锐捷网络—VPN功能—IPSEC 基础配置—IPSEC 静态、动态隧道混用

功能介绍

应用场景

一、组网需求

功能介绍

RSR系列路由器支持基于VRRP虚接口IP来进行IPSEC的协商。

应用场景

若总公司和分公司各自的内网要能够互相共享资料，且希望资料在网络传输中不易被黑客截获破解窃取，保证资料的安全保密，此时您可以在总公司和分公司的网络设备上建立IPSec VPN，它既能实现总公司和分公司之间能够直接互相访问资源，也能对数据传输进行加密，保证了数据的安全性。若总部的IP地址固定，而部分分公司是采用拨号方式上网的（IP地址不固定），部分分公司是采用固定IP地址上互联网的，那么可以在总公司的路由器启用静态、动态混用的IPSec VPN，分公司路由器启用静态IPSEC VPN。

一、组网需求

某保险公司在网络扁平化改造后，通过电信提供的CN2网络（CN2网络是电信打造的下一代承载网，可以简单理解成建立在MPLS网络上，为企业提供VPN业务的一张承载网，这个VPN业务对客户来说是透明的），县公司可直接和省/市公司互通。为保证业务的安全，省/市/县出口路由器之间需要建立IPSEC隧道。由于市公司和县公司的数量是庞大的，因此需要使用动态IPSEC，否则，就需要手动配置大量的静态IPSEC，维护量大，且不灵活。

二、组网拓扑

三、配置要点

1、省公司路由器R1

需要与所有市/县公司建立IPSEC隧道，为减少配置维护量、增加灵活度，需配置动态IPSEC，作为IPSEC 服务端，接受市/县公司IPSEC拨入。

2、市公司路由器R2

需要配置静态IPSEC，拨入省公司
需要与所有县公司建立IPSEC隧道，为减少配置维护量、增加灵活度，需配置动态IPSEC，作为IPSEC 服务端，接受县公司IPSEC拨入。
只有一个外网出口，需要在该接口上同时实施静态IPSEC和动态IPSEC

3、县公司路由器R3

需要配置静态IPSEC，拨入省/市公司

动态IPSEC使用注意事项：

1、必须关注业务数据能否触发IPSEC隧道的协商

2、动态加密映射不是用于设备对远程对等体发起新的IPSec 协商，而是用于接受远程对等体发起IPSec 协商。

3、即配置动态加密图的一方不能主动发起IPSEC协商。

4、在金融行业中，所有业务一般均由下级机构向上级机构发起，所以，能够刺激IPSEC隧道的建立。

5、在建立IPSEC隧道后，数据可以双向通信

6、RSR50/RSR50E涉及IPSEC功能必须配备AIM-VPN加密卡（如何查看RSR50/RSR50E是否已经配备AIM-VPN加密卡，请查看本文最后的附录部分）

7、需要使用IPSEC互访的IP网段不能重叠。

四、配置步骤

1、省公司路由器R1

省公司配置IPSEC动态隧道，参考（典型配置--->安全--->IPSEC--->IPSEC使用动态隧道（主模式））

2、市公司路由器R2

市公司路由器R2需同时配置静态和动态IPSEC，需注意将静态和动态IPSEC整合在一个crypto map加密图里：

crypto dynamic-map dymap 1

set transform-set myset

crypto map mymap 5 ipsec-isakmp

set peer 14.0.0.1

set transform-set myset

match address 100

crypto map mymap 10 ipsec-isakmp dynamic dymap //动态、静态IPSEC统一整合到一个加密图里，通过Sequence munber来关联

注意：任何加密映射条目引用动态映射是作为加密映射集合中最低优先级加密映射条目（不论配置的序号是多大，相当于配置了最大的序号），这样其他加密映射条目就会先被评估，当其他静态加密映射条目都不能匹配时检查动态加密映射条目。

3、县公司路由器R3

县公司配置IPSEC静态隧道，参考（典型配置--->安全--->IPSEC--->IPSEC使用静态隧道）

注意，和省公司R1及市公司R2需分别定义感兴趣流和cryto map 规则。

crypto map mymap 5 ipsec-isakmp

set peer 14.0.0.1

set transform-set myset

match address 100

crypto map mymap 10 ipsec-isakmp

set peer 24.0.0.2

set transform-set myset

match address 101

五、配置验证

1、刺激市公司路由器R2与省公司路由器R1建立IPSEC隧道

R2#ping 1.1.1.1 so 2.2.2.2

Sending 5, 100-byte ICMP Echoes to 1.1.1.1, timeout is 2 seconds:

< press Ctrl+C to break >

.!!!!

Success rate is 80 percent (4/5), round-trip min/avg/max = 1/12/20 ms

R2#sho cry isakmp sa

destinationsourcestateconn-idlifetime(second)

14.0.0.124.0.0.2QM_IDLE3386378

R2#sho cry ipsec sa

Interface: FastEthernet 0/0

Crypto map tag:mymap, local addr 24.0.0.2

media mtu 1500

==================================

item type:static, seqno:5, id=32

local ident (addr/mask/prot/port): (2.2.2.0/0.0.0.255/0/0))

remote ident (addr/mask/prot/port): (1.1.1.0/0.0.0.255/0/0))

PERMIT

#pkts encaps: 4, #pkts encrypt: 4, #pkts digest 4

#pkts decaps: 4, #pkts decrypt: 4, #pkts verify 4

#send errors 0, #recv errors 0

Inbound esp sas:

spi:0x3f944b2d (1066683181)

transform: esp-3des esp-md5-hmac

in use settings={Tunnel,}

crypto map mymap 5

sa timing: remaining key lifetime (k/sec): (4606999/3574)

