【新华三】IPsec VPN 实验配置（地址固定）

news2024/11/18 9:40:36

【新华三】IPsec VPN 实验配置（地址固定）

  • 注意
  • 实验需求
  • 配置思路
  • 配置命令
    • 拓扑
    • R1
      • 基础配置
      • 配置第一阶段 IKE SA
      • 配置第二阶段 IPsec SA
    • ISP_R2
      • 基础配置
    • R3
      • 基础配置
      • 配置第一阶段 IKE SA
      • 配置第二阶段 IPsec SA
    • PC
      • PC1
      • PC2
  • 检查
    • 建立成功
      • 查看命令
      • 清除IKE / IPsec SA命令
  • 配置文档

在这里插入图片描述

注意

因为本篇文章，就是IPsec的实验配置的话，它们两端的IP地址是固定的
那么就用第一阶段的主模式（Main Mode）
和第二阶段的快速模式（Quick Mode）就好啦
后面会有一个地址不固定的情况下，这个就需要用到野蛮模式的，也就是第一阶段会更改模式啦

实验需求

R1为企业总部网关，R3为企业分部网关，分部与总部通过公网建立通信。分部子网为202.101.23.0/24，总部子网为202.101.12.0/24。

企业希望对分部子网与总部子网之间相互访问的流量进行安全保护。分部与总部通过公网建立通信，可以在分部网关与总部网关之间建立一个IPSec隧道来实施安全保护。

在这里插入图片描述

配置思路

  1. 基础配置, 配置接口的IP地址和到对端的静态路由，保证两端路由可达。

  2. 第一阶段 IKE SA
    ① 配置IKE安全提议，定义IKE保护数据流方法
    ② 配置IKE对等体，定义对等体间IKE协商时的属性
    ③ 配置IKE profile，把前面两个关联在一起

  3. 第二阶段 IPsec SA
    ① 配置ACL，以定义需要IPSec保护的数据流
    ② 配置IPSec安全提议，定义IPSec的保护方法
    ③ 配置安全策略，并引用ACL、IPSec安全提议和IKE对等体，确定对何种数据流采取何种保护方法

  4. 在接口上应用安全策略组，使接口具有IPSec的保护功能

IPsec VPN 本质：阶段一保护阶段二 阶段二保护数据

配置命令

拓扑

在这里插入图片描述

R1

基础配置

配置R1的基础配置，再用默认路由实现公网可达

[H3C]sysn R1
[R1]undo info-center enable 

[R1]int g0/0
[R1-GigabitEthernet0/0]ip address 202.101.12.1 24
[R1-GigabitEthernet0/0]qu

[R1]int g0/1
[R1-GigabitEthernet0/1]ip address 192.168.10.254 24
[R1-GigabitEthernet0/1]qu

[R1]ip route-static 0.0.0.0 0.0.0.0 202.101.12.2          ##配置默认路由指向ISP_R2运营商，实现公网可达

配置第一阶段 IKE SA

协商出IKE SA ，对第二阶段IPsecSA的协商过程做保护

## 配置R1的IKE安全提议，名字为 1
[R1]ike proposal 1   ## ike的提案（需要用什么）
[R1-ike-proposal-1]encryption-algorithm 3des-cbc        ## 用3des加密IKE
[R1-ike-proposal-1]authentication-algorithm sha256      ## IKE用sha256 认证
[R1-ike-proposal-1]dh group5                            ## IKE 处于group5
[R1-ike-proposal-1]qu

## 采用PSK，配置与对等体的信息，钥匙串名字为 1
[R1]ike keychain 1  
[R1-ike-keychain-1]pre-shared-key address 202.101.23.3 key simple 520
[R1-ike-keychain-1]qu

## 将上面两个整合在一起，匹配对等体，profile 名字为 1
[R1]ike profile 1 
[R1-ike-profile-1]keychain 1             ## 指定引用的IKE keychain为keychain 1
[R1-ike-profile-1]proposal 1             ## 指定引用的IKE proposal为proposal 1
[R1-ike-profile-1]match remote identity address 202.101.23.3   ## 指定对端的IP地址
[R1-ike-profile-1]qu

