当前位置：文档之家 › H3C IPSec基本原理及配置指导

H3C IPSec基本原理及配置指导

  • 格式：pdf
  • 大小：114.85 KB
  • 文档页数：11

IPSec基本原理及配置指导一、IPSec描述：1、IPSec在RFC2401中描述了IP得安全体系结构IPSec，以便保证在IP网络数据传输的安全性。

2、IPSec在IP层对IP报文提供安全服务。

3、IPSec并非单一协议，而是由一系列的安全开放标准构成。

4、IPSec实现于OSI参考模型的网络层，因此，上层的协议都可以得到IPSec 的保护。

5、IPSec是一个可扩展的体系，不受任何一种算法的局限，可以引入多种开放的验证算法。

6、IPSec的缺点是难部署，协议体系复杂，不支持组播，只能对点对点的数据进行保护，不利于语音视频实时性高的应用。

二、IPSec体系结构1、IPSec使用两种安全协议来提供通信安全服务：i.AH（验证头）：AH提供完整性保护和数据源验证以及可选的抗重播服务，但是不能提供机密性保护。

ii.ESP（封装安全载荷）：ESP可以提供AH的所有功能，而且还可以提供加密功能。

2、AH和ESP可以单独使用，也可以一起使用，从而提供额外的安全性。

3、安全协议AH和ESP都具有两种工作模式：i.传输模式：用于保护端到端的安全性。

ii.隧道模式：用于保护点到点的安全性。

4、IPSec通过两种途径获得密钥：i.手工配置：管理员预先手工配置，这种方法不便于随时更改，安全性较低，不易维护。

ii.通过IKE协商，通信双方可以通过IKE动态生成并交换密钥，获得更高的安全性。

5、IPSec SA（安全联盟）i.SA提供IPSec数据流安全服务的基础概念。

ii.SA是通信双方就如何保证通信安全达成的一个协定。

具体确定了对IP报文进行处理。

iii.SA是单向的，入站数据流和出站数据流分别由入站SA和出站SA 处理。

iv.一个SA由（SPI，IP目的地址，安全参数索引）构成。

v.SA可以手工配置，也可以通过IKE自动协商生成。

vi.SA的生存时间有“以时间进行限制”和“以流量进行限制”。

vii.IPSec把类似“对哪些数据提供哪些服务”这样的信息储存在SPD （安全策略数据库）中，而SPD中的项指向SAD（安全联盟数据库）,如果，一个需要加密的出站数据包，系统会将他与SPD进行比较，如果匹配一项，系统会使用该项对应的SA以及算法进行对数据包的加密。

否则，需要新建一个SA。

6、IKEi.无论是AH还是ESP，在对一个IP包进行操作之前，首先必须要建立一个IPSec SA，IPSec SA可以手工建立，也可以通过IKE协商建立。

ii.IKE可以为IPSec提供自动协商交换密钥，建立SA服务，能够简化IPSec的使用和管理，大大的简化了IPSec的配置和管理。

iii.IKE不在网上直接传送密钥，而是通过DH交换，最终计算出双方的共享密钥。

iv.IKE可以定时更新SA，也可以定时更新密钥,而且各个SA之间没有关系。

v.IKE采用了ISAKMP所定义的密钥交换框架体系。

7、IKE与IPSec的关系i.IPSec利用SPD来判断一个数据包是否需要安全服务，当需要安全服务时，就会去SAD去查找相应的IPSec SA，IPSecSA有两种生成方式，一种是通过管理员手工配置，另外一种是通过IKE协商完成。

