【华为】IPsec VPN 实验配置（动态地址接入）

【华为】IPsec VPN 实验配置（动态地址接入）

  • 注意
  • 实验需求
  • 配置思路
  • 配置命令
    • 拓扑
    • R1
      • 基础配置
      • 配置第一阶段 IKE SA
      • 配置第二阶段 IPsec SA
    • ISP_R2
      • 基础配置
    • R3
      • 基础配置
      • 配置第一阶段 IKE SA
      • 配置第二阶段 IPsec SA
    • PC
      • PC1
      • PC2
  • 检查
    • 建立成功
      • 查看命令
      • 清除IKE / IPsec SA命令
  • 配置文档

在这里插入图片描述

注意

因为本篇文章，就是IPsec的实验配置的话，是有一个IP地址不固定的情况下
我们这个就需要用到野蛮模式的，也就是第一阶段会更改模式啦，记得哦，两端都需要更改呀

对于地址固定的总部来说，需要以下注意的点：
① 动态模板 ：如拓扑图中，R1是地址固定那一段，然后它想和自己的分部R3建立IPsec VPN，在不清楚R3的IP地址下，是无法用常规的办法来配置，我们就只能用template来建立啦~
② 无需设置ACL： 因为我们并不清楚分部那边有哪些私网的网段

那如何去与一端地址不固定的设备建立IPsec 呢？

  1. 用地址不固定的R3 去主动和R1发起IKE 协商
  2. 在经过IKE的协商过后，R1 就在IKE 的SA中获取到需要保护的兴趣流，也就是ACL的内容

配置和解决办法都在后面哦，感兴趣的就可以继续往后看呀

实验需求

R1为企业总部网关，R3为企业分部网关，分部与总部通过公网建立通信。
分部子网不固定，而总部子网固定为202.101.12.0/24。

企业希望对分部子网与总部子网之间相互访问的流量进行安全保护。分部与总部通过公网建立通信，可以在分部网关与总部网关之间建立一个IPSec隧道来实施安全保护。
在这里插入图片描述

配置思路

  1. 基础配置, 配置接口的IP地址和到对端的静态路由，保证两端路由可达。

  2. 第一阶段 IKE SA
    ① 配置IKE安全提议，定义IKE保护数据流方法
    ② 配置IKE对等体，定义对等体间IKE协商时的属性，在这边就要特别的小心，一定要记得去把主模式改为野蛮模式，两端都需要修改

  3. 第二阶段 IPsec SA
    ① 配置ACL，以定义需要IPSec保护的数据流（R1不需要配置，R3 需要）
    ② 配置IPSec安全提议，定义IPSec的保护方法
    ③ 地址固定端（R1）：配置策略模板，模板内容（IPSec安全提议和IKE对等体，确定对何种数据流采取何种保护方法），并在安全策略中引用该策略模板
    ③ 地址不固定端（R3）：配置安全策略，并引用ACL、IPSec安全提议和IKE对等体，确定对何种数据流采取何种保护方法

  4. 在接口上应用安全策略组，使接口具有IPSec的保护功能

IPsec VPN 本质：阶段一保护阶段二 阶段二保护数据

配置命令

拓扑

在这里插入图片描述

R1

基础配置

配置R1的基础配置，再用默认路由实现公网可达

[Huawei]sysn R1
[R1]undo info-center enable    ## 关闭CLI系统提示消息[R1]int g0/0/0
[R1-GigabitEthernet0/0/0]ip address 202.101.12.1 24
[R1-GigabitEthernet0/0/0]qu[R1]int g0/0/1
[R1-GigabitEthernet0/0/1]ip address 192.168.10.254 24    
[R1-GigabitEthernet0/0/1]qu[R1]ip route-static 0.0.0.0 0.0.0.0 202.101.12.2          ##配置默认路由指向ISP_R2运营商，实现公网可达

配置第一阶段 IKE SA

协商出IKE SA ，对第二阶段IPsecSA的协商过程做保护

## 创建R1的IKE安全提议，名字为 1
[R1]ike proposal 1
[R1-ike-proposal-1]encryption-algorithm 3des-cbc    ## 用3des-cbc来加密IKE
[R1-ike-proposal-1]authentication-algorithm md5     ## 用md5来认证
[R1-ike-proposal-1]dh group5                        ## 启用DH组5
[R1-ike-proposal-1]qu## 创建IKEv1对等体，名字为 1，配置预共享密钥和修改主模式
[R1]ike peer 1 v1             
[R1-ike-peer-1]exchange-mode aggressive            ## 记得修改为野蛮模式哦
[R1-ike-peer-1]ike-proposal 1                      ## 引用安全提议 1
[R1-ike-peer-1]pre-shared-key simple 520           ## 预共享密钥 为 520
[R1-ike-peer-1]qu

