配置点对点方式建立IPSec 隧道

配置点对点方式建立IPSec 隧道

对于小、中、大型的动态网络环境中，都推荐使用IKE 协商建立IPSec 隧道。采用IKE方式建立IPSec 隧道与手工方式相比比较简单，只需要配置好IKE 协商安全策略的信息，由IKE 自动协商来创建和维护安全联盟。本例将使用路由接口实现IKEv2 方式协商的IPSec 隧道的配置。

组网需求

如图9-15 所示，某公司组网如下：

网络A 和网络B 通过USG_A 和USG_B 连接到Internet。

USG_A 和USG_B 均为固定公网地址。

USG_A 和USG_B 路由可达。

该网络需实现以下需求：

网络A 和网络B 之间要相互传输数据，且传输的数据需要进行加密。 图9-15 配置点对点方式建立IPSec

隧道组网图

网络规划

根据组网需求，网络规划如下：

由于两个网络之间要传输内网数据，而路由不可达，所以需要建立一条VPN 隧 道，实现两个网络之间的互访。

由于传输数据需要加密，采用IPSec VPN 方式建立隧道。

两个网络的公网IP 地址固定不变，且两个网络之间要互相访问，需要建立点到点方式的IPSec 隧道，使两个网络中的设备都可以主动发起连接。

操作步骤

步骤1 配置相关接口加入安全区域。

# 配置USG_A 接口加入安全区域。

[USG_A] firewall zone trust

[USG_A-zone-trust] add interface GigabitEthernet 0/0/0

[USG_A] firewall zone untrust

[USG_A-zone-untrust] add interface GigabitEthernet 0/0/1

Secospace USG2100/2200/5100

# 配置USG_B 接口加入安全区域。

[USG_B] firewall zone trust

[USG_B-zone-trust] add interface GigabitEthernet 0/0/0

[USG_B] firewall zone untrust

[USG_B-zone-untrust] add interface GigabitEthernet 0/0/1

步骤2 开启域间包过滤规则，确保各种业务顺利进行。

说明

当对网络安全性要求较高时，建议通过policy 命令对域间数据流进行访问控制。 # 配置USG_A 域间包过滤规则。

[USG_A] firewall packet-filter default permit all

# 配置USG_B 域间包过滤规则。

[USG_B] firewall packet-filter default permit all

步骤3 如图9-15 所示配置USG_A 和USG_B 的各接口IP 地址，具体配置过程略。 步骤4 配置USG_A 和USG_B 的ACL，定义各自要保护的数据流。

# 配置USG_A 的ACL，配置源IP 地址为10.1.1.0/24、目的IP 地址为10.1.2.0/24 的规则。

[USG_A] acl 3000

[USG_A-acl-adv-3000] rule permit ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255

[USG_A-acl-adv-3000] quit

# 配置USG_B 的访问控制列表，配置源IP 地址为10.1.2.0/24、目的IP 地址为10.1.1.0/24的规则。

[USG_B] acl 3000

[USG_B-acl-adv-3000] rule permit ip source 10.1.2.0 0.0.0.255 destination 10.1.1.0 0.0.0.255

[USG_B-acl-adv-3000] quit

步骤5 分别配置USG_A 和USG_B 到对端的静态路由。

# 配置USG_A 到网络B 的静态路由，此处假设到达网络B 的下一跳地址为 202.38.163.2。

[USG_A] ip route-static 10.1.2.0 255.255.255.0 202.38.163.2

# 配置USG_B 到网络A 的静态路由，此处假设到达网络A 的下一跳地址为 202.38.169.2。

[USG_B] ip route-static 10.1.1.0 255.255.255.0 202.38.169.2

步骤6 分别在USG_A 和USG_B 上创建IPSec 安全提议。

# 在USG_A 上配置IPSec 安全提议。

[USG_A] ipsec proposal tran1

[USG_A-ipsec-proposal-tran1] encapsulation-mode tunnel

# 缺省情况下，IPSec 协议的封装模式为隧道模式，可以不配置。

[USG_A-ipsec-proposal-tran1] transform esp

# 缺省情况下，IPSec 的安全协议为ESP，可以不配置。

[USG_A-ipsec-proposal-tran1] esp authentication-algorithm sha1

[USG_A-ipsec-proposal-tran1] esp encryption-algorithm des

# 缺省情况下，ESP 协议的加密算法为DES，可以不配置。

[USG_A-ipsec-proposal-tran1] quit

# 在USG_B 上配置IPSec 安全提议。

[USG_B] ipsec proposal tran1

[USG_B-ipsec-proposal-tran1] encapsulation-mode tunnel

# 缺省情况下，IPSec 协议的封装模式为隧道模式，可以不配置。

[USG_B-ipsec-proposal-tran1] transform esp

# 缺省情况下，IPSec 的安全协议为ESP，可以不配置。

[USG_B-ipsec-proposal-tran1] esp authentication-algorithm sha1

[USG_B-ipsec-proposal-tran1] esp encryption-algorithm des

# 缺省情况下，ESP 协议的加密算法为DES，可以不配置。

[USG_B-ipsec-proposal-tran1] quit

步骤7 分别在USG_A 和USG_B 上创建IKE 安全提议。

# 在USG_A 上配置IKE 安全提议。

[USG_A] ike proposal 10

[USG_A-ike-proposal-10] authentication-method pre-share

# 缺省情况下，IKE 的认证方式为预共享密钥方式，可以不配置。

[USG_A-ike-proposal-10] authentication-algorithm sha1

# 缺省情况下，IKE 的认证算法为SHA1，可以不配置。

[USG_A-ike-proposal-10] integrity-algorithm hmac-sha1-96

# 缺省情况下，IKE 的完整性算法为HMAC-SHA1-96，可以不配置。

[USG_A-ike-proposal-10] quit

# 在USG_B 上配置IKE 安全提议。

[USG_B] ike proposal 10

[USG_B-ike-proposal-10] authentication-method pre-share

# 缺省情况下，IKE 的认证方式为预共享密钥方式，可以不配置。

[USG_B-ike-proposal-10] authentication-algorithm sha1

# 缺省情况下，IKE 的认证算法为SHA1，可以不配置。

[USG_B-ike-proposal-10] integrity-algorithm hmac-sha1-96

# 缺省情况下，IKE 的完整性算法为HMAC-SHA1-96，可以不配置。

[USG_B-ike-proposal-10] quit

步骤8 配置IKE peer。

说明

IKE 对等体默认使用IKEv2 协商方式。 …… 此处隐藏：8628字，全部文档内容请下载后查看。喜欢就下载吧 ……