ii.IKE为IPSec提供PFS特性。

iii.IKE不仅用于IPSec，他是一个通用的交换协议，可以用于交换任何的共享密钥。

例如RIP、OSPF的安全协商服务。

8、IKE的协商阶段i.IKE也使用SA（IKE-SA），与IPSec SA不同，IKE SA是用于保护一对节点之间通信的密钥和策略的一个集合。

ii.IKE的两个协商阶段：1.阶段1：IKE使用DH交换建立共享密钥，在网络上建立一个IKESA，为阶段2协商提供保护。

其交换模式分为主模式和野蛮模式。

2.阶段2：在阶段1的保护下完成IPSec SA的协商。

其交换模式为快速模式。

3.IKE的主模式：主模式是强制实现阶段1交换模式。

主模式总计3个步骤，策略协商、DH交换、ID交换及验证。

这种模式主要应用在通信双方预先知道对方的IP地址，对于点对点的应用比较适宜。

4.IKE的野蛮模式：对于远程拨号访问，由于拨号用户的IP地址无法确认，就不能使用这种方法。

9、配置IPSeci.配置前的准备1.确定需要保护的数据：可以通过扩展的ACL来定义需要验证和加密的数据。

2.确定使用的安全保护路径：确定是要保护端到端的数据还是点到点的数据。

3.确定对数据流采用哪种方式进行安全保护：对于只验证不加密推荐使用AH，对于即验证又加密推荐使用ESP。

同时使用AH和ESP可以过多的损耗系统资源。

ii.配置IPSec VPN顺序1.配置安全ACL2.配置安全提议i.创建安全提议命令：【router】ipsec proposalii.选择安全协议：【router-ipsec-proposal-tran1】transform{ah|ah-esp|esp}，默认选择esp。

iii.选择工作模式：【router-ipsec-proposal-tran1】encapsulation-mode{transport|tunnel}。

iv.选择安全算法（加密算法）【router-ipsec-proposal-tran1】espencryption-algorithm{3des|des|aes}。

v.选择安全算法（验证算法）【router-ipsec-proposal-tran1】espauthentication-algorithm{md5|sha1}。

【router-ipsec-proposal-tran1】ahauthentication-algorithm{md5|sha1}。

3.配置安全策略（配置安全策略有两种方式，手工配置参数的安全策略和通过IKE自动协商参数的安全策略）。

i.手工配置安全策略（手工配置安全策略详见H3C配置文档手册）ii.IKE自动协商安全配置1.创建一条安全策略，并进入安全策略视图。

2.配置安全策略引用的ACL3.配置安全策略引用的安全提议4.在安全策略中引用IKE对等体5.配置使用次安全策略发起协商时使用的PFS特性6.配置安全策略的SA生存周期7.配置全局SA生命周期4.在接口上应用安全策略10、配置案例指导RTA外网口地址：202.38.160.1/24RTB外网口地址：202.38.160.2/24RTA内网口地址：10.1.1.1/24RTB内网口地址：10.1.2.1/24RTA配置如下：[RTA]acl number3001#配置安全的ACL，意义在于那些数据流需要保护[RTA-ACL-ADV-3001]rule permit ip source10.1.1.00.0.0.255 destination10.1.2.00.0.0.255#允许源地址10.1.1.0的网络可以访问目标地址10.1.2.0的网络，也就是说如果引用这条ACL，那么符合这条ACL的数据流就取得了保护。

