HQY 一个和谐有爱的空间

IPSec高可靠性技术IPSec VPN高可靠性概述：IPSec隧道由网络设备和链路组成，设备故障或者链路故障都会导致IPSec隧道中断，存在单点故障。因此在设计IPSec VPN高可靠性时既要考虑保护链路，也需要考虑保护网络设备。IPSec高可靠性设计可以分为两类，一种是链路冗余，另一种是主备网络备份。其中链路冗余可以分为主备链路备份和隧道化链路备份。解决链路单点故障解决方案概述：多链路两种思路：A. 链路的主备方式2:1模式 2:2 模式B.隧道化的备份 ----华为建议通过Tunnel接口

华为防火墙，主备链路备份cd 出口： 7.7.7.4 8.8.8.8 bj 出口 6.6.6.2546.0  to 7.0```bash ip-link check enableip-link name TO-bj destination 6.6.6.254 interface GigabitEthernet 0/0/1 next-hop&n

引言        IPSEC  VPN想必大家掌握的也和熟悉了，但其的精髓往往不止这些，许多延外的可用性知识也为其解锁了更多功能，更高的可用性。有用于状态监测的LDLE TIME,IKE存活消息,DPD机制，匹配对端功能，以及为内网下发静态路由的RRI，检测内网的EMM，希望大家在学习后能更好的理解IPSEC VPN，以及掌握这些拓展的配置和理解。拓扑环境介绍    &nbs

目录IPSec VPN高可用技术介绍DPD概述DPD工作模式周期性工作模式（periodic）按需工作模式（on-demand）DPD 配置拓扑 周期 DPD 工作过程 按需 DPD 工作过程DPD 综述RRI 概述RRI 配置命令RRI 配置测试拓扑 Branch 上 IPSec VPN 关键配置HQ-1 上 IPSec VPN 关键配置HQ-2 上 IPSec VPN 关键配置中心站点主备用网关上DPD和RRI配置主备网关切换测试注意IPSec VPN高可用技术

1.原理介绍链路备份：细分为主备链路冗余备份、多链路冗余备份。设备备份：细分为主备备份、负载分担。1链路备份：主备链路冗余备份方案部署前提如图：部署点各一台防火墙。总部两个公网地址，分支一个公网地址。实现效果：正常使用主链路，当主链路故障，切换到备份链路。2链路备份：多链路冗余备份方案部署前提如图：部署点各一台防火墙。总部三个公网地址，分支一个公网地址。实现效果：基于路由状态来实现链路探测。3设备备份：主备备份方式部署前提如图：总部两台防火墙，分支一台防火墙。总部三个公网地址，分支一个公网地址。

IPSec VPN的高可用性技术：①、DPD（Dead Peer Detection）对等体检测                      ——旨在检查有问题的IPSec VPN网络，并快速的切换到备用网关②、RRI（Reverse Route Injection）反向路由注入 

IPSec（互联网协议安全）是一个安全网络协议套件，用于保护互联网或公共网络传输的数据。IETF在 1990 年代中期开发了 IPSec 协议，它通过 IP网络数据包的身份验证和加密来提供 IP 层的安全性。IPSec简介IPSec 可为通信两端设备提供安全通道，比如用于两个路由器之间以创建点到点 VPN，以及在防火墙和 Windows 主机之间用于远程访问 VPN等。IPSec可以实现以下4项功能：数据机密性：IPSec发送方将包加密后再通过网络发送，可以保证在传输过程中，即使数据包遭截取，信

[1]互联网安全协议（Internet Protocol Security，IPSec）是一个协议包，通过对IP协议的分组进行加密和认证来保护IP协议的网络传输协议簇（一些相互关联的协议的集合）。中文名互联网安全协议外文名Internet Protocol Security本    质开放标准的框架结构作    用保障网络安全缩    写IPSec学 &nb

.AH 为IP数据包提供如下3种服务：1、数据完整性验证通过哈希函数（如MD5）产生的校验来保证2、数据源身份认证通过在计算验证码时加入一个预共享密钥或证书数据来实现3、防重放攻击AH报头中的序列号可以防止重放攻击。下一头部：标识 AH 报头后面的负载类型。传输模式下，为 TCP、 UDP 或 ESP协议的编号， 隧道模式下，为 IP 或 ESP 协议的编号。安全参数索引（SPI） ：与目的 IP 地址和安全协议一起唯一标识 IPSec SA， 接收端设备通过 SPI 查找安全联盟，以解密 IP