IPSEC是什么，如何配置？

发布时间：2023-03-29

点击量：2280

功能介绍

使用IPSEC静态隧道组网时，需要在每个IPSEC隧道两端手动进行隧道配置，无需动态协商。但随着加密点和隧道的增多，对IPSEC隧道的配置和维护难度也增加，因此静态隧道技术一般应用在加密点比较少的场景。

应用场景

若总公司和分公司各自的内网要能够互相共享资料，且希望资料在网络传输中不易被黑客截获破解窃取，保证资料的安全保密，此时您可以在总公司和分公司的网络设备上建立IPSec VPN，它即能实现总公司和分公司之间能够直接互相访问资源，也能对数据传输进行加密，保证了数据的安全性。若总部和分公司均是固定IP地址的方式，那么可以采用静态IPSec VPN。

工作原理

IPSec VPN分为两个协商阶段，ISAKMP阶段及IPSec阶段，ISAKMP阶段主要是协商两端的保护策略，验证对等体的合法性，产生加密密钥，保护第二阶段IPSec SA的协商。第二阶段IPSec 阶段，主要是确定IPSec SA的保护策略，使用AH还是ESP、传输模式还是隧道模式、被保护的数据是什么等等。第二阶段协商的目标就是产生真正用于保护IP数据的IPSec SA。 IPSec通信实体双方对于一、二阶段的这些安全策略必须达成一致，否则IPSec协商将无法通过。

一、组网需求

两个局域网分别通过两台RSR路由器接入internet（或者专网），同时这两个局域网的网段192.168.0.0/24和192.168.1.0/24间有通信需求，并且要对通信流量进行加密。

该场景通过在两台RSR路由器上部署静态的IPSEC VPN来实现局域网间的通信及数据加密需求。

二、组网拓扑

三、配置要点

1、配置路由器R1和R2，使R1和R2能够正常访问互联网，并互相能够ping通。

2、在R1配置静态IPSEC VPN隧道

（1）配置ipsec感兴趣流

（2）配置isakmp策略

（3）配置预共享密钥

（4）配置ipsec加密转换集

（5）配置ipsec加密图

（6）将加密图应用到接口

3、在R1配置路由，将局域网2网段路由指向出口

4、在R2配置静态IPSEC VPN隧道

（1）配置ipsec感兴趣流

（2）配置isakmp策略

（3）配置预共享密钥

（4）配置ipsec加密转换集

（5）配置ipsec加密图

（6）将加密图应用到接口

5、在R2配置路由，将局域网1网段路由指向出口

注意：

·内网1和内网2需要互访的IP网段不能重叠。

·RSR50/RSR50E涉及IPSEC功能必须配备AIM-VPN加密卡（如何查看RSR50/RSR50E是否已经配备AIM-VPN加密卡，请查看本文最后的附录部分）

四、配置步骤

1、配置路由器R1和R2，使R1和R2能够正常访问互联网，并互相能够ping通。

2、在R1配置静态IPSEC VPN隧道

（1）配置ipsec感兴趣流

access-list 101 permit ip 192.168.0.0 0.0.0.255 192.168.1.0 0.0.0.255 //指定感兴趣流为源地址192.168.0.0/24，目的地址为192.168.1.0/24的网段。

（2）配置isakmp策略

crypto isakmp keepalive 5 periodic //配置IPSEC DPD探测功能

crypto isakmp policy 1//创建新的isakmp策略

authentication pre-share //指定认证方式为“预共享密码”，如使用数字证书配置“authentication rsa-sig”，如使用数字信封配置“authentication digital-email”。

group 2 //设置DH组为group2

encryption 3des//指定使用3DES进行加密

（3）配置预共享密钥

crypto isakmp key 0 ruijie address 10.10.10.2 //指定peer 10.10.10.2的预共享密钥为“ruijie”，对端也必须配置一致的密钥。如使用数字证书/信封认证则无需配置。

（4）配置ipsec加密转换集

crypto ipsec transform-set myset esp-des esp-md5-hmac //指定ipsec使用esp封装des加密、MD5检验

（5）配置ipsec加密图

crypto map mymap 5 ipsec-isakmp //新建名称为“mymap”的加密图

set peer 10.10.10.2//指定peer地址

set transform-set myset//指定加密转换集“myset”

match address 101//指定感兴趣流为ACL 101

（6）将加密图应用到接口

interface F0/0

crypto map mymap

3、在R1配置路由，将局域网2网段路由指向出口

ip route 192.168.1.0 255.255.255.0 10.10.10.2

4、在R2配置静态IPSEC VPN隧道

（1）配置ipsec感兴趣流

access-list 101 permit ip 192.168.1.0 0.0.0.255 192.168.0.0 0.0.0.255 //指定感兴趣流为源地址192.168.1.0/24，目的地址为192.168.0.0/24的网段。

