IPsec VPN配置方式

最新推荐文章于 2025-06-05 18:06:04 发布
最新推荐文章于 2025-06-05 18:06:04 发布
阅读量7.7k 收藏 29
点赞数 43
CC 4.0 BY-SA版权
文章标签： 运维 网络安全 网络 计算机网络 安全性测试
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.youkuaiyun.com/Mario_Ti/article/details/136567074
本文介绍了IPsec隧道的建立方式，包括手工方式和IKE方式。手工方式适用于小型静态网络，需手工配置全部参数；IKE方式又分为ISAKMP方式和模板方式，前者配置步骤稍多，后者可简化多条隧道配置，但采用模板的一端不能主动发起协商。抓包分析显示数据均加密。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

一、手工方式建立

手工方式建立IPsec的场景，全部参数需要手工配置，工作量大，适用于小型静态网络。

当企业总部与分支通过FW1和FW2之间建立的IPsec隧道进行安全通信。

手工配置步骤主要有四个：

①定义需要保护的数据流；

②配置IPsec安全提议，两端通过对方的提议决定是否成为盟友，封装模式、安全协议、加密算法、验证算法均在此处配置；

③配置手工方式的IPsec策略，指定总部和分支防火墙的公网地址、安全联盟标识符SPI，以及加密密钥和验证密钥；、

④应用IPsec策略。

[Fw1]acl number 3000
[Fw1-acl-adv-3000]rule 5 permit ip source 192.168.0.0 0.0.0.255 destination 172.
16.0.0 0.0.0.255
[Fw1-acl-adv-3000]quit

[Fw1]ipsec proposal pro1
[Fw1-ipsec-proposal-pro1]transform esp
[Fw1-ipsec-proposal-pro1]encapsulation-mode tunnel
[Fw1-ipsec-proposal-pro1]esp authentication-algorithm sha2-256
[Fw1-ipsec-proposal-pro1]esp encryption-algorithm aes-256
[Fw1-ipsec-proposal-pro1]quit

[Fw1]ipsec policy policy1 1 manual
[Fw1-ipsec-policy-manual-policy1-1]security acl 3000
[Fw1-ipsec-policy-manual-policy1-1]proposal pro1
[Fw1-ipsec-policy-manual-policy1-1]tunnel local 1.1.1.1
[Fw1-ipsec-policy-manual-policy1-1]tunnel remote 2.2.2.1
[Fw1-ipsec-policy-manual-policy1-1]sa spi inbound esp 54321
[Fw1-ipsec-policy-manual-policy1-1]sa spi outbound esp 12345
[Fw1-ipsec-policy-manual-policy1-1]sa string-key inbound esp huawei@123
[Fw1-ipsec-policy-manual-policy1-1]sa string-key outbound esp huawei@456

[Fw1]interface g1/0/1
[Fw1-GigabitEthernet1/0/1]ipsec policy policy1

[Fw1]ip route-static 172.16.0.0 24 1.1.1.2
[FW2]acl number 3000
[FW2-acl-adv-3000]rule 5 permit ip source 172.16.0.0 0.0.0.255 destination 192.1
68.0.0 0.0.0.255
[FW2-acl-adv-3000]quit

[FW2]ipsec proposal pro1
[FW2-ipsec-proposal-pro1]transform esp
[FW2-ipsec-proposal-pro1]encapsulation-mode tunnel
[FW2-ipsec-proposal-pro1]esp authentication-algorithm sha2-256
[FW2-ipsec-proposal-pro1]esp encryption-algorithm aes-256
[FW2-ipsec-proposal-pro1]quit

[FW2]ipsec policy policy1 1 manual
[FW2-ipsec-policy-manual-policy1-1]security acl 3000
[FW2-ipsec-policy-manual-policy1-1]proposal pro1
[FW2-ipsec-policy-manual-policy1-1]tunnel local 2.2.2.1
[FW2-ipsec-policy-manual-policy1-1]tunnel remote 1.1.1.1
[FW2-ipsec-policy-manual-policy1-1]sa spi inbound esp 12345
[FW2-ipsec-policy-manual-policy1-1]sa spi outbound esp 54321
[FW2-ipsec-policy-manual-policy1-1]sa string-key inbound esp huawei@456
[FW2-ipsec-policy-manual-policy1-1]sa string-key outbound esp huawei@123