[RTA-ACL-ADV3001]rule deny ip source any destination any#拒绝所有IP数据包通过[RTA]ip route-static10.1.2.0255.255.255.0202.38.160.2#静态路由指向目的地址和下一跳地址[RTA]ipsec proposal tranl#创建安全提议tranl[RTA-IPSEC-PROPOSAL-TRANL]encapsulation-mode tunnel#选择安全提议的工作模式为tunnel隧道模式[RTA-IPSEC-PROPOSAL-TRANL]transform esp#选择安全算法为esp[RTA-IPSEC-PROPOSAL-TRANL]esp encryprion-algorithm des#esp的加密算法采用des[RTA-IPSEC-PROPOSAL-TRANL]esp authentication-algorithm shal #esp的认证算法采用shal[RTA-IPSEC-PROPOSAL-TRANL]quit#退出[RTA]ike peer peer1#创建ike对等体peer1[RTA-IKE-PEER-PEER]pre-share-key abcde#配置预共享密钥验证时的所需要的密钥[RTA-IKE-PEER-PEER]remote-address202.38.160.2#对端安全网关的IP地址[RTA-IKE-PEER-PEER]quit#退出[RTA]ipsec policy map110isakmp#创建安全策略名称为map1安全序号10[RTA-IPSEC-POLICY-ISAKMP-MAP1-10]porposal tranl#配置安全策略所引用的安全提议[RTA-IPSEC-POLICY-ISAKMP-MAP1-10]security acl3001#配置安全策略所引用的ACL[RTA-IPSEC-POLICY-ISAKMP-MAP1-10]ike-peer peer1#引用ike对等体peer1[RTA-IPSEC-POLICY-ISAKMP-MAP1-10]quit#退出[RTA]int s0/0#进入S0/0接口[RTA-SERIAL0/0]ip address202.38.160.124#配置接口地址[RTA-SERIAL0/0]ipsec policy map1#在接口上引用安全策略[RTA-SERAL0/0]quit#退出[RTA]int e0/0#进入E0/0接口[RTA-Ethernet0/0]ip address10.1.1.124#配置接口IP地址RTB配置如下：[RTA]acl number3001#配置安全的ACL，意义在于那些数据流需要保护[RTA-ACL-ADV-3001]rule permit ip source10.1.2.00.0.0.255destination10.1.1.00.0.0.255#允许源地址10.1.1.0的网络可以访问目标地址10.1.2.0的网络，也就是说如果引用这条ACL，那么符合这条ACL的数据流就取得了保护。

[RTA-ACL-ADV3001]rule deny ip source any destination any#拒绝所有IP数据包通过[RTA]ip route-static10.1.1.0255.255.255.0202.38.160.1#静态路由指向目的地址和下一跳地址[RTA]ipsec proposal tranl#创建安全提议tranl[RTA-IPSEC-PROPOSAL-TRANL]encapsulation-mode tunnel#选择安全提议的工作模式为tunnel隧道模式[RTA-IPSEC-PROPOSAL-TRANL]transform esp#选择安全算法为esp[RTA-IPSEC-PROPOSAL-TRANL]esp encryprion-algorithm des#esp的加密算法采用des[RTA-IPSEC-PROPOSAL-TRANL]esp authentication-algorithm shal#esp的认证算法采用shal[RTA-IPSEC-PROPOSAL-TRANL]quit#退出[RTA]ike peer peer1#创建ike对等体peer1[RTA-IKE-PEER-PEER]pre-share-key abcde#配置预共享密钥验证时的所需要的密钥[RTA-IKE-PEER-PEER]remote-address202.38.160.1#对端安全网关的IP地址[RTA-IKE-PEER-PEER]quit#退出[RTA]ipsec policy map110isakmp#创建安全策略名称为map1安全序号10[RTA-IPSEC-POLICY-ISAKMP-MAP1-10]porposal tranl #配置安全策略所引用的安全提议[RTA-IPSEC-POLICY-ISAKMP-MAP1-10]security acl3001 #配置安全策略所引用的ACL[RTA-IPSEC-POLICY-ISAKMP-MAP1-10]ike-peer peer1 #引用ike对等体peer1[RTA-IPSEC-POLICY-ISAKMP-MAP1-10]quit#退出[RTA]int s0/0#进入S0/0接口[RTA-SERIAL0/0]ip address202.38.160.224#配置接口地址[RTA-SERIAL0/0]ipsec policy map1#在接口上引用安全策略[RTA-SERAL0/0]quit#退出[RTA]int e0/0#进入E0/0接口[RTA-Ethernet0/0]ip address10.1.2.124 #配置接口IP地址。

合集下载

H3C配置IPSEC教程实例介绍

H3C配置IPSEC教程实例介绍

H3C配置IPSEC教程实例介绍作为不同网络之间互相连接的枢纽，路由器系统构成了基于TCP/IP 的国际互联网络Internet 的主体脉络，也可以说，路由器构成了Internet的骨架。