（2）配置isakmp策略

crypto isakmp policy 1//创建新的isakmp策略

authentication pre-share //指定认证方式为“预共享密码”，如使用数字证书配置“authentication rsa-sig”，如使用数字信封配置“authentication digital-email”。

group 2 //设置DH组为group2

encryption 3des//指定使用3DES进行加密

（3）配置预共享密钥

crypto isakmp key 0 ruijie address 10.10.10.1 //指定peer 10.10.10.1的预共享密钥为“ruijie”，对端也必须配置一致的密钥。如使用数字证书/信封认证则无需配置。

（4）配置ipsec加密转换集

crypto ipsec transform-set myset esp-des esp-md5-hmac //指定ipsec使用esp封装des加密、MD5检验

（5）配置ipsec加密图

crypto map mymap 5 ipsec-isakmp //新建名称为“mymap”的加密图

set peer 10.10.10.1//指定peer地址

set transform-set myset//指定加密转换集“myset”

match address 101//指定感兴趣流为ACL 101

（6）将加密图应用到接口

interface FastEthernet0/0

crypto map mymap

5、在R2配置路由，将局域网2网段路由指向出口

ip route 192.168.0.0 255.255.255.0 10.10.10.1

五、配置验证

1、在R1上以源地址192.168.0.1 ping 192.168.1.1，能够正常通信

R1#ping 192.168.1.1 source 192.168.0.1

Sending 5, 100-byte ICMP Echoes to 192.168.1.1, timeout is 2 seconds:

< press Ctrl+C to break >

.!!!!

2、在R1上查看isakmp、ipsec sa是否已经协商成功

Ruijie#show crypto isakmp sa //查看isakmp sa协商情况

destination source state conn-id lifetime(second)

10.10.10.2 10.10.10.1 IKE_IDLE 0 84129 //isakmp协商成功，状态为IKE_IDLE

Ruijie#show crypto ipsec sa//查看ipsec sa协商情况

Interface: GigabitEthernet 0/0

Crypto map tag:mymap //接口下所应用的加密图名称

local ipv4 addr 10.10.10.1//进行isakmp/ipsec协商时所使用的IP地址

media mtu 1500

==================================

sub_map type:static, seqno:5, id=0

local ident (addr/mask/prot/port): (192.168.0.0/0.0.0.255/0/0)) //感兴趣流源地址

remote ident (addr/mask/prot/port): (192.168.1.0/0.0.0.255/0/0)) //感兴趣流目的地址

PERMIT

#pkts encaps: 4, #pkts encrypt: 4, #pkts digest 4//成功封装、加密、摘要报文个数

#pkts decaps: 4, #pkts decrypt: 4, #pkts verify 4//成功解封装，解密、检验报文个数，有数据通过IPSEC加密进行通信时，重复执行show crypto ipsec sa命令可以看到以上统计个数会不断增加。

#send errors 0, #recv errors 0//发送、接收错误报文个数，正常情况下该统计不增加。

Inbound esp sas:

spi:0x2ecca8e (49072782)//ipsec sa入方向的spi

transform: esp-des esp-md5-hmac //ipsec加密转换集为esp-des esp-md5-hmac

in use settings={Tunnel Encaps,}//采用隧道模式

crypto map mymap 5

sa timing: remaining key lifetime (k/sec): (4606998/1324) //离安全联盟的生命周期到期还有：4606998千字节/1324秒

IV size: 8 bytes //IV向量长度为8

Replay detection support:Y //抗重播处理

Outbound esp sas:

spi:0x5730dd4b (1462820171)//ipsec sa出方向的spi，只有看到了inbound spi和outbound spi才说明ipsec sa已经协商成功。

transform: esp-des esp-md5-hmac

in use settings={Tunnel Encaps,}

crypto map mymap 5

sa timing: remaining key lifetime (k/sec): (4606998/1324)

IV size: 8 bytes

Replay detection support:Y

您可能还关注的问题

EDN体验驱动网络解决方案

AI Fabric智算中心网络解决方案

Wi-Fi 7医疗新一代全院零漫游解决方案

极简以太全光解决方案3.X

锐捷网络出口网安融合解决方案

安全云办公3.0解决方案

IPSEC是什么，如何配置？

•【经典案例】域用户自动登录失败提示用户名或密码错误

•【经典案例】域用户自动登录失败提示用户名或密码错误

•【经典案例】VDI终端或软客户端登陆虚拟机后闪退

•【经典案例】VDI终端或软客户端登陆虚拟机后闪退

•【经典案例】8082平台提示错误

•【经典案例】8082平台提示错误

•域用户自动登录失败提示：无法使用此凭据登录

•域用户自动登录失败提示：无法使用此凭据登录

•【经典案例】云桌面闪屏问题排查

•【经典案例】云桌面闪屏问题排查

请选择服务项目