[FW2]interface g1/0/1
[FW2-GigabitEthernet1/0/1]ipsec policy policy1

[FW2]ip route-static 192.168.0.0 24 2.2.2.2

[Fw1]firewall zone trust
[Fw1-zone-trust]add interface g1/0/0
[Fw1-zone-trust]firewall zone untrust
[Fw1-zone-untrust]add interface g1/0/1

[Fw1-policy-security]display this
2024-03-08 11:53:20.430 
#
security-policy
 rule name tr_to_untr
  source-zone trust
  destination-zone untrust
  source-address 192.168.0.0 mask 255.255.255.0
  destination-address 172.16.0.0 mask 255.255.255.0
  action permit
 rule name local_to_untr
  source-zone local
  destination-zone untrust
  source-address 1.1.1.1 mask 255.255.255.255
  destination-address 2.2.2.1 mask 255.255.255.255
  action permit
 rule name untr_to_local
  source-zone untrust
  destination-zone local
  source-address 2.2.2.1 mask 255.255.255.255
  destination-address 1.1.1.1 mask 255.255.255.255
  action permit
 rule name untr_to_tr
  source-zone untrust
  destination-zone trust
  source-address 172.16.0.0 mask 255.255.255.0
  action permit
#
return


[FW2]firewall zone trust
[FW2-zone-trust]add interface g1/0/0
[FW2-zone-trust]firewall zone untrust
[FW2-zone-untrust]add interface g1/0/1

[FW2-policy-security]display this 
2024-03-08 11:56:43.140 
#
security-policy
 rule name tr_to_untr
  source-zone trust
  destination-zone untrust
  source-address 172.16.0.0 mask 255.255.255.0
  destination-address 192.168.0.0 mask 255.255.255.0
  action permit
 rule name local_to_untr
  source-zone local
  destination-zone untrust
  source-address 2.2.2.1 mask 255.255.255.255
  destination-address 1.1.1.1 mask 255.255.255.255
  action permit
 rule name untr_to_local
  source-zone untrust
  destination-zone local
  source-address 1.1.1.1 mask 255.255.255.255
  destination-address 2.2.2.1 mask 255.255.255.255
  action permit
 rule name untr_to_tr
  source-zone untrust
  destination-zone trust
  source-address 192.168.0.0 mask 255.255.255.0
  destination-address 172.16.0.0 mask 255.255.255.0
  action permit
#
return

注意：配置Trust域与Untrust域之间的域间安全策略、配置Untrust域与Local域之间的域间安全策略。

当PC1 ping PC2时，通过抓包可以发现，去程包的SPI为0x00003039，即12345，回程为0x0000等31 ，即54321。

分析报文内容，ESP报文头部内消息被加密。

若采用AH，抓包分析，可见AH没有加密功能，只有验证功能。

二、IKE方式建立

1、ISAKMP方式的IPsec策略

相比手工配置的方式，采用ISAKMP方式的IPsec策略配置步骤只多了两步，配置IKE安全提议和IKE对等体，以IKEv1为例。

ISAKMP方式的IPsec策略配置示意图可参考下图：

[Fw1]ike proposal 10
[Fw1-ike-proposal-10]display this
2024-03-09 07:28:31.710 
#
ike proposal 10
 encryption-algorithm aes-256
 dh group14
 authentication-algorithm sha2-256
 authentication-method pre-share
 integrity-algorithm hmac-sha2-256
 prf hmac-sha2-256
#
return

[Fw1]ike peer b
[Fw1-ike-peer-b]ike-proposal 10
[Fw1-ike-peer-b]undo version 2
[Fw1-ike-peer-b]exchange-mode main
[Fw1-ike-peer-b]remote-address 2.2.2.1
[Fw1-ike-peer-b]pre-shared-key test1

[Fw1]acl number 3000
[Fw1-acl-adv-3000]display this
2024-03-09 07:30:58.010 
#
acl number 3000
 rule 5 permit ip source 192.168.0.0 0.0.0.255 destination 172.16.0.0 0.0.0.255
#
return

[Fw1]ipsec proposal a
[Fw1-ipsec-proposal-a]transform esp
[Fw1-ipsec-proposal-a]encapsulation-mode tunnel
[Fw1-ipsec-proposal-a]esp authentication-algorithm sha2-256
[Fw1-ipsec-proposal-a]esp encryption-algorithm aes-256