配置第二阶段 IPsec SA

在阶段1建立的IKE SA的保护下完成IPSec SA的协商

## IPSec SA的创建，转换集，名字为 myset
[R1]ipsec transform-set myset
[R1-ipsec-transform-set-myset]encapsulation-mode tunnel           ## 流量以隧道的方式传输
[R1-ipsec-transform-set-myset]esp encryption-algorithm 3des-cbc   ## 数据加密算法
[R1-ipsec-transform-set-myset]esp authentication-algorithm sha256 ## 身份认证算法
[R1-ipsec-transform-set-myset]qu

## 配置高级ACL，匹配子网192.168.10.0/24去子网192.168.20.0/24的数据
[R1]acl advanced 3000 
[R1-acl-ipv4-adv-3000]rule permit ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255
[R1-acl-ipv4-adv-3000]qu

## IPsec 和 IKE的安全策略的关联，名字为 mypolicy 优先级为 1
[R1]ipsec policy mypolicy 1 isakmp    
[R1-ipsec-policy-isakmp-mypolicy-1]ike-profile 1              ## 关联IKE profile 1
[R1-ipsec-policy-isakmp-mypolicy-1]security acl 3000          ## 匹配需要保护的数据流
[R1-ipsec-policy-isakmp-mypolicy-1]transform-set myset        ## 关联IPsec 转换集
[R1-ipsec-policy-isakmp-mypolicy-1]remote-address 202.101.23.3  ## 远端的IP地址
[R1-ipsec-policy-isakmp-mypolicy-1]qu

## 出接口上调用安全策略组
[R1]int g0/0
[R1-GigabitEthernet1/0]ipsec apply policy mypolicy 
[R1-GigabitEthernet1/0]qu

ISP_R2

基础配置

[H3C]sysn ISP_R2

[ISP_R2]interface GigabitEthernet1/0
[ISP_R2-GigabitEthernet1/0]ip address 202.101.12.100 255.255.255.0
[ISP_R2-GigabitEthernet1/0]qu

[ISP_R2]int g2/0
[ISP_R2-GigabitEthernet2/0]ip address 202.101.23.100 255.255.255.0
[ISP_R2-GigabitEthernet2/0]qu

R3

基础配置

配置R3的基础配置，再用默认路由实现公网可达

[H3C]sysn R3

[R3]int g0/0
[R3-GigabitEthernet0/0]ip address 202.101.23.3 24
[R3-GigabitEthernet0/0]qu

[R3]int g0/1
[R3-GigabitEthernet0/1]ip address 192.168.20.254 24
[R3-GigabitEthernet0/1]qu

[R3]ip route-static 0.0.0.0 0.0.0.0 202.101.23.2        ##配置默认路由指向ISP_R2运营商，实现公网可达

配置第一阶段 IKE SA

协商出IKE SA ，对第二阶段IPsecSA的协商过程做保护

[R3]ike proposal 1
[R3-ike-proposal-1]encryption-algorithm 3des-cbc 
[R3-ike-proposal-1]authentication-algorithm sha256
[R3-ike-proposal-1]dh group5
[R3-ike-proposal-1]qu

[R3]ike keychain 1
[R3-ike-keychain-1]pre-shared-key address 202.101.12.1 key simple 520
[R3-ike-keychain-1]qu

[R3]ike profile 1
[R3-ike-profile-1]keychain 1
[R3-ike-profile-1]proposal 1
[R3-ike-profile-1]match remote identity address 202.101.12.1 
[R3-ike-profile-1]qu

配置第二阶段 IPsec SA

在阶段1建立的IKE SA的保护下完成IPSec SA的协商

[R3]ipsec transform-set myset 
[R3-ipsec-transform-set-myset]encapsulation-mode tunnel 
[R3-ipsec-transform-set-myset]esp encryption-algorithm 3des-cbc 
[R3-ipsec-transform-set-myset]esp authentication-algorithm sha256
[R3-ipsec-transform-set-myset]qu

[R3]acl advanced 3000
[R3-acl-ipv4-adv-3000]rule permit ip source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255
[R3-acl-ipv4-adv-3000]qu

