华为路由器：总部/分支之间建立点到多点IPSec VPN（分支机构的公网地址不固定）-HQY 一个和谐有爱的空间

12

2023
12
13:23:57

华为路由器：总部/分支之间建立点到多点IPSec VPN（分支机构的公网地址不固定）

http://www.zh-cjh.com/wangluoanquan/1510.html

华为路由器：总部/分支之间建立点到多点IPSec VPN（分支机构的公网地址不固定）

备注：文章来源华为官方
总部/分支之间建立点到多点IPSec VPN
分支机构和总部之间通信，如果某些分支机构的公网地址固定，另外一些分支机构的公网地址不固定，可采用此方式建立IPSec隧道。
组网需求
图1 总部与多个分支机构之间的组网示意图
如图1所示，组网情况如下：
·         某企业由总部和若干个分支机构组成。总部和分支机构1～分支机构n的IP地址都为固定地址，其他分支机构的IP地址为动态地址。
·         总部和各分支机构的私网IP都属于10.0.0.0/8网段。
该企业网络需实现以下需求：
·         每个分支机构都要访问总部的服务器设备，且传输的数据需要加密。
·         各分支机构之间不能直接进行任何通信，只能经过总部进行通信。
网络规划
将图1的网络结构抽象为如图2所示组网，其中分支机构1的公网IP地址为动态地址，分支机构2的公网IP地址为固定地址。USG_B和USG_C分别对应IP地址不固定和IP地址固定的分支机构的VPN网关。网络规划如下：
·         总部和分支机构1、总部和分支机构2之间通信数据需要加密，需分别配置IPSec VPN。
·         对于总部和分支机构1，由于只有分支机构1主动访问总部服务器，故在总部采用策略模板方式建立IPSec VPN即可。
·         对于总部和分支机构2，由于要进行互访，故只能建立点到点方式的IPSec。
·         USG_A作为总部的网关设备，连接公网的接口只有一个，故要将上述两个IPSec VPN的IPSec策略都应用到此接口上。由于每个接口上只能应用一个IPSec策略，故需采用子策略方式建立IPSec隧道。
·         由于分支机构1和分支机构2之间不能直接进行任何通信，USG_B和USG_C之间不建立任何IPSEC隧道。由于分支机构1的公网地址不固定，双方进行通信的方式如下。
1.  由USG_B向总部发起连接并建立IPSec隧道。
2.  在分支机构1、分支机构2与总部能够通过IPSec隧道安全通信之后，分支机构1和分支机构2通过USG_A进行安全通信。
图2 配置采用策略模版+子策略方式建立IPSec隧道
项目
USG_A
USG_B
USG_C
接口
(1)
GigabitEthernet 6/0/0
IP地址：10.10.1.1/24
(2)
GigabitEthernet 0/0/2
IP地址：200.1.1.1/24
(3)
GigabitEthernet 0/0/2
IP地址：位于30.1.2.1/24～30.1.2.254/24网段。
(5)
GigabitEthernet 6/0/0
IP地址：10.20.1.1/24
(4)
GigabitEthernet 0/0/2
IP地址：30.1.1.1/24
(6)
GigabitEthernet 6/0/0
IP地址：10.20.2.1/24
IPSec策略建立方式
子策略1：策略模板
子策略2：非模板
非模板
非模板
IPSec安全提议
封装模式
隧道模式
隧道模式
隧道模式
安全协议
ESP
ESP
ESP
ESP协议验证算法
SHA1
SHA1
SHA1
ESP协议加密算法
AES
AES
AES
IKE对等体
协商模式
子策略1：主模式
子策略2：主模式
主模式
主模式
预共享密钥
子策略1：Key123
子策略2：Key456
Key123
Key456
本地身份类型
子策略1：fqdn
子策略2：IP地址
fqdn
IP地址
版本
v1和v2
v1和v2
v1和v2
操作步骤
1.  配置USG_A的IPSec功能。
说明：
USG_A的基础配置过程略。基础配置包括配置相关接口的IP地址，将接口加入相应的安全区域，配置域间包过滤，配置路由等。
a.  配置访问控制列表，定义要保护的数据流。
说明：
总部网关USG_A配置若干个ACL，其中为所有的动态分支配置一个ACL，每一个静态分支创建一个ACL。ACL规则的源地址为总部和分支的所有网段地址范围，目的地址为某分支网段。
# 配置源IP地址为10.0.0.0/8、目的IP地址为10.20.1.0/24的规则。
[USG_A] acl 3000
[USG_A-acl-adv-3000] rule permit ip source 10.0.0.0 0.255.255.255 destination 10.20.1.0 0.0.0.255
[USG_A-acl-adv-3000] quit
# 配置源IP地址为10.0.0.0/8、目的IP地址为10.20.2.0/24的规则。
[USG_A] acl 3001
[USG_A-acl-adv-3001] rule permit ip source 10.0.0.0 0.255.255.255 destination 10.20.2.0 0.0.0.255
[USG_A-acl-adv-3001] quit
b.  配置USG_A到达USG_B和USG_C的静态路由，假设下一跳地址为200.1.1.2/24。
[USG_A] ip route-static 10.20.1.0 255.255.255.0 200.1.1.2