这篇文章主要介绍了H3C配置IPSEC VPN教程实例(图文),需要的朋友可以参考下方法步骤H3C配置IPSEC VPN思路跟思科差不多，无非就是命令不一样的，下面就演示一下拓扑：RT1背后有个1.1.1.1网段，RT3背后有个3.3.3.3网段，ISP没有这两条路由RT2:system-viewSystem View: return to User View with Ctrl+Z.[RT2]int g0/0/0[RT2-GigabitEthernet0/0/0]ip add 12.1.1.2 24[RT2-GigabitEthernet0/0/0]quit[RT2]int g0/0/1[RT2-GigabitEthernet0/0/1]ip add 23.1.1.2 24[RT2-GigabitEthernet0/0/1]quitRT1:acl number 3000rule 0 permit ip source 1.1.1.0 0.0.0.255 destination 3.3.3.0 0.0.0.255ike proposal 1encryption-algorithm 3des-cbcauthentication-algorithm md5authentication-metod pre-sharedh group2ike peer ciscoid-type ippre-shared-key simple ciscoremote-address 23.1.1.3local-address 12.1.1.1#ipsec proposal ciscotransform espesp authentication-algorithm md5esp encryption-algorithm 3desipsec policy cisco 10 isakmpsecurity acl 3000ike-peer ciscoproposal ciscoint g0/0/0ipsec policy ciscoip route-static 0.0.0.0 0.0.0.0 12.1.1.2RT3:acl number 3000rule 0 permit ip source 3.3.3.0 0.0.0.255 destination 1.1.1.0 0.0.0.255ike proposal 1encryption-algorithm 3des-cbcauthentication-algorithm md5authentication-metod pre-sharedh group2ike peer ciscoid-type ippre-shared-key simple ciscoremote-address 12.1.1.1local-address 23.1.1.3#ipsec proposal ciscotransform espesp authentication-algorithm md5esp encryption-algorithm 3desipsec policy cisco 10 isakmpsecurity acl 3000ike-peer ciscoproposal ciscoint g0/0/1ipsec policy ciscoip route-static 0.0.0.0 0.0.0.0 23.1.1.2相关阅读：路由器安全特性关键点由于路由器是网络中比较关键的设备，针对网络存在的各种安全隐患，路由器必须具有如下的安全特性：(1)可靠性与线路安全可靠性要求是针对故障恢复和负载能力而提出来的。

IPSEC 原理 华三

IPSEC 原理 华三

IPSec VPN是目前VPN技术中点击率非常高的一种技术，同时提供VPN和信息加密两项技术，这一期专栏就来介绍一下IPSec VPN的原理。

IPSec VPN应用场景IPSec VPN的应用场景分为3种：1.Site-to-Site（站点到站点或者网关到网关）：如弯曲评论的3个机构分布在互联网的3个不同的地方，各使用一个商务领航网关相互建立VPN隧道，企业内网（若干PC）之间的数据通过这些网关建立的IPSec隧道实现安全互联。

2.End-to-End（端到端或者PC到PC）：两个PC之间的通信由两个PC之间的IPSec会话保护，而不是网关。

3.End-to-Site（端到站点或者PC到网关）：两个PC之间的通信由网关和异地PC之间的IPSec进行保护。

VPN只是IPSec的一种应用方式，IPSec其实是IP Security的简称，它的目的是为IP提供高安全性特性，VPN则是在实现这种安全特性的方式下产生的解决方案。

IPSec是一个框架性架构，具体由两类协议组成：1.AH协议（Authentication Header，使用较少）：可以同时提供数据完整性确认、数据来源确认、防重放等安全特性；AH常用摘要算法（单向Hash函数）MD5和SHA1实现该特性。

2.ESP协议（Encapsulated Security Payload，使用较广）：可以同时提供数据完整性确认、数据加密、防重放等安全特性；ESP通常使用DES、3DES、AES等加密算法实现数据加密，使用MD5或SHA1来实现数据完整性。

为何AH使用较少呢？因为AH无法提供数据加密，所有数据在传输时以明文传输，而ESP提供数据加密；其次AH因为提供数据来源确认（源IP地址一旦改变，AH校验失败），所以无法穿越NAT。