[Fw1]ipsec policy policy1 1 isakmp 
Info: The ISAKMP policy sequence number should be smaller than the template poli
cy sequence number in the policy group. Otherwise, the ISAKMP policy does not ta
ke effect.
[Fw1-ipsec-policy-isakmp-policy1-1]security acl 3000
[Fw1-ipsec-policy-isakmp-policy1-1]proposal a
[Fw1-ipsec-policy-isakmp-policy1-1]ike-peer b

[Fw1]interface g1/0/1
[Fw1-GigabitEthernet1/0/1]ipsec policy policy1

[Fw1]ip route-static 172.16.0.0 24 1.1.1.2


[FW2]ike proposal 10
[FW2-ike-proposal-10]quit

[FW2]ike peer a
[FW2-ike-peer-a]ike-proposal 10
[FW2-ike-peer-a]undo version 2
[FW2-ike-peer-a]exchange-mode main
[FW2-ike-peer-a]remote-address 1.1.1.1
[FW2-ike-peer-a]pre-shared-key test1

[FW2]acl number 3000
[FW2-acl-adv-3000]display this
2024-03-09 07:36:12.140 
#
acl number 3000
 rule 5 permit ip source 172.16.0.0 0.0.0.255 destination 192.168.0.0 0.0.0.255
#
return

[FW2]ipsec proposal b
[FW2-ipsec-proposal-b]transform esp
[FW2-ipsec-proposal-b]encapsulation-mode tunnel
[FW2-ipsec-proposal-b]esp authentication-algorithm sha2-256
[FW2-ipsec-proposal-b]esp encryption-algorithm aes-256

[FW2]ipsec policy policy1 1 isakmp
Info: The ISAKMP policy sequence number should be smaller than the template poli
cy sequence number in the policy group. Otherwise, the ISAKMP policy does not ta
ke effect.
[FW2-ipsec-policy-isakmp-policy1-1]security acl 3000
[FW2-ipsec-policy-isakmp-policy1-1]proposal b
[FW2-ipsec-policy-isakmp-policy1-1]ike-peer a

[FW2]interface g1/0/1
[FW2-GigabitEthernet1/0/1]ipsec policy policy1

[FW2]ip route-static 192.168.0.0 24 2.2.2.2

FW2的web配置方式与FW1类似，此处不再赘述。

安全策略的配置仍与手工配置一致即可。

[Fw1]firewall zone trust
[Fw1-zone-trust]add interface g1/0/0
[Fw1-zone-trust]firewall zone untrust
[Fw1-zone-untrust]add interface g1/0/1

[Fw1-policy-security]display this
2024-03-08 11:53:20.430 
#
security-policy
 rule name tr_to_untr
  source-zone trust
  destination-zone untrust
  source-address 192.168.0.0 mask 255.255.255.0
  destination-address 172.16.0.0 mask 255.255.255.0
  action permit
 rule name local_to_untr
  source-zone local
  destination-zone untrust
  source-address 1.1.1.1 mask 255.255.255.255
  destination-address 2.2.2.1 mask 255.255.255.255
  action permit
 rule name untr_to_local
  source-zone untrust
  destination-zone local
  source-address 2.2.2.1 mask 255.255.255.255
  destination-address 1.1.1.1 mask 255.255.255.255
  action permit
 rule name untr_to_tr
  source-zone untrust
  destination-zone trust
  source-address 172.16.0.0 mask 255.255.255.0
  action permit
#
return


[FW2]firewall zone trust
[FW2-zone-trust]add interface g1/0/0
[FW2-zone-trust]firewall zone untrust
[FW2-zone-untrust]add interface g1/0/1

[FW2-policy-security]display this 
2024-03-08 11:56:43.140 
#
security-policy
 rule name tr_to_untr
  source-zone trust
  destination-zone untrust
  source-address 172.16.0.0 mask 255.255.255.0
  destination-address 192.168.0.0 mask 255.255.255.0
  action permit
 rule name local_to_untr
  source-zone local
  destination-zone untrust
  source-address 2.2.2.1 mask 255.255.255.255
  destination-address 1.1.1.1 mask 255.255.255.255
  action permit
 rule name untr_to_local
  source-zone untrust
  destination-zone local
  source-address 1.1.1.1 mask 255.255.255.255
  destination-address 2.2.2.1 mask 255.255.255.255
  action permit
 rule name untr_to_tr
  source-zone untrust
  destination-zone trust
  source-address 192.168.0.0 mask 255.255.255.0
  destination-address 172.16.0.0 mask 255.255.255.0
  action permit
#
return