[USG_A] ip route-static 10.20.2.0 255.255.255.0 200.1.1.2
c.  创建IPSec安全提议。
d.  [USG_A] ipsec proposal tran1
e.  [USG_A-ipsec-proposal-tran1] encapsulation-mode tunnel
f.  [USG_A-ipsec-proposal-tran1] transform esp
g.  [USG_A-ipsec-proposal-tran1] esp authentication-algorithm sha1
h.  [USG_A-ipsec-proposal-tran1] esp encryption-algorithm aes
[USG_A-ipsec-proposal-tran1] quit
[USG_A] ipsec proposal tran2
[USG_A-ipsec-proposal-tran2] encapsulation-mode tunnel
[USG_A-ipsec-proposal-tran2] transform esp
[USG_A-ipsec-proposal-tran2] esp authentication-algorithm sha1
[USG_A-ipsec-proposal-tran2] esp encryption-algorithm aes
[USG_A-ipsec-proposal-tran2] quit
i.  创建IKE安全提议。
j.  [USG_A] ike proposal 10
k.  [USG_A-ike-proposal-10] authentication-method pre-share
l.  [USG_A-ike-proposal-10] authentication-algorithm sha1
[USG_A-ike-proposal-10] quit
[USG_A] ike proposal 11
[USG_A-ike-proposal-11] authentication-method pre-share
[USG_A-ike-proposal-11] authentication-algorithm sha1
[USG_A-ike-proposal-11] quit
m.  配置IKE peer。
n.  [USG_A] ike peer a1
o.  [USG_A-ike-peer-a1] ike-proposal 10
p.  [USG_A-ike-peer-a1] local-id-type fqdn USG_A
q.  [USG_A-ike-peer-a1] remote-id-type fqdn USG_B
r.  [USG_A-ike-peer-a1] pre-shared-key Key123
[USG_A-ike-peer-a1] quit
[USG_A] ike peer a2
[USG_A-ike-peer-a2] ike-proposal 11
[USG_A-ike-peer-a2] remote-address 30.1.1.1
[USG_A-ike-peer-a2] pre-shared-key Key456
[USG_A-ike-peer-a2] quit
s.  创建安全策略。
t.  [USG_A] ipsec policy-template map_temp 10
u.  [USG_A-ipsec-policy-template-map_temp-10] security acl 3000
v.  [USG_A-ipsec-policy-template-map_temp-10] proposal tran1
w.  [USG_A-ipsec-policy-template-map_temp-10] ike-peer a1
x.  [USG_A-ipsec-policy-template-map_temp-10] quit
[USG_A] ipsec policy map1 100 isakmp template map_temp
[USG_A] ipsec policy map1 11 isakmp
[USG_A-ipsec-policy-isakmp-map1-11] security acl 3001
[USG_A-ipsec-policy-isakmp-map1-11] proposal tran2
[USG_A-ipsec-policy-isakmp-map1-11] ike-peer a2
[USG_A-ipsec-policy-isakmp-map1-11] quit
说明：
同一个IPSec安全策略组中模板方式安全策略的序号必须大于直接创建的安全策略的序号。即同一个IPSec安全策略组中模板方式安全策略的优先级必须最低，否则可能导致协商失败。
y.  在接口上引用安全策略。
z.  [USG_A] interface GigabitEthernet 0/0/2
[USG_A-GigabitEthernet0/0/2] ipsec policy map1
配置完成后，可执行display ipsec policy命令查看IPSec的配置情况。出现以下显示信息说明配置成功。
===========================================
IPsec Policy Group: "map1"
Using interface: {GigabitEthernet0/0/2}
===========================================