[R3]ipsec policy mypolicy 1 isakmp 
[R3-ipsec-policy-isakmp-mypolicy-1]ike-profile 1
[R3-ipsec-policy-isakmp-mypolicy-1]security acl 3000
[R3-ipsec-policy-isakmp-mypolicy-1]transform-set myset
[R3-ipsec-policy-isakmp-mypolicy-1]remote-address 202.101.12.1 
[R3-ipsec-policy-isakmp-mypolicy-1]qu

[R3]int g0/0
[R3-GigabitEthernet1/0]ipsec apply policy mypolicy
[R3-GigabitEthernet1/0]qu

PC

PC1

在这里插入图片描述

PC2

在这里插入图片描述

检查

抓包查看（华三的IPsec VPN 是自己触发的，可以不用手动去Ping呀）
在这里插入图片描述

建立成功

里面主模式交换六个报文，成功协商IKE SA
而快速模式的三个报文，就成功的协商IPsec SA
这两个出来就成功建立了 IPsec VPN，对流量实施了加密啦~
![在这里插入图片描述](https://img-blog.csdnimg.cn/direct/908d7dd00e934726ab498fd5aeb3860c.png

查看命令

查看IKE SA的基本信息
[R1]display ike sa
在这里插入图片描述

查看IPsec SA的基本信息

[R1]display ipsec sa
在这里插入图片描述

清除IKE / IPsec SA命令

在IPsec VPN 建立完成后，我们想修改一些东西的时候，需要把SA清除干净，这个时候才会去重新建立IPsec VPN,我们所添加的东西才会生效
可以看到，当我去清除掉IKE SA的时候，再查看已经被清除掉了，还有IPsec SA，说明清除成功啦
reset ike sa
reset ipsec sa
在这里插入图片描述

配置文档

R1

sys
sysn R1

int g0/0 
ip address 202.101.12.1 24
qu

int g0/1
ip address 192.168.10.254 24
qu

ip route-static 0.0.0.0 0.0.0.0 202.101.12.2

ike proposal 1
encryption-algorithm 3des-cbc 
authentication-algorithm sha256
dh group5
qu

ike keychain 1
pre-shared-key address 202.101.23.3 key simple 520
qu

ike profile 1
keychain 1
proposal 1
match remote identity address 202.101.23.3 
qu

ipsec transform-set myset 
encapsulation-mode tunnel 
esp encryption-algorithm 3des-cbc 
esp authentication-algorithm sha256
qu

acl advanced 3000
rule permit ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255
qu

ipsec policy mypolicy 1 isakmp 
ike-profile 1
security acl 3000
transform-set myset
remote-address 202.101.23.3
qu

int g0/0
ipsec apply policy mypolicy
qu

ISP_R2

sys
sysn ISP_R2

int g0/0
ip address 202.101.12.2 24
qu

int g0/1
ip address 202.101.23.2 24
qu

R3

sys
sysn R3

int g0/0 
ip address 202.101.23.3 24
qu

int g0/1
ip address 192.168.20.254 24
qu

ip route-static 0.0.0.0 0.0.0.0 202.101.23.2

ike proposal 1
encryption-algorithm 3des-cbc 
authentication-algorithm sha256
dh group5
qu

ike keychain 1
pre-shared-key address 202.101.12.1 key simple 520
qu

ike profile 1
keychain 1
proposal 1
match remote identity address 202.101.12.1
qu

ipsec transform-set myset 
encapsulation-mode tunnel 
esp encryption-algorithm 3des-cbc 
esp authentication-algorithm sha256
qu

acl advanced 3000
rule permit ip source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255
qu

ipsec policy mypolicy 1 isakmp 
ike-profile 1
security acl 3000
transform-set myset
remote-address 202.101.12.1
qu

int g0/0
ipsec apply policy mypolicy
qu

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.coloradmin.cn/o/1368111.html

如若内容造成侵权/违法违规/事实不符，请联系多彩编程网进行投诉反馈，一经查实，立即删除！

相关文章

kubernetes Namespace Labels 详解

kubernetes Namespace Labels 详解

写在前面：如有问题，以你为准， 目前24年应届生，各位大佬轻喷，部分资料与图片来自网络 内容较长，页面右上角目录方便跳转 namespace 实现资源分组，label实现业务分组 Namespace 基础理论 最重…
阅读更多...
Java BIO、NIO(通信/群聊系统、零拷贝)、AIO