抓包分析可见，SPI是随机生成的，以及用了ESP，具有加密功能。

2、模板方式的IPsec策略

采用模板可以简化多条IPsec隧道建立的配置工作，但是采用模板方式时，采用模板的一端不能主动发起协商，只能作为协商响应的一方接受对端的协商请求，隧道两端不可以同时采用模板配置的方式。

模板方式的IPsec策略示意图如下所示：

此处以点到多点为例，更能体现模板方式的魅力之处，总部与分部1、2如图所示。

AR1基础配置：

[AR1]interface g0/0/1
[AR1-GigabitEthernet0/0/1]ip add 1.1.1.2 24
[AR1-GigabitEthernet0/0/1]quit
[AR1]interface g0/0/0
[AR1-GigabitEthernet0/0/0]ip add 2.2.2.2 24
[AR1-GigabitEthernet0/0/0]quit
[AR1]interface g0/0/2
[AR1-GigabitEthernet0/0/2]ip add 3.3.3.2 24

[AR1]ip route-static 192.168.0.0 24 1.1.1.1
[AR1]ip route-static 172.16.1.0 24 2.2.2.1
[AR1]ip route-static 172.16.2.0 24 3.3.3.1

FW1基础配置：

[FW1]interface g1/0/0
[FW1-GigabitEthernet1/0/0]ip add 192.168.0.254 24
[FW1-GigabitEthernet1/0/0]quit
[FW1]interface g1/0/1
[FW1-GigabitEthernet1/0/1]ip add 1.1.1.1 24
[FW1-GigabitEthernet1/0/1]quit

[FW1]firewall zone untrust
[FW1-zone-untrust]add interface g1/0/1
[FW1-zone-untrust]quit
[FW1]firewall zone trust
[FW1-zone-trust]add interface g1/0/0

[FW1]ip route-static 172.16.1.0 24 1.1.1.2
[FW1]ip route-static 172.16.2.0 24 1.1.1.2

FW2基础配置：

[FW2]interface g1/0/0
[FW2-GigabitEthernet1/0/0]ip add 172.16.1.254 24
[FW2-GigabitEthernet1/0/0]quit
[FW2]interface g1/0/1
[FW2-GigabitEthernet1/0/1]ip add 2.2.2.1 24
[FW2-GigabitEthernet1/0/1]quit

[FW2]firewall zone trust
[FW2-zone-trust]add interface g1/0/0
[FW2-zone-trust]quit
[FW2]firewall zone untrust
[FW2-zone-untrust]add interface g1/0/1
[FW2-zone-untrust]quit

[FW2]ip route-static 192.168.0.0 24 2.2.2.2

FW3基础配置：

[FW3]interface g1/0/0
[FW3-GigabitEthernet1/0/0]ip add 172.16.2.254 24
[FW3-GigabitEthernet1/0/0]quit
[FW3]interface g1/0/1
[FW3-GigabitEthernet1/0/1]ip add 3.3.3.1 24
[FW3-GigabitEthernet1/0/1]quit

[FW3]firewall zone trust
[FW3-zone-trust]add interface g1/0/0
[FW3-zone-trust]quit
[FW3]firewall zone untrust
[FW3-zone-untrust]add interface g1/0/1
[FW3-zone-untrust]quit

[FW3]ip route-static 192.168.0.0 24 3.3.3.2

总部采用模板方式进行配置，分部采用ISAKMP方式配置IPsec策略，若总部配置remote-address指定隧道对端IP地址端，那么总部会检查分部设备的ID（IP地址）是否包含在IP地址段中，包含则接纳请求，若没有配置remote-address，总部职能接收分部的主动访问，不验证分部，也不主动访问分支。