IV size: 8 bytes

Replay detection support:Y

Outbound esp sas:

spi:0x4012256 (67183190)

transform: esp-3des esp-md5-hmac

in use settings={Tunnel,}

crypto map mymap 5

sa timing: remaining key lifetime (k/sec): (4606999/3574)

IV size: 8 bytes

Replay detection support:Y

2、刺激县公司路由器R3与省公司路由器R1的IPSEC隧道

R3#ping 1.1.1.1 so 3.3.3.3

Sending 5, 100-byte ICMP Echoes to 1.1.1.1, timeout is 2 seconds:

< press Ctrl+C to break >

.!!!!

Success rate is 80 percent (4/5), round-trip min/avg/max = 10/22/30 ms

R3#sho cry isakmp sa

destinationsourcestateconn-idlifetime(second)

14.0.0.134.0.0.3QM_IDLE3386390

R3#sho cry ipsec sa

Interface: FastEthernet 0/0

Crypto map tag:mymap, local addr 34.0.0.3

media mtu 1500

==================================

item type:static, seqno:5, id=32

local ident (addr/mask/prot/port): (3.3.3.0/0.0.0.255/0/0))

remote ident (addr/mask/prot/port): (1.1.1.0/0.0.0.255/0/0))

PERMIT

#pkts encaps: 4, #pkts encrypt: 4, #pkts digest 4

#pkts decaps: 4, #pkts decrypt: 4, #pkts verify 4

#send errors 0, #recv errors 0

Inbound esp sas:

spi:0x173938a6 (389626022)

transform: esp-3des esp-md5-hmac

in use settings={Tunnel,}

crypto map mymap 5

sa timing: remaining key lifetime (k/sec): (4606998/3587)

IV size: 8 bytes

Replay detection support:Y

Outbound esp sas:

spi:0x499357 (4821847)

transform: esp-3des esp-md5-hmac

in use settings={Tunnel,}

crypto map mymap 5

sa timing: remaining key lifetime (k/sec): (4606998/3587)

IV size: 8 bytes

Replay detection support:Y

==================================

item type:static, seqno:10, id=34

local ident (addr/mask/prot/port): (3.3.3.0/0.0.0.255/0/0))

remote ident (addr/mask/prot/port): (2.2.2.0/0.0.0.255/0/0))

PERMIT

#pkts encaps: 0, #pkts encrypt: 0, #pkts digest 0

#pkts decaps: 0, #pkts decrypt: 0, #pkts verify 0

#send errors 0, #recv errors 0

No sa is created now.

3、刺激县公司路由器R3与市公司路由器R2的IPSEC隧道

R3#ping 2.2.2.2 so 3.3.3.3

Sending 5, 100-byte ICMP Echoes to 2.2.2.2, timeout is 2 seconds:

< press Ctrl+C to break >

.!!!!

查看R2相关IPSEC信息

R2#sho cry isakmp sa

destinationsourcestateconn-idlifetime(second)

34.0.0.324.0.0.2QM_IDLE3686370

14.0.0.124.0.0.2QM_IDLE 33 85869

R2#sho cry ipsec sa

Interface: FastEthernet 0/0

Crypto map tag:mymap, local addr 24.0.0.2

media mtu 1500

==================================

item type:static, seqno:5, id=32

local ident (addr/mask/prot/port): (2.2.2.0/0.0.0.255/0/0))

remote ident (addr/mask/prot/port): (1.1.1.0/0.0.0.255/0/0))

PERMIT

#pkts encaps: 4, #pkts encrypt: 4, #pkts digest 4

#pkts decaps: 4, #pkts decrypt: 4, #pkts verify 4

#send errors 0, #recv errors 0

Inbound esp sas:

spi:0x3f944b2d (1066683181)

transform: esp-3des esp-md5-hmac

in use settings={Tunnel,}

crypto map mymap 5

sa timing: remaining key lifetime (k/sec): (4606999/3064)

IV size: 8 bytes

Replay detection support:Y

Outbound esp sas:

spi:0x4012256 (67183190)

transform: esp-3des esp-md5-hmac

in use settings={Tunnel,}

crypto map mymap 5

sa timing: remaining key lifetime (k/sec): (4606999/3064)

IV size: 8 bytes

Replay detection support:Y

==================================

item type:temporary, seqno:0, id=37

local ident (addr/mask/prot/port): (2.2.2.0/0.0.0.255/0/0))

local ident (addr/mask/prot/port): (3.3.3.0/0.0.0.255/0/0))

PERMIT

#pkts encaps: 4, #pkts encrypt: 4, #pkts digest 4

#pkts decaps: 4, #pkts decrypt: 4, #pkts verify 4

#send errors 0, #recv errors 0

Inbound esp sas:

spi:0x67a19141 (1738641729)

transform: esp-3des esp-md5-hmac

in use settings={Tunnel,}

crypto map mymap 0

sa timing: remaining key lifetime (k/sec): (4607999/3566)

IV size: 8 bytes

Replay detection support:Y

Outbound esp sas:

spi:0x6ca7929b (1822921371)

transform: esp-3des esp-md5-hmac

in use settings={Tunnel,}

crypto map mymap 0

sa timing: remaining key lifetime (k/sec): (4607999/3566)

IV size: 8 bytes

Replay detection support:Y