H3C SecPath ACG1000系列应用控制网关典型配置(R6614)-6W102

41-IPsec快速配置典型配置举例

1 IPsec快速配置简介

由于连锁酒店分支机构众多，IPSEC VPN业务的部署和维护非常复杂，给管理员的工作带来非常大的挑战：“VPN业务多变，管理复杂”，现有标准IPSEC VPN的配置比较繁琐，组网变化带来的配置改动比较大。因此急需提供一种易用性更好，配置更简洁的解决方案。IPSEC 快速配置就是在这样的场景下应运而生的。

按照以往VPN的配置，一个分支上线会有很多相关配置，步骤较多，且在隧道显示上也不太友好，主要表现在如下几个方面：

· 每个分支上线都需要创建IKE、IPsec和对应的tunnel口，然后在tunnel口配置感兴趣流，和对应的tunnel路由。中心端有多少个IP，分支端就需要创建多少个IKE、IPsec和tunnel口及tunnel路由。当走IPsec隧道的网段发生变化时，我们需要同步修改对应的感兴趣流和tunnel路由。当分支特别多的时候，对于管理员来说是一项非常巨大且繁琐的工作，很容易出现配置错误，不好排查。

· 在web页面查看各隧道的流量和状态时，每个隧道只能显示本端IP和对端IP，却不知道这条隧道对应的哪个分支，需要根据分支和IP的对应关系，才能知道属于哪个分支。且一个分支的多个感兴趣流会显示多个SA，无法聚合，显得比较杂乱，不便查看。

· 如果一个分支的私有网段和另一个分支的私有网段有冲突，如，都使用了192.168.10.1/24网段，则后上线的分支需要做NAT，转换为另外一个不冲突的网段才能正常工作。这个NAT配置需要绑定对应的隧道口，以明确只有过隧道的流量才需要转换。如果隧道口有变动，则相应的NAT配置也需要做对应变动。

鉴于以上配置上的繁琐和显示上的不友好，我们要做出改进，优化连锁酒店的IPSEC VPN管理工作，尽可能地使VPN配置自动化，简单化，甚至是傻瓜化，做到“快速上线、动态适应、部署简单”。

针对以上目标，IPsec快速配置具体的改进措施如下：

· 隐藏IKE/IPsec/tunnel口的创建过程。

管理员只需配置本端分支名称，对端IP和预共享密钥。后台根据这些配置，自动生成对应的IKE、IPsec和tunnel口，其它相关参数均使用内置的默认参数。

· 感兴趣流不再配置，tunnel路由不再配置。

管理员只需要配置本端的保护网段，即需要走IPsec的源网段。对端也是如此。当两端建立起IKE后，交互各自的保护网段，形成感兴趣流，同时以对端的保护网段为目的网段，生成对应的tunnel路由。

· 支持多线路备份。

高优先级线路断开后，无缝切换到低优先级的线路；当高优先级线路恢复后，再切换回高优先级线路。

· NAT规则不再配置。

管理员只需要配置哪些源网段转换为哪些目的网段。后台会自动生成对应的NAT规则。

· 隧道状态展示优化。

页面显示隧道状态时，以分支名称为key，一条记录聚合显示该分支相关隧道的信息，便于查看，支持搜索。

2 配置前提

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解快速IPsec特性。

3 使用限制

(1) 快速vpn模板不允许手动修改。

(2) 默认主模式，不支持DNAT。

(3) 感兴趣流保护接口只保护主地址，不支持从地址。

(4) 网段映射：一对一NAT映射，源网段和映射后网段掩码必须一致，按照IP的顺序进行一对一映射，（例如映射前ip为192.168.1.100；那么映射后就是172.16.21.100）。

(5) 网段映射：最多支持32个网段映射。

(6) 分支端：线路IP，设置线路对应的IP，线路IP必须在对端网关IP中。

4 创建IPsec快速配置

4.1 配置概述

IPsec配置的推荐步骤如下表所示。

表1 IPsec快速配置的推荐步骤

配置任务	说明	详细配置
节点基本信息配置	必选	4.2
保护网段配置	必选	4.3
高级选项配置（选路策略、网段映射）	可选	4.4

4.2 节点基本信息配置

在导航栏中选择“网络配置>VPN>IPsec-VPN>IPsec快速配置”，进入IPsec快速配置的显示页面，如图1、图2、图3所示。

图1 IPsec快速配置分支节点显示页面

图2 IPsec快速配置新建对端网关显示页面

图3 IPsec快速配置中心节点显示页面

页面的详细说明如表2所示。

表2 IPsec快速配置显示页面的详细说明

项目	说明
名称	节点的IPSEC名称，多隧道时聚合隧道的名称显示成该名称
节点位置	包含分支节点、中心节点两种类型
新建对端网关	分支对端中心节点IP配置，多隧道时配置多个IP，IP最多配置4个，每配置一个IP就会自动生成一套IKE、IPSEC、tunnel的配置
本端IP配置	中心节点与分支对接的接口IP配置，多个接口配置多个IP，最多配置4个IP，每配置一个IP就会自动生成一套IKE、IPSEC、tunnel的配置
预共享密钥	用于分支和中心之间验证对端身份（长度为6-39个字符）