Java BIO、NIO(通信/群聊系统、零拷贝)、AIO

Java BIO、NIO(通信/群聊系统、零拷贝)、AIO BIO、NIO、AIO特点和场景 BIO（Blocking I/O）、NIO（Non-blocking I/O）、AIO（Asynchronous I/O）是Java中用于处理I/O操作的三种不同的I/O模型，它们具…
阅读更多...
【Spring 篇】深入浅出：用Spring注解开发的奇妙之旅

【Spring 篇】深入浅出：用Spring注解开发的奇妙之旅

在编程的世界里，Spring框架如同一位慈祥的导师，为我们打开了无尽可能性的大门。而在Spring的广袤领域中，注解是我们最亲密的伙伴之一。本篇博客将深入浅出地介绍使用Spring注解进行开发的奇妙之旅，为你解开注解的神秘面纱。 前奏…
阅读更多...
游泳时用什么耳机听歌好? 口碑最好的游泳耳机分享

游泳时用什么耳机听歌好? 口碑最好的游泳耳机分享

在游泳的律动中，欣赏动感音乐或沉浸在激励的声音中，无疑是一种愉悦的体验。因此，在选择一款适合游泳的耳机时，不仅需要考虑音质和舒适度，还要兼顾防水性能，确保在水中也能畅快聆听。本文将为您介绍一些备受…
阅读更多...
jupyter内核错误

jupyter内核错误

1、在dos窗口输入以下命令激活环境：anaconda activate 【py环境名，比如py37】（目的是新家你一个虚拟环境） 2、在虚拟环境py37下安装jupyter notebook，命令：pip install jupyter notebook 3、安装ipykerne…
阅读更多...
强化学习的数学原理学习笔记 - 值函数近似（Value Function Approximation）

强化学习的数学原理学习笔记 - 值函数近似（Value Function Approximation）

文章目录 概览：RL方法分类值函数近似（Value function approximation）Basic idea目标函数（objective function）优化算法（optimization algorithm） Sarsa / Q-learning with function approximati…
阅读更多...
Windows中处理PySpark报错：SparkException: Python worker failed to connect back

Windows中处理PySpark报错：SparkException: Python worker failed to connect back

Windows中处理PySpark报错：SparkException: Python worker failed to connect back 这个问题可能是发送在windows10以上的版本，使用datafram的方法是没问题，但是使用rdd算子出现这个问题，报错SparkException: Python worker fail…
阅读更多...
企业常用的几种实用的加速FTP传输方式

企业常用的几种实用的加速FTP传输方式

FTP作为互联网上最早应用的文件传输协议之一，同时也是企业内外常用的文件和数据交换方式。然而，随着数据量的增加和对传输速度、稳定性、安全性等要求的提高，FTP传输面临一系列挑战，给企业的业务效率和数据安全带来了困扰。本文将…
阅读更多...
大数据深度学习长短时记忆网络（LSTM）：从理论到PyTorch实战演示

大数据深度学习长短时记忆网络（LSTM）：从理论到PyTorch实战演示

文章目录 大数据深度学习长短时记忆网络（LSTM）：从理论到PyTorch实战演示1. LSTM的背景人工神经网络的进化循环神经网络（RNN）的局限性LSTM的提出背景 2. LSTM的基础理论2.1 LSTM的数学原理遗忘门（Forget Gat…
阅读更多...
【软考中级-软件设计师】day4：数据结构-线性表、单链表、栈和队列、串

【软考中级-软件设计师】day4：数据结构-线性表、单链表、栈和队列、串

大纲 线性结构 顺序存储和链式存储区别 单链表的插入和删除 真题 栈和队列 真题 串
阅读更多...
python匹配问题

python匹配问题

脏数据匹配 一般数据建模步骤中，数据清洗耗时占比80%以上，因为现实中接触到的数据相当脏，无法直接简单的用pandas的merge函数解决。下面以QS大学排名的匹配为例，简单介绍脏数据匹配中会遇到的问题和主要步骤。 1 问题描述 给定…
阅读更多...
PyQT5实现图像处理应用（含Windows7下完整打包方案）