配置第二阶段 IPsec SA

在阶段1建立的IKE SA的保护下完成IPSec SA的协商

## 配置IPSec安全提议，名字为 1
[R1]ipsec proposal 1
[R1-ipsec-proposal-1]esp encryption-algorithm 3des       ## 用ESP头部封装IPsec，用3des加密
[R1-ipsec-proposal-1]esp authentication-algorithm md5    ## 用ESP头部封装IPsec，用md5认证
[R1-ipsec-proposal-1]encapsulation-mode tunnel           ## 采用隧道模式
[R1-ipsec-proposal-1]qu## 配置策略模板，名字为 1，优先级为 1，并在安全策略中引用该策略模板
[R1]ipsec policy-template 1 1
[R1-ipsec-policy-templet-1-1]ike-peer 1
[R1-ipsec-policy-templet-1-1]proposal 1
[R1-ipsec-policy-templet-1-1]qu
[R1]ipsec policy mypolicy 1 isakmp template 1    ## 安全策略名字为 1,引用策略模板 1## 接口下调用安全策略 1
[R1]int g0/0/0
[R1-GigabitEthernet0/0/0]ipsec policy mypolicy
[R1-GigabitEthernet0/0/0]qu

ISP_R2

基础配置

[Huawei]sysn ISP_R2[ISP_R2]undo info-center enable
[ISP_R2]int g0/0/0
[ISP_R2-GigabitEthernet0/0/0]ip address 202.101.12.2 24
[ISP_R2-GigabitEthernet0/0/0]qu[ISP_R2]int g0/0/1
[ISP_R2-GigabitEthernet0/0/1]ip address 202.101.23.2 24
[ISP_R2-GigabitEthernet0/0/1]qu

R3

基础配置

配置R3的基础配置，再用默认路由实现公网可达
像本篇中，R3 的地址如何实现不固定呢？
是公司向运营商申请的公网IP地址是有租期的，用PPPoE来获取，那每一段时间都会变更一下，这个才是现在的常态，但总部的IP地址，尽量就是固定的

[Huawei]sysn R3[R3]undo info-center enable
Info: Information center is disabled.[R3]int g0/0/0
[R3-GigabitEthernet0/0/0]ip address 202.101.23.3 24
[R3-GigabitEthernet0/0/0]qu[R3]int g0/0/1
[R3-GigabitEthernet0/0/1]ip address 192.168.20.254 24
[R3-GigabitEthernet0/0/1]qu[R3]ip route-static 0.0.0.0 0.0.0.0 202.101.23.2        ##配置默认路由指向ISP_R2运营商，实现公网可达

配置第一阶段 IKE SA

协商出IKE SA ，对第二阶段IPsecSA的协商过程做保护

[R3]ike proposal 1
[R3-ike-proposal-1]encryption-algorithm 3des-cbc 
[R3-ike-proposal-1]authentication-algorithm md5 
[R3-ike-proposal-1]dh group5
[R3-ike-proposal-1]qu[R3]ike peer 1 v1
[R3-ike-peer-1]exchange-mode aggressive 
[R3-ike-peer-1]ike-proposal 1
[R3-ike-peer-1]pre-shared-key simple 520
[R3-ike-peer-1]remote-address 202.101.12.1
[R3-ike-peer-1]qu

配置第二阶段 IPsec SA

在阶段1建立的IKE SA的保护下完成IPSec SA的协商

[R3]ipsec proposal 1
[R3-ipsec-proposal-1]encapsulation-mode tunnel 
[R3-ipsec-proposal-1]esp encryption-algorithm 3des 
[R3-ipsec-proposal-1]esp authentication-algorithm md5 
[R3-ipsec-proposal-1] qu[R3]acl 3000
[R3-acl-adv-3000]rule 5 permit ip source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 
[R3-acl-adv-3000]qu[R3]ipsec policy mypolicy 1 isakmp 
[R3-ipsec-policy-isakmp-mypolicy-1]ike-peer 1
[R3-ipsec-policy-isakmp-mypolicy-1]proposal 1
[R3-ipsec-policy-isakmp-mypolicy-1]security acl 3000
[R3-ipsec-policy-isakmp-mypolicy-1]qu[R3]int g0/0/0
[R3-GigabitEthernet0/0/0]ipsec policy mypolicy 
[R3-GigabitEthernet0/0/0]qu

