操作步骤

• 配置虚拟隧道接口

  
  

  
  

• 执行命令ip address ip-address { mask | mask-length } [ sub ]，手工配置Tunnel接口的IPv4私网地址。

• （只针对IPSec类型的Tunnel接口）执行命令ip address ike-negotiated，配置通过IKEv2协商为Tunnel接口申请IPv4地址。

• IPSec：Tunnel接口建立IPSec隧道，保证在Internet上传输单播数据的安全保密性。

• GRE：Tunnel接口实现GRE over IPSec功能，除了可以传输单播数据，还可以传输组播数据。先对数据进行GRE封装，再对GRE封装后的报文进行IPSec加密，完成对数据安全可靠的传输。

• mGRE（gre参数后加p2mp参数）：Tunnel接口实现DSVPN功能，请参见DSVPN配置。

1. 执行命令system-view，进入系统视图。

2. 执行命令interface tunnel interface-number，进入Tunnel接口视图。

3. 执行命令tunnel-protocol { gre [ p2mp ] | ipsec }，配置隧道接口的封装模式。

   

   隧道接口的封装模式根据实际需要设置为IPSec、GRE或者mGRE方式，才能在Tunnel口下绑定IPSec安全框架。

4. 执行命令ip address ip-address { mask | mask-length } [ sub ]，配置Tunnel接口的IPv4私网地址。

5. 根据实际需要任选如下配置之一：

6. 执行命令source { [ vpn-instance vpn-instance-name ] source-ip-address | interface-type interface-number [ standby ] }，配置Tunnel接口的源地址或源接口。

   其中vpn-instance vpn-instance-name参数只在隧道接口的封装模式为IPSec或mGRE方式时支持。

   

   若Tunnel接口的源地址为某接口动态获取的IP地址，建议配置source时指定为源接口，避免当该地址变化时影响IPSec配置。

7. （可选）执行命令destination [ vpn-instance vpn-instance-name ] dest-ip-address，配置Tunnel接口的目的地址。

   当IPSec虚拟隧道接口的目的地址未配置时，可使用IPSec安全框架引用的IKE对等体下配置的对端地址主动发起协商。当IPSec虚拟隧道接口下的目的地址和IKE对等体下的对端地址均未配置时，本端只能被动接受对端发起的协商。

   如果隧道接口的封装模式设置为GRE方式，则两端都需要配置目的地址。

8. （可选）执行命令tunnel pathmtu enable，使能IPSec隧道的路径MTU（Maximum Transmission Unit）值学习功能。

   缺省情况下，系统未使能IPSec隧道的路径MTU值学习功能。

   

   该命令只支持隧道接口的封装模式设置为IPSec方式或GRE方式，并且只对配置了destination的隧道接口有效。

9. 执行命令ipsec profile profile-name [ shared ]，在Tunnel接口上应用IPSec安全框架，使其具有IPSec的保护功能。

   缺省情况下，Tunnel接口上没有应用IPSec安全框架。

   一个Tunnel接口只能应用一个IPSec安全框架。未指定shared时，一个IPSec安全框架最多应用在4个Tunnel接口上；指定shared时，一个IPSec安全框架最多应用在64个Tunnel接口上。

   仅mGRE类型的Tunnel接口支持配置shared参数。

   多个Tunnel接口指定同一个出接口时，这些Tunnel接口必须应用相同的IPSec安全框架，并配置shared参数，否则两端无法建立IPSec隧道。

   指定shared时，不支持source命令指定standby参数。

   当设备IPSec隧道数目大于设备规格的50%时，执行命令undo ipsec profile可能会导致设备出现短时间CPU占用率高的告警，在所有SA清除后，CPU占用率会恢复正常。

10. （可选）执行命令standby interface interface-type interface-number [ priority ]，配置主Tunnel接口的备份Tunnel接口并配置其优先级。

    缺省情况下，系统无备份Tunnel接口。

    为了提高网络的可靠性，总部提供两台及两台以上设备供分支网关接入。虚拟隧道接口方式建立IPSec隧道时，设备支持分支网关配置备份Tunnel接口并应用IPSec安全框架，实现虚拟隧道接口方式IPSec隧道的主备链路功能。同时，还需配置heartbeat或对等体存活检测机制，使得隧道故障时主备Tunnel能够快速发生切换。

• 配置虚拟隧道模板接口

  
  

  
  

• 执行命令ip address ip-address { mask | mask-length } [ sub ]，配置Tunnel-Template接口的IPv4私网地址。

• 执行命令ip address unnumbered interface interface-type interface-number，配置Tunnel-Template接口借用其他接口的IP地址。

1. 执行命令system-view，进入系统视图。

2. 执行命令interface tunnel-template interface-number，进入Tunnel-Template接口视图。

3. 配置Tunnel-Template接口地址。

   以上两条命令配置一条即可。

4. 执行命令tunnel-protocol ipsec，配置Tunnel-Template接口的封装模式为IPSec方式。

5. 执行命令source { [ vpn-instance vpn-instance-name ] source-ip-address | interface-type interface-number }，配置Tunnel-Template接口的源地址或源接口。

   

   若Tunnel-Template接口的源地址为某接口动态获取的IP地址，建议配置source时指定为源接口，避免当该地址变化时影响IPSec配置。

6. （可选）执行命令tunnel pathmtu enable，使能IPSec隧道的路径MTU（Maximum Transmission Unit）值学习功能。

   缺省情况下，系统未使能IPSec隧道的路径MTU值学习功能。

7. 执行命令ipsec profile profile-name，在Tunnel-Template接口上应用IPSec安全框架，使其具有IPSec的保护功能。

   缺省情况下，Tunnel-Template接口上没有应用IPSec安全框架。

   一个Tunnel-Template接口只能应用一个IPSec安全框架。一个IPSec安全框架也只能应用到一个Tunnel-Template接口上。

   当设备IPSec隧道数目大于设备规格的50%时，执行命令undo ipsec profile可能会导致设备出现短时间CPU占用率高的告警，在所有SA清除后，CPU占用率会恢复正常。