4.3 保护网段配置

在导航栏中选择“网络配置>VPN>IPsec-VPN>IPsec快速配置”，进入IPsec保护网段的显示页面，单击<保护接口>按钮，在接口列表中选择<接口 >并设置掩码，或者单击<保护子网>按钮，设置保护网段和掩码，如图4所示。

图4 IPsec保护子网配置页面

点击左侧<保护接口>按钮可以保护接口配置选项，如图5所示。

图5 IPsec协商策略详细配置页面

页面的详细说明如表3所示。

表3 IPsec保护网段配置的详细说明

项目	说明
保护接口	自动根据保护接口IP及掩码生成保护网段，该网段会自动传递给对端网关，对端网关根据此保护网段自动生成相应tunnel口的路由
保护子网	该网段会自动传递给对端网关，对端网关根据此保护网段自动生成相应tunnel口的路由

输入完毕后，点击<添加到列表>，点击<提交>按钮，应用配置。

在IPsec保护网段列表中，点击保护网段右侧的<删除>按钮，可以删除对应的保护网段，或者选中多个条目，点击左上角的<删除>按钮，批量删除多个保护网段的配置。

4.4 高级选项配置

在导航栏中选择“网络配置>VPN>IPsec-VPN>IPsec快速配置”，节点类型选择<分支节点>，单击对端网关<新建>按钮，进入分支节点“高级选项配置”。如图6所示。

图6 IPsec分支节点高级选项选路策略配置页面

输入线路名称、线路IP，点击<添加到列表>，点击<提交>应用配置。

点击右侧<网段映射>，进入高级选项-网段映射配置页面，如图7所示。

图7 IPsec分支节点高级选项网段映射配置页面

输入源网段、映射后网段，点击<添加到列表>，点击<提交>应用配置。

页面的详细说明如表4所示。

表4 IPsec高级选项的详细说明

项目	说明
选路策略	选路策略中的线路顺序决定了不同隧道的路由优先级，规格支持配置4条线路
线路名称	设置线路名称
线路IP	设置线路对应的IP，线路IP必须在对端网关IP中
网段映射	一对一NAT映射，源网段和映射后网段掩码必须一致，按照IP的顺序进行一对一映射，最多支持32个网段映射
源网段	映射前源网段
映射后网段	映射后目的网段，在对端网关看到的保护网段是映射后网段

说明：中心节点高线选项配置只有网段映射，没有选路策略，选路策略只需在分支节点配置，分支节点配置的选路策略会自动同步给中心节点。

4.5 IPsec状态监控

4.5.1 查看IPsec监控

在导航栏中选择“网络配置>VPN>IPsec-VPN快速配置>IPsec监控”，进入IPsec监控显示页面。页面中显示了已经新建的IPsec聚合隧道。如图8所示。

图8 IPsec监控显示页面

页面的详细说明如表5所示。

表5 IPsec监控显示页面的详细说明

项目	说明
名称	对端IPSEC名称
状态	IPSEC SA状态
流量（入/出）	聚合隧道的双向总流量
对端内网地址	对端保护网段
隧道数	分支与中心设备之间建立的隧道数量计数
接入时间	隧道建立时间
操作	点击可删除聚合隧道

点击聚合隧道左侧的按钮，可以展开显示各隧道的详细情况，如图9所示。

图9 展开显示隧道情况

页面的详细说明如表6所示。

表6 IPsec监控显示页面的详细说明

项目	说明
隧道名称	隧道名称，显示为分支端配置的选路策略中的线路名称
状态	隧道IPSEC SA状态
流量（入/出）	隧道的双向流量统计
优先级	隧道优先级，多隧道备份时流量优先走优先级数值小的隧道，其它隧道做备份
隧道数	分支与中心设备之间建立的隧道数量计数
本端公网地址	隧道本端的公网地址
对端公网地址	隧道对端的公网地址
接入时间	隧道建立时间