PC

PC1

在这里插入图片描述

PC2

在这里插入图片描述

检查

那么大家在这个地址不固定的情况下，记得是用R3那边的主机来发起链接
因为R1它并不知道对方的情况，就只能等待R3来发起连接啦
但华为的话，它是可以自动发起连接的，能Ping 通就好啦
在这里插入图片描述

建立成功

细心的就能发现，里面野蛮模式交换的是三个报文，然后成功协商IKE SA
而快速模式的三个报文，就成功的协商IPsec SA
这两个出来就成功建立了 IPsec VPN，对流量实施了加密啦~
这个就是和主模式的六个报文有了区分咯
在这里插入图片描述

查看命令

查看IKE SA的基本信息
[R1]display ike sa
在这里插入图片描述
查看IPsec SA的基本信息
[R1]display ipsec sa
大家可以在图中看到，里面有tunnel的源和目的，就是总部R1上查看IPsec SA信息
可以看到R3此时的IP地址是202.101.23.3 ，这个是它自己获取到的，我们什么都没有动
还有R1 也能通过IPsec SA获取到类似于ACL中，需要匹配保护的流量
所以刚才在上面讲的那么多，都是为了这个而铺垫哒
在这里插入图片描述

清除IKE / IPsec SA命令

在IPsec VPN 建立完成后，我们想修改一些东西的时候，需要把SA清除干净，这个时候才会去重新建立IPsec VPN,我们所添加的东西才会生效
提醒一下呀，就是先把自己需要改的东西先改好，然后再刷新一下
因为华为的IPsec是自动建立的

reset ike sa all
reset ipsec sa
在这里插入图片描述

配置文档

R1

sys
sysn R1 undo info-center enable       int g0/0/0
ip address 202.101.12.1 24
qu
int g0/0/1
ip address 192.168.10.254 24
qu
ip route-static 0.0.0.0 0.0.0.0 202.101.12.2ike proposal 1
encryption-algorithm 3des-cbc 	
authentication-algorithm md5 
dh group5
quike peer 1 v1
exchange-mode aggressive 
ike-proposal 1
pre-shared-key simple 520
quipsec proposal 1
esp encryption-algorithm 3des 
esp authentication-algorithm md5 
encapsulation-mode tunnel ipsec policy-template 1 1
ike-peer 1
proposal 1
quipsec policy mypolicy 1 isakmp template 1 int g0/0/0
ipsec policy mypolicy
qu

R2

sys
sysn ISP_R2
int g0/0/0
ip address 202.101.12.2 24
qu
int g0/0/1
ip address 202.101.23.2 24
qu

R3


sys
sysn R3undo info-center enableint g0/0/0
ip address 202.101.23.3 24
qu
int g0/0/1
ip address 192.168.20.254 24
qu
ip route-static 0.0.0.0 0.0.0.0 202.101.23.2ike proposal 1
encryption-algorithm 3des-cbc 
authentication-algorithm md5 
dh group5
quike peer 1 v1
exchange-mode aggressive 
ike-proposal 1
pre-shared-key simple 520
remote-address 202.101.12.1
quipsec proposal 1
encapsulation-mode tunnel 
esp encryption-algorithm 3des 
esp authentication-algorithm md5 acl 3000
rule 5 permit ip source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 
quipsec policy mypolicy 1 isakmp 
ike-peer 1
proposal 1
security acl 3000
quint g0/0/0
ipsec policy mypolicy 
qu

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.rhkb.cn/news/236391.html

如若内容造成侵权/违法违规/事实不符，请联系长河编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

SpringBoot-开启Actuator监控

SpringBoot-开启Actuator监控

Spring Boot Actuator是Spring Boot提供的一种管理和监控应用程序的框架，可以帮助我们了解应用程序的运行状况，提供HTTP端点来暴露应用程序的不同方面，如健康状况、指标、日志和运行时信息等。 开启Actuator监控，我们可以通过HTT…
阅读更多...
数据库系统概念 第七版 中文答案 第3章 SQL介绍