  -----------------------------
  IPsec policy name: "map1"
  sequence number: 11
  mode: isakmp
  state: active
  -----------------------------
    security data flow : 3001
    ike-peer name:  a2
    perfect forward secrecy: None
    proposal name:  tran2
    IPsec sa local duration(time based): 22222 seconds
    sa soft-duration time-based buffer: 22200 seconds
    sa soft-duration traffic-based buffer: 22200 kilobytes
    IPsec sa local duration(traffic based): 22222 kilobytes
    IPSec sa anti-replay: use global
    IPSec sa anti-replay window-size: use global

-----------------------------
  IPsec policy name: "map1"
  sequence number: 100
  mode: template
  state: active
  -----------------------------
    policy template name: map_temp

2.  配置USG_B的IPSec功能。
a.  配置访问控制列表，定义要保护的数据流。
# 配置源IP地址为10.20.1.0/24、目的地址为10.0.0.0/8的规则。
[USG_B] acl 3000
[USG_B-acl-adv-3000] rule permit ip source 10.20.1.0 0.0.0.255 destination 10.0.0.0 0.255.255.255
[USG_B-acl-adv-3000] quit
b.  配置USG_B到达USG_A和USG_C的静态路由。
说明：
假设USG_B目前的公网IP地址为30.1.2.1，到达USG_A和USG_C的下一跳地址为30.1.2.2。
[USG_B] ip route-static 10.10.1.0 255.255.255.0 30.1.2.2
[USG_B] ip route-static 10.20.2.0 255.255.255.0 30.1.2.2
c.  创建IPSec安全提议。
d.  [USG_B] ipsec proposal tran1
e.  [USG_B-ipsec-proposal-tran1] encapsulation-mode tunnel
f.  [USG_B-ipsec-proposal-tran1] transform esp
g.  [USG_B-ipsec-proposal-tran1] esp authentication-algorithm sha1
h.  [USG_B-ipsec-proposal-tran1] esp encryption-algorithm aes
[USG_B-ipsec-proposal-tran1] quit
i.  创建IKE安全提议。
j.  [USG_B] ike proposal 10
k.  [USG_B-ike-proposal-10] authentication-method pre-share
l.  [USG_B-ike-proposal-10] authentication-algorithm sha1
[USG_B-ike-proposal-10] quit
m.  配置IKE peer。
n.  [USG_B] ike peer b
o.  [USG_B-ike-peer-b] ike-proposal 10
p.  [USG_B-ike-peer-b] local-id-type fqdn USG_B
q.  [USG_B-ike-peer-b] remote-id-type fqdn USG_A
r.  [USG_B-ike-peer-b] pre-shared-key Key123
s.  [USG_B-ike-peer-b] remote-address 200.1.1.1
[USG_B-ike-peer-b] quit
t.  创建安全策略。
u.  [USG_B] ipsec policy map1 10 isakmp
v.  [USG_B-ipsec-policy-isakmp-map1-10] security acl 3000
w.  [USG_B-ipsec-policy-isakmp-map1-10] proposal tran1
x.  [USG_B-ipsec-policy-isakmp-map1-10] ike-peer b
[USG_B-ipsec-policy-isakmp-map1-10] quit
y.  在物理接口上引用安全策略。
z.  [USG_B] interface GigabitEthernet 0/0/2
[USG_B-GigabitEthernet0/0/2] ipsec policy map1
配置完成后，可执行display ipsec policy命令查看IPSec的配置情况。出现以下显示信息说明配置成功。
[USG_B] display ipsec policy name map1

===========================================
IPsec Policy Group: "map1"
Using interface: {GigabitEthernet0/0/2}
===========================================