可见模板方式可以应付对端没有固定IP地址、没有公网IP地址的局面，当然这都是总部放弃主动访问分部为代价所获得的。

[FW1]ike proposal 10
[FW1-ike-proposal-10]quit

[FW1]ike peer a
[FW1-ike-peer-a]ike-proposal 10
[FW1-ike-peer-a]pre-shared-key test1
Info: The password you entered does not meet the minimum complexity requirement.
The password is suggested to contain at least three types of characters from the
 following four groups: Uppercase letters <A-Z>; Lowercase letters <a-z>; Numera
ls <0-9>; Symbols (all characters not defined as letters or numerals), such as !
,$,#, and %.
[FW1-ike-peer-a]quit

[FW1]acl number 3000
[FW1-acl-adv-3000]rule 5 permit ip source 192.168.0.0 0.0.0.255 destination 172.16.1.0 0.0.0.255
[FW1-acl-adv-3000]rule 10 permit ip source 192.168.0.0 0.0.0.255 destination 172.16.2.0 0.0.0.255
[FW1-acl-adv-3000]quit

[FW1]ipsec proposal a
[FW1-ipsec-proposal-a]display this
2024-03-09 08:27:29.610 
#
ipsec proposal a
 esp authentication-algorithm sha2-256
 esp encryption-algorithm aes-256
#
return

[FW1]ipsec policy-template teml 1
[FW1-ipsec-policy-templet-teml-1]display this
2024-03-09 08:42:17.640 
#
ipsec policy-template teml 1
 security acl 3000
 ike-peer a
 proposal a
#
return

[FW1]ipsec policy policy1 12 isakmp  template teml
Info: The ISAKMP policy sequence number should be smaller than the template poli
cy sequence number in the policy group. Otherwise, the ISAKMP policy does not ta
ke effect.

[FW1]interface g1/0/1
[FW1-GigabitEthernet1/0/1]ipsec policy policy1




[FW2]ike proposal 10
[FW2-ike-proposal-10]quit

[FW2]ike peer a
[FW2-ike-peer-a]ike-proposal 10
[FW2-ike-peer-a]remote-address 1.1.1.1
[FW2-ike-peer-a]pre-shared-key test1
Info: The password you entered does not meet the minimum complexity requirement.
The password is suggested to contain at least three types of characters from the
 following four groups: Uppercase letters <A-Z>; Lowercase letters <a-z>; Numera
ls <0-9>; Symbols (all characters not defined as letters or numerals), such as !
,$,#, and %.
[FW2-ike-peer-a]quit

[FW2]acl number 3000
[FW2-acl-adv-3000]rule 5 permit ip source 172.16.1.0 0.0.0.255 destination 192.168.0.0 0.0.0.255
[FW2-acl-adv-3000]quit

[FW2]ipsec proposal a
[FW2-ipsec-proposal-a]display this
2024-03-09 08:34:23.380 
#
ipsec proposal a
 esp authentication-algorithm sha2-256
 esp encryption-algorithm aes-256
#
return
[FW2-ipsec-proposal-a]quit

[FW2]ipsec policy policy1 1 isakmp
Info: The ISAKMP policy sequence number should be smaller than the template poli
cy sequence number in the policy group. Otherwise, the ISAKMP policy does not ta
ke effect.
[FW2-ipsec-policy-isakmp-policy1-1]security acl 3000
[FW2-ipsec-policy-isakmp-policy1-1]proposal a
[FW2-ipsec-policy-isakmp-policy1-1]ike-peer a
[FW2-ipsec-policy-isakmp-policy1-1]quit

[FW2]interface g1/0/1
[FW2-GigabitEthernet1/0/1]ipsec policy policy1

安全策略配置

[FW1-policy-security]display this
2024-03-09 08:47:30.710 
#
security-policy
 rule name tr_to_untr
  source-zone trust
  destination-zone untrust
  source-address 192.168.0.0 mask 255.255.255.0
  destination-address 172.16.1.0 mask 255.255.255.0
  destination-address 172.16.2.0 mask 255.255.255.0
  action permit
 rule name local_to_untr
  source-zone local
  destination-zone untrust
  source-address 1.1.1.1 mask 255.255.255.255
  destination-address 2.2.2.1 mask 255.255.255.255
  destination-address 3.3.3.1 mask 255.255.255.255
  action permit
 rule name untr_to_local
  source-zone untrust
  destination-zone local
  source-address 2.2.2.1 mask 255.255.255.255
  source-address 3.3.3.1 mask 255.255.255.255
  destination-address 1.1.1.1 mask 255.255.255.255
  action permit
 rule name untr_to_tr
  source-zone untrust
  destination-zone trust
  source-address 172.16.1.0 mask 255.255.255.0
  source-address 172.16.2.0 mask 255.255.255.0
  action permit
#
return

[FW2-policy-security]display this
2024-03-09 08:51:27.580 
#
security-policy
 rule name tr_to_untr
  source-zone trust
  destination-zone untrust
  source-address 172.16.1.0 mask 255.255.255.0
  destination-address 192.168.0.0 mask 255.255.255.0
  action permit
 rule name local_to_untr
  source-zone local
  destination-zone untrust
  source-address 2.2.2.1 mask 255.255.255.255
  destination-address 1.1.1.1 mask 255.255.255.255
  action permit
 rule name untr_to_local
  source-zone untrust
  destination-zone local
  source-address 1.1.1.1 mask 255.255.255.255
  destination-address 2.2.2.1 mask 255.255.255.255
  action permit
 rule name untr_to_tr
  source-zone untrust
  destination-zone trust
  source-address 192.168.0.0 mask 255.255.255.0
  destination-address 172.16.1.0 mask 255.255.255.0
  action permit
#
return

FW3配置！！！可以自己动手！！！

[FW3]ike proposal 10
[FW3-ike-proposal-10]quit

[FW3]ike peer a
[FW3-ike-peer-a]ike-proposal 10
[FW3-ike-peer-a]remote-address 1.1.1.1
[FW3-ike-peer-a]pre-shared-key test1
Info: The password you entered does not meet the minimum complexity requirement.
The password is suggested to contain at least three types of characters from the
 following four groups: Uppercase letters <A-Z>; Lowercase letters <a-z>; Numera
ls <0-9>; Symbols (all characters not defined as letters or numerals), such as !
,$,#, and %.
[FW3-ike-peer-a]quit

[FW3]acl number 3000
[FW3-acl-adv-3000]rule 5 permit ip source 172.16.2.0 0.0.0.255 destination 192.1
68.0.0 0.0.0.255
[FW3-acl-adv-3000]quit

[FW3]ipsec proposal a
[FW3-ipsec-proposal-a]quit

[FW3]ipsec policy policy1 1 isakmp
Info: The ISAKMP policy sequence number should be smaller than the template poli
cy sequence number in the policy group. Otherwise, the ISAKMP policy does not ta
ke effect.
[FW3-ipsec-policy-isakmp-policy1-1]security acl 3000
[FW3-ipsec-policy-isakmp-policy1-1]proposal a
[FW3-ipsec-policy-isakmp-policy1-1]ike-peer a
[FW3-ipsec-policy-isakmp-policy1-1]quit

[FW3]interface g1/0/1
[FW3-GigabitEthernet1/0/1]ipsec policy policy1

[FW3-policy-security]display this
2024-03-09 08:56:25.110 
#
security-policy
 rule name tr_to_untr
  source-zone trust
  destination-zone untrust
  source-address 172.16.2.0 mask 255.255.255.0
  destination-address 192.168.0.0 mask 255.255.255.0
  action permit
 rule name local_to_untr
  source-zone local
  destination-zone untrust
  source-address 3.3.3.1 mask 255.255.255.255
  destination-address 1.1.1.1 mask 255.255.255.255
  action permit
 rule name untr_to_local
  source-zone untrust
  destination-zone local
  source-address 1.1.1.1 mask 255.255.255.255
  destination-address 3.3.3.1 mask 255.255.255.255
  action permit
 rule name untr_to_tr
  source-zone untrust
  destination-zone trust
  source-address 192.168.0.0 mask 255.255.255.0
  destination-address 172.16.2.0 mask 255.255.255.0
  action permit
#
return

经过测试可知，分部网络均可以访问总部，但是总部不可以主动访问分部，这就是模板方式，采用模板的一端不能主动发起协商，只能作为协商响应的一方接受对端的协商请求，隧道两端不可以同时采用模板配置的方式。