数据库系统概念 第七版 中文答案 第3章 SQL介绍

3.1 将以下查询使用SQL语言编写，使用大学数据库模式。 （我们建议您实际在数据库上运行这些查询，使用我们在书籍网站db-book.com上提供的示例数据。有关设置数据库和加载示例数据的说明，请参阅上述网站。） a. 查找计算机…
阅读更多...
C++每日一练（15）：简单幂计算

C++每日一练（15）：简单幂计算

题目描述 输入两个数a和b&#xff0c;求a的b次方。 输入 输入两个整数a&#xff0c;b&#xff08;1<a<10&#xff0c;1<b<15&#xff09;。 输出 输出一个正整数&#xff0c;该值<1000000000000。 输入样例 3 3 输出样例 27 参考答案 #include<bits/stdc.h&…
阅读更多...
uni-app中轮播图实现大图预览

uni-app中轮播图实现大图预览

参考效果 当轮播图滑动切换的时候更新自定义下标&#xff0c;当图片被点击的时候大图预览。 参考代码 商品详情页轮播图交互 <script setup lang"ts"> // 轮播图变化时 const currentIndex ref(0) const onChange: UniHelper.SwiperOnChange (ev) > …
阅读更多...
SwiftUI之深入解析布局协议

SwiftUI之深入解析布局协议

一、什么是布局协议&#xff1f; 采用布局协议类型的任务&#xff0c;是告诉 SwiftUI 如何放置一组视图&#xff0c;需要多少空间。这类型常常被作为视图容器&#xff0c;虽然布局协议是 2022 年新推出的&#xff08;至少公开来说&#xff09;&#xff0c;但是我们在第一天使用…
阅读更多...
SpringBoot项目如何防止反编译？

SpringBoot项目如何防止反编译？

SpringBoot项目如何防止反编译&#xff1f; 场景方案项目操作启动方式反编译效果绑定机器启动 场景 最近项目要求部署到其他公司的服务器上&#xff0c;但是又不想将源码泄露出去。要求对正式环境的启动包进行安全性处理&#xff0c;防止客户直接通过反编译工具将代码反编译出…
阅读更多...
影视仓最新配置接口2024tvbox源配置地址

影视仓最新配置接口2024tvbox源配置地址

影视仓是在TVBox开源代码基础上开发的优质版本&#xff0c;安装后需要配置接口才能正常使用。影视仓"内置版"是开发者做的资源内置化修改版本&#xff0c;不用自行设置接口&#xff0c;安装后即可使用。 影视仓的接口配置方法与TVBOX一样&#xff0c;区别在于影视仓…
阅读更多...
TCP/IP 网络模型

TCP/IP 网络模型

TCP/IP 网络通常是由上到下分成 4 层&#xff0c;分别是应用层&#xff0c;传输层&#xff0c;网络层和网络接口层。 应用层 应用层专注于为用户提供应用功能&#xff0c;比如 HTTP、FTP、Telnet、DNS、SMTP等。我们电脑或手机使用的应用软件都是在应用层实现。应用层是不用去关…
阅读更多...
YOLOv6s，map值打印成两位小数（原本是显示0.538，变成显示为53.79）

YOLOv6s，map值打印成两位小数（原本是显示0.538，变成显示为53.79）

显示结果 更改前&#xff1a; 更改后&#xff1a; 方法 将tools/eval.py中的--do_pr_metric后面改为defaultTrue即可打印出map值原本是显示0.538&#xff0c;变成显示为53.79&#xff0c;方法为&#x1f447; 在YOLOv6-main/yolov6/core/evaler.py中做如下更改&#xff1a…
阅读更多...
揭秘HTTP协议：深入了解互联网通信的核心！

揭秘HTTP协议：深入了解互联网通信的核心！

文章目录 HTTPHTTP的消息结构HTTP 常用请求方法HTTP 状态码 HTTP HTTP 是超文本传输协议&#xff0c;HTTP是缩写&#xff0c;全称是 HyperText Transfer Protocol 超文本指的是 HTML、css、JavaScript和图片等&#xff0c;HTTP的出现就是为方便接收和发布超HTML页面&#xff0c…
阅读更多...
20240113斐波那切数列

20240113斐波那切数列

代码 def fibonacci(n):fib_list [0, 1] # 初始的斐波那契数列&#xff0c;包含0和1while len(fib_list) < n:next_number fib_list[-1] fib_list[-2]fib_list.append(next_number)return fib_list[:n]# 示例&#xff1a;计算前10个斐波那契数 n 10 result fibonacci…
阅读更多...
预训练中文GPT2（包括重新训练tokenizer）