  -----------------------------
  IPsec policy name: "map1"
  sequence number: 10
  mode: isakmp
  state: active
  -----------------------------
    security data flow : 3000
    ike-peer name:  b
    perfect forward secrecy: None
    proposal name:  tran1
    IPsec sa local duration(time based): 22222 seconds
    sa soft-duration time-based buffer: 22200 seconds
    sa soft-duration traffic-based buffer: 22200 kilobytes
    IPsec sa local duration(traffic based): 22222 kilobytes
    IPSec sa anti-replay: use global
    IPSec sa anti-replay window-size: use global
3.  配置USG_C的IPSec功能。
a.  配置访问控制列表，定义要保护的数据流。
# 配置源IP地址为10.20.2.0/24、目的IP地址为10.0.0.0/8的规则。
[USG_C] acl 3000
[USG_C-acl-adv-3000] rule permit ip source 10.20.2.0 0.0.0.255 destination 10.0.0.0 0.255.255.255
[USG_C-acl-adv-3000] quit
b.  配置USG_C到达USG_A和USG_B的静态路由，假设下一跳地址为30.1.1.2。
c.  [USG_C] ip route-static 10.10.1.0 255.255.255.0 30.1.1.2
[USG_C] ip route-static 10.20.1.0 255.255.255.0 30.1.1.2
d.  创建IPSec安全提议。
e.  [USG_C] ipsec proposal tran1
f.  [USG_C-ipsec-proposal-tran1] encapsulation-mode tunnel
g.  [USG_C-ipsec-proposal-tran1] transform esp
h.  [USG_C-ipsec-proposal-tran1] esp authentication-algorithm sha1
i.  [USG_C-ipsec-proposal-tran1] esp encryption-algorithm aes
[USG_C-ipsec-proposal-tran1] quit
j.  创建IKE安全提议。
k.  [USG_C] ike proposal 10
l.  [USG_C-ike-proposal-10] authentication-method pre-share
m.  [USG_C-ike-proposal-10] authentication-algorithm sha1
[USG_C-ike-proposal-10] quit
n.  配置IKE peer。
o.  [USG_C] ike peer c
p.  [USG_C-ike-peer-c] ike-proposal 10
q.  [USG_C-ike-peer-c] pre-shared-key Key456
r.  [USG_C-ike-peer-c] remote-address 200.1.1.1
[USG_C-ike-peer-c] quit
s.  创建安全策略。
t.  [USG_C] ipsec policy map1 10 isakmp
u.  [USG_C-ipsec-policy-isakmp-map1-10] security acl 3000
v.  [USG_C-ipsec-policy-isakmp-map1-10] proposal tran1
w.  [USG_C-ipsec-policy-isakmp-map1-10] ike-peer c
[USG_C-ipsec-policy-isakmp-map1-10] quit
x.  在物理接口上引用安全策略。
y.  [USG_C] interface GigabitEthernet 0/0/2
[USG_C-GigabitEthernet0/0/2] ipsec policy map1
配置完成后，可执行display ipsec policy命令查看IPSec的配置情况。出现以下显示信息说明配置成功。
[USG_C] display ipsec policy name map1

===========================================
IPsec Policy Group: "map1"
Using interface: {GigabitEthernet0/0/2}
===========================================

