08-IPsec配置

01-H3C MSR系列路由器采用野蛮模式建立IPsec VPN典型配置

H3C MSR系列路由器

采用野蛮模式建立IPsec VPN典型配置

非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部，并不得以任何形式传播。

除新华三技术有限公司的商标外，本手册中出现的其它公司的商标、产品标识及商品名称，由各自权利人拥有。

本文档中的信息可能变动，恕不另行通知。

1 简介

本文档介绍H3C MSR系列路由器采用野蛮模式建立IPsec VPN的配置方法。本配置主要适用于企业总部和分支路由器外网均有固定公网IP地址的场景。

2 配置前提

本文档适用于使用Comware V7软件版本的MSR系列路由器，如果使用过程中与产品实际情况有差异，请以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解IPsec特性。

3 典型配置

3.1 组网需求

如图3-1所示，Router A为企业总部网关，Router B为企业分支网关，Router A和Router B的外网接口模式均为单WAN模式，且以固定地址方式连接Internet。分支与总部通过公网建立通信。

出于安全因素，需要对企业分支与总部之间相互访问的数据流进行安全保护，因此需要在Router A和Router B之间建立一条IPsec隧道。具体要求如下：

· 两端通过预共享秘钥（123456TESTplat&!）进行认证。

· IKE协商模式为野蛮模式。

· IKE协商采用的加密算法为3DES-CBC，认证算法为MD5。

· IPsec隧道的封装模式为隧道模式，安全协议为ESP。

图3-1 采用野蛮模式建立IPsec VPN典型配置组网图

3.2 配置思路

采用如下的配置思路：

(1) 完成WAN和LAN的基本配置

a. 配置Router A和Router B的WAN接口IP地址和网关地址等参数。

b. 修改Router A和Router B的VLAN1接口缺省IP地址。

(2) 添加IPsec策略

IPsec策略中的IKE协商模式选择野蛮模式。

3.3 使用版本

本举例是在R6749P15版本的MSR830-6HI路由器和R6749P15版本的MSR3610-X1-DP路由器上进行配置和验证的。

3.4 配置注意事项

· 修改VLAN1接口的IP地址后，会导致Web管理界面登录异常，需要使用修改后的IP地址重新登录Web管理界面，才能进行接下来的配置。

· 若您的组网是双WAN或多WAN接入时，需要在设备上需配置一条静态路由，将访问对端内网的流量指向IPsec策略中所选用的WAN接口。

· IPsec隧道两端设备的预共享秘钥、安全协议、加密/认证算法以及封装模式需保持一致。

3.5 配置步骤

3.5.1 配置Router A

1. 修改VLAN1接口的IP地址

# 将VLAN1接口的IP地址修改为10.1.1.1/24。配置步骤如下：

(1) 在设备Web管理界面导航栏中选择“网络设置 > LAN配置”，进入LAN配置页面。

(2) 单击“LAN配置”页签，进入LAN配置页面。

(3) 单击VLAN1对应的操作列编辑图标，进入修改LAN配置页面。

(4) 在“接口IP地址”配置项处，输入10.1.1.1。

(5) 在“子网掩码”配置项处，输入255.255.255.0。

(6) 其它配置项均保持默认情况即可，单击<确定>按钮保存配置。

图3-2 修改LAN配置

2. 配置WAN0接口连接Internet

# 本例中Router A外网的接口模式选择单WAN模式，WAN接口的连接模式为固定地址。配置步骤如下：

(1) 在设备Web管理界面导航栏中选择“网络设置 > 外网配置”，进入外网配置页面。

(2) 在“场景定义”页签下选择单WAN场景，选择线路1为WAN0，单击<应用>按钮使得配置生效。

(3) 单击“WAN配置”页签，进入WAN配置页面。

(4) 单击WAN0对应的操作列编辑图标，进入修改WAN配置页面。

(5) 在“连接模式”配置项处，选择固定地址。

(6) 在“IP地址”配置相处，输入2.2.2.1。

(7) 在“子网掩码”配置项处，输入255.255.255.0。

(8) 在“网关地址”配置项处，输入2.2.2.254。

(9) 其它配置项均保持默认情况即可，单击<确定>按钮保存配置。

图3-3 配置WAN场景

图3-4 修改WAN配置

3. 配置IPsec策略

# Router A的IPsec策略中的组网方式选择中心节点，IKE协商模式选择野蛮模式。配置步骤如下：

(1) 在设备Web管理界面导航栏中选择“虚拟专网（VPN） > IPsec VPN”，进入IPsec策略配置页面。

(2) 单击<添加>按钮，进入添加IPsec策略页面，配置如下参数：

¡ 名称：输入map1

¡ 接口：选择WAN0

¡ 组网方式：选择中心节点

¡ 预共享密钥：输入123456TESTplat&!

图3-5 配置IPsec策略

(3) 单击<显示高级配置>按钮，进入IKE配置页面，配置如下参数：

¡ 协商模式：选择野蛮模式

¡ 本端身份类型：选择IP地址，输入2.2.2.1

¡ 对等体存活检测（DPD）：选择开启，超时时间设置为30（该功能缺省是关闭状态，建议您开启此功能，使设备能够及时获悉IPsec隧道的可用情况。）

¡ 算法组合：选择自定义

¡ 认证算法：选择MD5

¡ 加密算法：选择3DES-CBC

¡ 其它参数保持缺省配置即可。

图3-6 IKE配置

(4) 单击“IPsec配置”页签，进入IPsec配置页面，配置如下参数：

¡ 算法组合：选择自定义

¡ 安全协议：选择ESP

¡ ESP认证算法：选择MD5

¡ ESP加密算法：选择3DES-CBC

¡ 封装模式：选择隧道模式

¡ 其它参数保持缺省配置即可

(5) 单击<返回基本设置>按钮，再单击<确定>按钮，完成配置。

图3-7 IPsec配置