预训练中文GPT2（包括重新训练tokenizer）

训练数据 1.json后缀的文件 2.数据是json line格式&#xff0c;一行一条json 3. json结构如下 {"content": "①北京和上海户籍的游客可获得韩国多次签证&#xff1b;②“整容客”可以不经由韩国使领馆、直接在网上申请签证&#xff1b;③中泰免签的实施日期…
阅读更多...
在加载第三方库过程中，无法加载到库的问题(使用readelf, patchelf命令）

在加载第三方库过程中，无法加载到库的问题(使用readelf, patchelf命令）

无法加载到库问题 问题及分析过程readelf 命令patchelf命令 问题及分析过程 在开发一个程序过程中&#xff0c;需要加载第三方库iTapTradeAPI, 在CMakeList.txt中已经设置了CMAKE_INSTALL_RPATH&#xff0c;但是发布到生产之后由于目录问题无法加载到libiTapTradeAPI库了 下面…
阅读更多...
韩语发音干货，零基础韩语学习，柯桥韩语知识点之发音规律

韩语发音干货，零基础韩语学习，柯桥韩语知识点之发音规律

01.连音化 当收音遇到以元音为首音的音节时&#xff0c;收音要和该元音相连发音。 예: 독일[도길] 밥을 [바블] 우산이[우사니] 읽어요[일거요] 02.送气 ㄱ/ㄷ/ㅂ/ㅈ遇到ㅎ,送气化读成ㅋ/ㅌ/ㅍ/ㅊ 예: 어떻게[어떠케] 좋다[조타] 많지만[만치만] 백화점[배콰…
阅读更多...
1.12 力扣中等图论

1.12 力扣中等图论

797. 所有可能的路径 - 力扣&#xff08;LeetCode&#xff09; 给你一个有 n 个节点的 有向无环图&#xff08;DAG&#xff09;&#xff0c;请你找出所有从节点 0 到节点 n-1 的路径并输出&#xff08;不要求按特定顺序&#xff09; graph[i] 是一个从节点 i 可以访问的所有节…
阅读更多...
vscode+opencv基础用法学习1

vscode+opencv基础用法学习1

案例1&#xff1a;读取图片信息 如果是使用云服务器的话&#xff0c;由于图形界面的问题&#xff0c;使用cv::show来显示图片会报错 // 图片的读取和显示 // 导入opencv头文件 #include "opencv2/opencv.hpp" #include <iostream>int main(int argc, char** …
阅读更多...
【Java 设计模式】设计原则

【Java 设计模式】设计原则

文章目录 ✨单一职责原则&#xff08;SRP&#xff09;✨开放/封闭原则&#xff08;OCP&#xff09;✨里氏替换原则&#xff08;LSP&#xff09;✨依赖倒置原则&#xff08;DIP&#xff09;✨接口隔离原则&#xff08;ISP&#xff09;✨合成/聚合复用原则&#xff08;CARP&#…
阅读更多...
动态pv策略和组件

动态pv策略和组件

pv和pvc&#xff0c;存储卷&#xff1a; 存储卷&#xff1a; emptyDir 容器内部&#xff0c;随着pod销毁&#xff0c;emptyDir也会消失 不能做数据持久化 hostPath&#xff1a;持久化存储数据 可以和节点上的目录做挂载。pod被销毁了数据还在 NFS&#xff1a;一台机器&am…
阅读更多...
Java常用类---日期时间类

Java常用类---日期时间类

日期时间类 Date类 简介 在Java中&#xff0c;Date类用来封装当前的日期和时间。Date类提供两个构造函数来初始化对象&#xff0c;如下所示。 通过Date() 使用当前日期和时间来初始化对象。 通过Date(long millisec) 来初始化对象&#xff0c;其中的参数是从1970年1月1日起…
阅读更多...
学习笔记——C++中的循环结构 while语句

学习笔记——C++中的循环结构 while语句

while循环语句 作用&#xff1a;满足循环条件&#xff0c;执行循环语句 语法&#xff1a;while&#xff08;循环条件&#xff09;{循环语句} 解释&#xff1a;只要循环条件的结果为真&#xff0c;就执行循环语句 以打印0-9这十个数字为例&#xff0c;特别需要注意的是&…
阅读更多...
最新文章
推荐文章

Copyright @ 2022~2023

友情链接： 我的编程经验分享 一条长河网 尧图网站开发