  -----------------------------
  IPsec policy name: "map1"
  sequence number: 10
  mode: isakmp
  state: active
  -----------------------------
    security data flow : 3000
    ike-peer name:  c
    perfect forward secrecy: None
    proposal name:  tran1
    IPsec sa local duration(time based): 22222 seconds
    sa soft-duration time-based buffer: 22200 seconds
    sa soft-duration traffic-based buffer: 22200 kilobytes
    IPsec sa local duration(traffic based): 22222 kilobytes
    IPSec sa anti-replay: use global
    IPSec sa anti-replay window-size: use global
结果验证
1.  分支机构2和总部之间可以互相访问，双方都可以触发IPSEC SA的建立。如用总部来ping分支机构2内网设备，可以ping通，且分别在USG_A和USG_C上执行display ike sa、display ipsec sa会显示安全联盟的建立情况。以USG_A为例，出现以下显示说明IKE安全联盟、IPSec安全联盟建立成功。
2.  <USG_A>display ike sa
3.
4.  current ike sa number: 2
5.    ---------------------------------------------------------------------
6.       conn-id     peer                     flag        phase     vpn
7.    ---------------------------------------------------------------------
8.       40001       30.1.1.1                 RD|ST       v2:2      public
9.       1           30.1.1.1                 RD|ST       v2:1      public
10.
11.   flag meaning
12.   RD--READY    ST--STAYALIVE  RL--REPLACED      FD--FADING
13.   TO--TIMEOUT  TD--DELETING   NEG--NEGOTIATING  D--DPD
14. <USG_A>display ipsec sa brief
15.
16. current ipsec sa number: 2
17. current ipsec tunnel number: 1
18. --------------------------------------------------------------
19. Src Address     Dst Address     SPI          Protocol  Algorithm
20. -------------------------------------------------------------------
21. 30.1.1.1        200.1.1.1       49286024     ESP       E:AES;A:HMAC-SHA1-96;
200.1.1.1       30.1.1.1        239495571    ESP       E:AES;A:HMAC-SHA1-96;
22. 分支机构1能够主动访问总部。配置成功后，在分支机构1执行ping操作可以ping通总部。分别在USG_A和USG_B上执行display ike sa、display ipsec sa会显示安全联盟的建立情况。以USG_A为例，出现以下显示说明IKE安全联盟、IPSec安全联盟建立成功。
23. <USG_A>display ike sa
24.
25. current ike sa number: 4
26.   ---------------------------------------------------------------------
27.      conn-id     peer                     flag        phase     vpn
28.   ---------------------------------------------------------------------
29.      40001       30.1.1.1                 RD|ST       v2:2      public
30.      1           30.1.1.1                 RD|ST       v2:1      public
31.      40003       30.1.2.1                 RD          v2:2      public
32.      40002       30.1.2.1                 RD          v2:1      public
33.
34.   flag meaning
35.   RD--READY    ST--STAYALIVE  RL--REPLACED      FD--FADING
36.   TO--TIMEOUT  TD--DELETING   NEG--NEGOTIATING  D--DPD
37. <USG_A>display ipsec sa brief
38.
39. current ipsec sa number: 4
40. current ipsec tunnel number: 2
41. --------------------------------------------------------------
42. Src Address     Dst Address     SPI          Protocol  Algorithm
43. -------------------------------------------------------------------
44. 30.1.1.1       200.1.1.1       142427840    ESP       E:AES;A:HMAC-SHA1-96;
45. 200.1.1.1       30.1.1.1       52885424     ESP       E:AES;A:HMAC-SHA1-96;
46. 30.1.2.1       200.1.1.1       49286024     ESP       E:AES;A:HMAC-SHA1-96;
200.1.1.1       30.1.2.1       239495571    ESP       E:AES;A:HMAC-SHA1-96;
47. 执行命令display ipsec statistics可以查看被加密的数据包的变化，即它们之间的数据传输将被加密。以USG_A为例。
48. <USG_A>display ipsec statistics
49.   the security packet statistics:
50.     input/output security packets: 9/9
51.     input/output security bytes: 756/756
52.     input/output dropped security packets: 0/0
53.     the encrypt packet statistics
54.       send sae:9, recv sae:9, send err:0
55.       local cpu:9, other cpu:0, recv other cpu:0
56.       intact packet:2, first slice:0, after slice:0
57.     the decrypt packet statistics
58.       send sae:9, recv sae:9, send err:0
59.       local cpu:9, other cpu:0, recv other cpu:0
60.       reass  first slice:0, after slice:0, len err:0
61.     dropped security packet detail:
62.       no enough memory: 0, too long: 0
63.       can't find SA: 0, wrong SA: 0
64.       authentication: 0, replay: 0
65.       front recheck: 0, after recheck: 0
66.       exceed byte limit: 0, exceed packet limit: 0
67.       change cpu enc: 0, dec change cpu: 0
68.       change datachan: 0, fib search: 0
69.       rcv enc(dec) form sae said err: 0, 0
70.       port number error: 0
71.       send port: 0, output l3: 0, l2tp input: 0
72.   negotiate about packet statistics:
73.     IP packet  ok:0, err:0, drop:0
74.     IP rcv other cpu   to ike:0, drop:0
75.     IKE packet inbound   ok:2, err:0
76.     IKE packet outbound  ok:2, err:0
77.     SoftExpr:0, HardExpr:0, DPDOper:0, SwapSa:0
    ModpCnt: 2, SaeSucc: 2, SoftwareSucc: 0
当两条IPSec隧道都建立成功后，分支机构1与分支机构2能够互相访问，且两者之间的访问是经过了总部设备来实现的。

VPN配置案例汇总、VPN汇总（列表、list、全）vpnlist
http://www.zh-cjh.com/wenzhangguilei/1193.html
文章归类、所有文章列表、LISTLIST
http://www.zh-cjh.com/wangzhangonggao/2195.html

推荐本站淘宝优惠价购买喜欢的宝贝:

本文链接：https://hqyman.cn/post/4674.html 非本站原创文章欢迎转载，原创文章需保留本站地址！

分享到：

休息一下~~

作者:hqy | 分类:Network | 浏览:471 | 评论:0

« 上一篇下一篇 »

发表评论:

◎欢迎参与讨论，请在这里发表您的看法、交流您的观点。

« 2024年12月 »
一	二	三	四	五	六	日
						1
2	3	4	5	6	7	8
9	10	11	12	13	14	15
16	17	18	19	20	21	22
23	24	25	26	27	28	29
30	31

控制面板: 您好，欢迎到访网站！
登录后台查看权限
个人中心修改密码

随心随性: 沧海月明珠有泪，蓝田日暖玉生烟。

网站分类

搜索

最新留言

文章归档

网站收藏

一个和谐有爱的空间

友情链接

请先登录再评论，若不是会员请先注册！

您的IP地址是: