IPsec的发送方对发给对端的数据进行加密。

· 数据的完整性：IPsec的接收方对接收到的数据进行验证以保证数据在传送的过程中没有被修改。

· 数据来源的认证：IPsec接收方验证数据的起源。

· 抗重播：IPsec的接收方可以检测到重播的IP包并且丢弃。

使用IPsec可以避免数据包的监听、修改和欺骗，数据可以在不安全的公共网络环境下安全的传输，IPsec的典型运用是构建VPN。IPsec使用 “封装安全载荷（ESP）”或者“鉴别头（AH）”证明数据的起源地、保障数据的完整性以及防止相同数据包的不断重播；使用ESP保障数据的机密性。密钥管理协议称为ISAKMP ，根据安全策略数据库（SPDB）随IPsec使用，用来协商安全联盟（SA）并动态的管理安全联盟数据库。

2 配置前提

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解IPsec特性。

3 使用限制

(1) 当使用FQDN、U-FQDN时，只能在野蛮模式下使用，主模式不支持。

(2) 当使用证书认证时，ID类型不可配置，只能使用它内部默认的ASN1DN类型，这是与证书认证配套使用的ID类型。

(3) ID在IKE协商中有校验对端身份的作用，我们设备只有响应方会校验，主动方不校验。

(4) 在野蛮模式下，还可以根据对端ID选用不同的IKE来与对端协商。主模式则不可以，因为主模式的ID是在最后两个交互报文发送的，而野蛮模式则在第一个报文中发送。

(5) 目前支持配置的ID类型为FQDN/UFQDN和IP地址等类型。

(6) 其中FQDN是域名，U-FQDN是用户邮箱格式，但厂商实现的时候，也并不对这些格式进行校验，因此一般都是字符串。

(7) IPsec 使用数字证书验证注意事项：

a. IPSec的校验都是在响应端做的。

b. 本端设备会使用所有的本地CA证书对对端设备配置的用户证书进行校验，所以只要对端设备上有本端设备上IPsec配置的用户证书的CA证书就会验证通过，连接成功，和IPsec中配置的CA证书无关。

c. 当使用数字证书对接时，需要在本地证书处导入CRL。自动更新CRL必须是请求发起方的才行，才能把吊销证书的序列号同步过来，IPsec才能做校验。

d. 用户证书撤销了之后，应该在CA服务器—根CA配置管理——CRL管理，导出CRL，然后把CRL导入本地证书的CRL到才能和用户证书做校验。

e. 已撤销的证书，证书本身是证明不了自己已撤销。从CRL路径中获取revoke-list，然后获取证书的序列号，看该证书的序列号是否在revoke-list中，如果在，则校验失败。即该证书无效。

4 商密IPsec配置举例

4.1 组网需求

如图1所示，在设备 A 和设备 B之间使用商密标准建立一个安全隧道，对Host A 代表的子网（1.1.1.0/24）与Host B 代表的子网（2.2.2.0/24）之间的数据流进行安全保护。

图1 IPsec组网图

4.2 配置思路

(1) 按照组网图组网。

(2) 新建IKE协商。

(3) 配置IPsec协商策略。

(4) 新建所需地址对象。

(5) 新建IPsec安全策略。

(6) 新建IPsec隧道。

(7) 配置静态路由。

4.3 使用版本

本举例是在E6501版本上进行配置和验证的。

4.4 配置步骤

4.4.1 配置设备

(1) 新建IKE协商：在导航栏中选择“网络配置>VPN>IPsec-VPN>IPsec第三方对接”，进入IPsec的显示页面，新建IKE

对设备 A的IKE配置如图2所示。

图2 设备 AIKE配置

注意：如果本端有多个出口可以到达对端，则必须指定本地源IP或本地源接口。

对设备 B的IKE配置如图3所示。

图3 设备 B的IKE配置

注意：如果本端有多个出口可以到达对端，则必须指定本地源IP或本地源接口。

(2) 配置IPsec协商策略：在导航栏中选择“网络配置 > VPN > IPsec-VPN > Ipsec第三方对接”，进入IPsec协商策略的显示页面，选择要创建IPsec的IKE，然后单击<新建IPsec>，或者点击对应IPsec的右侧<编辑>按钮，进入IPsec协商策略的配置页面。

对设备 A的IPsec协商策略配置如图4所示。

图4 设备 A的IPsec协商策略配置

对设备 B的IPsec协商策略配置如图5所示。

图5 设备 B的IPsec协商策略配置

(3) 新建所需地址对象配置如图6所示。

图6 地址对象配置

(4) 新建IPSec安全策略配置如图7所示。

图7 设备A的控制策略配置信息

图8 设备B的控制策略配置信息配置如图8所示。

(5) 新建IPSEC隧道接口

对设备 A的隧道接口配置如图9所示。

图9 设备 A的隧道接口配置

对设备 B的隧道接口如图10所示。

图10 设备 B的隧道接口配置

(6) 配置静态路由

需要将感兴趣流的路由指向tunnel口，配置如图11所示。

图11 设备 A静态路由配置

图12 设备 B静态路由配置

4.5 验证配置

在导航栏中选择“网络配置 > VPN > IPsec-VPN > IPsec 第三方对接 > IPsec SA ”，查看IPsec SA。

图13 设备 A的IPsec SA

图14 设备 B的IPsec SA

5 HuB-Spoke组网IPsec配置举例

5.1 组网需求

如图15所示，公司总部需要与两个分支建立IPsec，保证分支可以和总部内网互通，并且在设备 A 和设备 B之间通过总部的IPsec也可以互通。总部公网IP为固定地址（202.38.160.1），两分支出口IP为动态地址.需要对总部Sever子网（30.1.1.1/24）,分支Host A 的子网（10.1.1.1/24）与分支Host B 的子网（20.1.1.0/24）之间的数据流进行安全保护。

图15 IPsec组网图