当分部访问总部，此时的总部可知。

抓包分析，可知数据均加密。

参考资料：防火墙和VPN技术与实践——李学昭

Mario_Ti
关注
IPSEC VPN配置
m0_71264131的博客
04-14 2455
只有在RD状态才表明IKE SA建立成功，其他任何状态都是没有建立成功的。可以看到使用的IPSEC安全策略、IPSEC工作模式、隧道本地和对端IP。3.配置IPSEC VPN实现两端私网互通。Protocol是IPSEC使用的安全协议。2.配置静态路由以保证两端互通。1.正确配置各个IP地址。
关于IPSec VPN 的详细配置与讲解
weixin_74749868的博客
10-14 1万+
IPSec（Internet Protocol Security）是一套用于互联网协议（IP）层的安全协议组合，旨在保护IP通信的安全性。它通过认证、加密和数据完整性验证来确保数据在传输过程中的机密性和完整性。IPSec可以在IPv4和IPv6网络中使用，广泛应用于虚拟专用网络（VPN）和安全站点间通信。
IPSec VPN参数配置显示详解
courniche的博客
05-23 886
- IKE Peer | | - Remote IP | | - ESP算法 || IPSec Policy | 引用 | IKE Peer | 引用 | IPSec Proposal|将IPSec提议、IKE对等体、流量选择器等关联起来，定义如何保护特定流量。定义了数据加密和认证的算法组合，用于建立IPSec安全关联（SA）。定义了IKE阶段1（主模式/积极模式）的协商参数，用于建立安全通道。
IPSEC---VPN
zhoutong2323的博客
03-04 6617
提示：这里对文章进行总结：例如：以上就是今天要讲的内容，本文仅仅简单介绍了pandas的使用，而pandas提供了大量能使我们快速便捷地处理数据的函数和方法。
一文读懂华为防火墙不同类型 VPN 常见问题总结，（非常详细）从零基础到精通，收藏这篇就够了！
最新发布
leah126的博客
06-05 1005
远程办公？跨国协作？VPN 确实是刚需。但一提华为防火墙 VPN，各种幺蛾子问题就来了。阿祥？谁啊？今天咱就来聊聊华为防火墙这几款 VPN，常见的坑，以及怎么优雅地爬出来！别指望一劳永逸，都是血泪教训！
路由器基础（十二）：IPSEC VPN配置
limengshi138392的博客
11-04 1万+
路由器基础（十二）：IPSEC VPN配置
IPSec VPN配置
LCH131420的博客
12-08 1931
执行display ipsec proposal命令，验证配置结果。执行display ipsec proposal命令，验证配置结果。待OSPF收敛完成后，查看OSPF邻居以及路由表。步骤五 配置IPSec VPN提议。步骤七 在接口下应用IPSec策略。步骤四 配置ACL定义感兴趣流。步骤一 完成基本配置。步骤六 创建IPSec策略。步骤八 检测网络的连通性。步骤二 创建逻辑接口。步骤三 配置OSPF。
IPSec VPN 原理与配置
m0_73258133的博客
04-20 4397
VPN就是在两个网络实体之间建立的一种受保护的连接，这两个实体可以通过点到点的链路直 接相连，但通常情况下它们会相隔较远的距离。对于定义的“受保护”一词，可以从以下几个方面理解。实际工作环境中的VPN解决方案不一定包含上述所有功能，这要由具体的环境需求和实现方式 决定。而且很多企业可能采用不止一种的VPN解决方案。
IPsec VPN配置
布丁椰奶冻的博客
07-18 1285
一、虚拟机网络连接方式选择桥接模式 二、在服务器创建一个用户 三、创建角色 四、配置路由和远程访问 五、配置nat接口 六、windows主机创建vpn 七、连接vpn，两边都可以ping通 八、心得体会 1. 问题和解决办法 2. 实验收获
IPsec vpn 配置实验（一端动态地址）
m0_69435261的博客
12-30 1457
因为本篇文章，就是IPsec的实验配置的话，是有一端IP地址不固定的情况下，就需要用到野蛮模式的，第一阶段会更改模式啦，两端都需要更改对于地址固定的总部来说，需要以下注意的点：1） 动态模板 ：如拓扑图中，R1是地址固定那一段，然后它想和自己的分部R3建立IPsec VPN，在不清楚R3的IP地址下，是无法用常规的办法来配置，我们就只能用template来建立2）无需设置ACL： 因为我们并不清楚分部那边有哪些私网的网段那如何去与一端地址不固定的设备建立IPsec 呢？
华为ipsec vpn配置案例
IT技术
04-02 1893
华为ipsec vpn配置案例
防火墙Ipsec vpn的配置
zljszn的博客
10-19 1万+