当然，IPSec在极端的情况下可以同时使用AH和ESP实现最完整的安全特性，但是此种方案极其少见。

IPSec封装模式介绍完IPSec VPN的场景和IPSec协议组成，再来看一下IPSec提供的两种封装模式（传输Transport模式和隧道Tunnel模式）上图是传输模式的封装结构，再来对比一下隧道模式：可以发现传输模式和隧道模式的区别：1.传输模式在AH、ESP处理前后IP头部保持不变，主要用于End-to-End的应用场景。

IPSec原理介绍

IPSec原理介绍



27
分支1设备配置，其余分支设置类似
# // acl 3000设置，匹配 192.168.1.0/24 192.168.0.0/16的流量 acl number 3000 rule 0 permit ip source 192.168.1.0 0.0.0.255 destination 192.168.0.0 0.0.255.255 # // 设置ike对等体center ike peer center // 预共享密钥和总部保持一致为h3c pre-shared-key simple h3c // 设置总部设备60.191.99.140为对端地址 remote-address 60.191.99.140 # // 建立IPSec安全提议def ipsec proposal def # # // IPSec策略center，节点1设置 ipsec policy center 1 isakmp // 对匹配acl 3000的流量进行IPSec处理 security acl 3000 // ike对等体为center ike-peer center // 调用安全提议def proposal def

11
AH报文

12
ESP报文格式
0
ESP协议包结构
8
16 安全参数索引(SPI) 序列号
24
有效载荷数据（可变） 填充字段(0-255字节）
填充字段长 度
下一个头
验证数据

13
ESP封装格式
IP报头 传输模式 原IP报头 ESP 数据 ESP尾部
6
IPSEC基本概念
安全联盟(Security Association) 安全参数索引（Security Parameter Index） 序列号（Serial Number） 安全联盟生存时间（Lifetime） 数据流（Data Flow） 安全策略（Security Policy）
H3C IPSec配置

H3C IPSec配置

操作手册 安全分册 IPSec
目录
目录
第 1 章 IPSec配置 ...................................................................................................................1-1 1.1 IPSec简介 .......................................................................................................................... 1-1 1.1.1 IPSec的实现 ............................................................................................................ 1-2 1.1.2 IPSec基本概念 ........................................................................................................ 1-2 1.1.3 加密卡...................................................................................................................... 1-4 1.1.4 协议规范 .................................................................................................................. 1-4 1.2 IPSec配置任务简介............................................................................................................ 1-5 1.3 配置访问控制列表 .............................................................................................................. 1-6 1.4 配置安全提议 ..................................................................................................................... 1-6 1.5 配置安全策略 ..................................................................................................................... 1-7 1.5.1 手工配置安全策略.................................................................................................... 1-8 1.5.2 配置IKE协商安全策略.............................................................................................. 1-9 1.6 在接口上应用安全策略组 ................................................................................................. 1-12 1.7 在加密卡接口上绑定安全策略组或者安全策略................................................................. 1-13 1.8 使能加密引擎功能 ............................................................................................................ 1-14 1.9 使能主体软件备份功能..................................................................................................... 1-14 1.10 配置会话空闲超时时间................................................................................................... 1-14 1.11 使能解封装后IPSec报文的ACL检查功能 ....................................................................... 1-15 1.12 配置IPSec抗重放功能 .................................................................................................... 1-15 1.13 配置共享源接口安全策略组............................................................................................ 1-16 1.14 IPSec显示和维护 ........................................................................................................... 1-17 1.15 IPSec典型配置举例........................................................................................................ 1-18 1.15.1 采用手工方式建立IPSec安全隧道 ....................................................................... 1-18 1.15.2 采用IKE方式建立IPSec安全隧道......................................................................... 1-21 1.15.3 使用加密卡进行加/解密和认证 ............................................................................ 1-24 1.15.4 配置IPSec接口备份 ............................................................................................. 1-27iΒιβλιοθήκη 操作手册 安全分册 IPSec