PyQT5实现图像处理应用（含Windows7下完整打包方案）

目录 1、任务概述2、环境安装2.1 创建虚拟环境2.2 安装依赖库 3、程序开发3.1 框架搭建3.2 读取图像3.3 图像处理 4、打包部署5、小结 1、任务概述 本篇博文将通过PyQT5来实现一个简单的图像处理应用，并完成打包部署。 本文开发平台：Windows10 64位系统…
阅读更多...
【Vue3】2-6 : 计算属性与侦听器区别与原理（一）

【Vue3】2-6 : 计算属性与侦听器区别与原理（一）

本书目录：点击进入 一、计算属性 - computed:{} 1.1 目的 1.2 写法 代码 二、特征 2.1 调用时当属性调用 2.2 缓存 2.3 默认只读 2.4 可赋值：需要定义成对象，并写get，set方法 （类似于java） 三、原…
阅读更多...
《More Effective C++》学习

《More Effective C++》学习

条款1：仔细区别 pointers 和 references 引用应该被初始化，指针可以不被初始化。不存在指向空值的引用这个事实意味着使用引用的代码效率比使用指针的要高。因为在使用引用之前不需要测试它的合法性。指针与引用的另一个重要的不同是指针可以被重新赋值…
阅读更多...
IDC MarketScape 低/无代码厂商评估：得帆信息被评为领导者

IDC MarketScape 低/无代码厂商评估：得帆信息被评为领导者

《IDC MarketScape:中国低代码/无代码开发平台2023年厂商评估 》报告正式发布。报告从战略与能力两大方向，在产品和功能、客户交付服务能力、营销和销售能力、伙伴与生态、商业战略模式等多个维度对国内低/无代码厂商进行全面评估。 得帆信息凭借战略与能力双项领先…
阅读更多...
电子电器架构网络演化 —— 车载以太网TSN

电子电器架构网络演化 —— 车载以太网TSN

电子电器架构网络演化 —— 车载以太网TSN 我是穿拖鞋的汉子，魔都中坚持长期主义的汽车电子工程师。 老规矩，分享一段喜欢的文字，避免自己成为高知识低文化的工程师： 屏蔽力是信息过载时代一个人的特殊竞争力，任何消…
阅读更多...
VBA中类的解读及应用第八讲：实现定时器功能的自定义类事件

VBA中类的解读及应用第八讲：实现定时器功能的自定义类事件

《VBA中类的解读及应用》教程【10165646】是我推出的第五套教程，目前已经是第一版修订了。这套教程定位于最高级，是学完初级，中级后的教程。 类，是非常抽象的，更具研究的价值。随着我们学习、应用VBA的深入&#xff0…
阅读更多...
uniapp微信小程序投票系统实战 (SpringBoot2+vue3.2+element plus ) -用户信息修改实现

uniapp微信小程序投票系统实战 (SpringBoot2+vue3.2+element plus ) -用户信息修改实现

锋哥原创的uniapp微信小程序投票系统实战： uniapp微信小程序投票系统实战课程 (SpringBoot2vue3.2element plus ) ( 火爆连载更新中... )_哔哩哔哩_bilibiliuniapp微信小程序投票系统实战课程 (SpringBoot2vue3.2element plus ) ( 火爆连载更新中... )共计21条视频…
阅读更多...
如何通过bat文件启动应用程序

如何通过bat文件启动应用程序

说明：在windows上，任何应用程序都是通过.exe启动的。我们可以通过配置环境的方式，将应用程序的路径配置到环境变量path变量里，这样就可以使用cmd窗口，敲应用程序的名称来启动应用程序。 如下，可启动wps应用…
阅读更多...
Vue-8、Vue事件处理

Vue-8、Vue事件处理

1、点击事件 <!DOCTYPE html> <html lang"en" xmlns:v-model"http://www.w3.org/1999/xhtml" xmlns:v-bind"http://www.w3.org/1999/xhtml"xmlns:v-on"http://www.w3.org/1999/xhtml"> <head><meta charset&quo…
阅读更多...
推荐文章
最新文章

Copyright @ 2022~2023