FW1-object-service-set-ike]service protocol udp destination-port 500 //添加IKE的服务，因为IKE的服务使用的事udp的500端口。rule name trust-untrust（双向访问，所以需要允许trust访问untrust区域，也需要允许untrust访问trust区域）4. 防火墙桥接物理网卡，开启网管界面，具体桥接的方式就不在介绍了，之前的文章有具体讲解ENSP怎么桥接物理网卡。ipsec的配置（FW2也一样）
IPSec VPN原理与配置
qq_61946091的博客
06-15 1万+
IPSec。
IPSec VPN的原理与配置
2301_78256093的博客
06-14 1万+
在配置安全联盟时，入方向和出方向安全联盟的安全参数索引都必须设置，并且本端的入方向安全联盟的SPI值必须和对端的出方向安全联盟的SPI值相同，而本端的出方向安全联盟的SPI值必须和对端的入方向安全联盟的SPI值相同。入方向和出方向安全联盟的认证密钥都必须设置，并且本端的入方向安全联盟的密钥必须和对端的出方向安全联盟的密钥相同；4、隧道模式中的ESP：对整个原始IP报文和ESP尾部进行加密，对ESP报文头、原始IP报文和ESP尾部进行完整性校验。3、传输模式中，在IP报文头和高层协议之间插入AH或ESP头。
华为IPSec VPN的配置
热门推荐
caolongbin的博客
09-08 3万+
基于华为ENSP的简单IPSecVPN实验
简单又复杂的IPSec vpn配置
m0_65896563的博客
06-01 1248
不理解的不要管，先原封不动的打出来，然后在理解就容易了
IPSEC VPN 基本配置
m0_72210904的博客
03-14 1164
r1-ipsec-proposal-aa]esp encryption-algorithm aes-128---定义数据加密算法---缺省des。[r1-ike-proposal-1]encryption-algorithm aes-cbc-128---定义加密算法---缺省是DES算法。[r1-ike-proposal-1]authentication-method pre-share ---定义认证方式---缺省是预共享密钥。
IPSec VPN配置实验
m0_66993332的博客
03-07 4963
IPSecVPN建立的前提：要想在两个站点之间安全的传输IP数据流，它们之间必须要先进行协商，协商它们之间所采用的加密算法，封装技术以及密钥。需要注意的是，尽管IPSec VPN提供了高度的安全性，但它也可能成为黑客攻击的目标。因此，部署IPSec VPN时，还需要考虑到设备的安全管理和持续的监控，以防止潜在的安全威胁。当对等体之间有了安全的管理连接之后，它们就可以接着协商用于构建安全数据连接的安全参数，这个协商过程是安全的，加密的。3.传输过程中数据的加密方式（des、3des、aes）
ensp配置ipsec+vpn
09-28
以ENSP为例，配置＊＊＊略，包括本地和远程地址。例如，使用命令"[fenzhi-ipsec-policy-manual-huawei-10]tunnel local 192.168.23.3"和"[fenzhi-ipsec-policy-manual-huawei-10]tunnel remote 192.168.12.1"来配置本地和远程地址。 2. 配置IPsec隧道，包括隧道本地地址和隧道远程地址。例如，使用命令"[fenzhi-ipsec-policy-manual-huawei-10]tunnel-interface ip address 192.168.23.3 255.255.255.0"和"[fenzhi-ipsec-policy-manual-huawei-10]tunnel-interface remote ip address 192.168.12.1"来配置隧道本地地址和隧道远程地址。 3. 配置IPsec加密算法和认证算法。例如，使用命令"[fenzhi-ipsec-policy-manual-huawei-10]set security-proposal esp-auth-algorithm md5"和"[fenzhi-ipsec-policy-manual-huawei-10]set security-proposal esp-enc-algorithm 3des"来配置IPsec加密算法和认证算法。 4. 配置IPsec策略模板。例如，使用命令"[fenzhi-ipsec-policy-manual-huawei-10]set ike proposal ike-proposal1 encryption-algorithm 3des"和"[fenzhi-ipsec-policy-manual-huawei-10]set ike proposal ike-proposal1 authentication＊＊＊＊＊＊
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值