IPSEC是什么，如何配置？

功能介绍

使用IPSEC静态隧道组网时，需要在每个IPSEC隧道两端手动进行隧道配置，无需动态协商。但随着加密点和隧道的增多，对IPSEC隧道的配置和维护难度也增加，因此静态隧道技术一般应用在加密点比较少的场景。   

应用场景

若总公司和分公司各自的内网要能够互相共享资料，且希望资料在网络传输中不易被黑客截获破解窃取，保证资料的安全保密，此时您可以在总公司和分公司的网络设备上建立IPSec VPN，它即能实现总公司和分公司之间能够直接互相访问资源，也能对数据传输进行加密，保证了数据的安全性。若总部和分公司均是固定IP地址的方式，那么可以采用静态IPSec VPN。   

工作原理

IPSec VPN分为两个协商阶段，ISAKMP阶段及IPSec阶段，ISAKMP阶段主要是协商两端的保护策略，验证对等体的合法性，产生加密密钥，保护第二阶段IPSec SA的协商。第二阶段IPSec 阶段，主要是确定IPSec SA的保护策略，使用AH还是ESP、传输模式还是隧道模式、被保护的数据是什么等等。第二阶段协商的目标就是产生真正用于保护IP数据的IPSec SA。 IPSec通信实体双方对于一、二阶段的这些安全策略必须达成一致，否则IPSec协商将无法通过。       

一、组网需求

两个局域网分别通过两台RSR路由器接入internet（或者专网），同时这两个局域网的网段192.168.0.0/24和192.168.1.0/24间有通信需求，并且要对通信流量进行加密。

该场景通过在两台RSR路由器上部署静态的IPSEC VPN来实现局域网间的通信及数据加密需求。

二、组网拓扑

三、配置要点    

1、配置路由器R1和R2，使R1和R2能够正常访问互联网，并互相能够ping通。

2、在R1配置静态IPSEC VPN隧道

（1）配置ipsec感兴趣流

（2）配置isakmp策略

（3）配置预共享密钥

（4）配置ipsec加密转换集

（5）配置ipsec加密图

（6）将加密图应用到接口

3、在R1配置路由，将局域网2网段路由指向出口

4、在R2配置静态IPSEC VPN隧道

（1）配置ipsec感兴趣流

（2）配置isakmp策略

（3）配置预共享密钥

（4）配置ipsec加密转换集

（5）配置ipsec加密图

（6）将加密图应用到接口

5、在R2配置路由，将局域网1网段路由指向出口

注意：

·内网1和内网2需要互访的IP网段不能重叠。

·RSR50/RSR50E涉及IPSEC功能必须配备AIM-VPN加密卡（如何查看RSR50/RSR50E是否已经配备AIM-VPN加密卡，请查看本文最后的附录部分）

四、配置步骤    

1、配置路由器R1和R2，使R1和R2能够正常访问互联网，并互相能够ping通。

2、在R1配置静态IPSEC VPN隧道

（1）配置ipsec感兴趣流

access-list 101 permit ip 192.168.0.0 0.0.0.255 192.168.1.0 0.0.0.255  //指定感兴趣流为源地址192.168.0.0/24，目的地址为192.168.1.0/24的网段。

（2）配置isakmp策略

crypto isakmp keepalive 5 periodic  //配置IPSEC DPD探测功能    

crypto isakmp policy 1//创建新的isakmp策略

authentication pre-share         //指定认证方式为“预共享密码”，如使用数字证书配置“authentication rsa-sig”，如使用数字信封配置“authentication digital-email”。

group 2     //设置DH组为group2

encryption 3des//指定使用3DES进行加密    

（3）配置预共享密钥

crypto isakmp key 0 ruijie address 10.10.10.2  //指定peer 10.10.10.2的预共享密钥为“ruijie”，对端也必须配置一致的密钥。如使用数字证书/信封认证则无需配置。

（4）配置ipsec加密转换集

crypto ipsec transform-set myset  esp-des esp-md5-hmac //指定ipsec使用esp封装des加密、MD5检验

（5）配置ipsec加密图

crypto map mymap 5 ipsec-isakmp //新建名称为“mymap”的加密图    

set peer 10.10.10.2//指定peer地址    

set transform-set myset//指定加密转换集“myset”    

match address 101//指定感兴趣流为ACL 101

（6）将加密图应用到接口

interface F0/0

crypto map mymap

3、在R1配置路由，将局域网2网段路由指向出口

       ip route 192.168.1.0 255.255.255.0 10.10.10.2

4、在R2配置静态IPSEC VPN隧道

（1）配置ipsec感兴趣流

access-list 101 permit ip 192.168.1.0 0.0.0.255 192.168.0.0 0.0.0.255  //指定感兴趣流为源地址192.168.1.0/24，目的地址为192.168.0.0/24的网段。

（2）配置isakmp策略

crypto isakmp policy 1//创建新的isakmp策略

authentication pre-share         //指定认证方式为“预共享密码”，如使用数字证书配置“authentication rsa-sig”，如使用数字信封配置“authentication digital-email”。

group 2     //设置DH组为group2

encryption 3des//指定使用3DES进行加密    

（3）配置预共享密钥

crypto isakmp key 0 ruijie address 10.10.10.1  //指定peer 10.10.10.1的预共享密钥为“ruijie”，对端也必须配置一致的密钥。如使用数字证书/信封认证则无需配置。

（4）配置ipsec加密转换集

crypto ipsec transform-set myset  esp-des esp-md5-hmac //指定ipsec使用esp封装des加密、MD5检验

（5）配置ipsec加密图

crypto map mymap 5 ipsec-isakmp //新建名称为“mymap”的加密图    

set peer 10.10.10.1//指定peer地址    

set transform-set myset//指定加密转换集“myset”    

match address 101//指定感兴趣流为ACL 101

（6）将加密图应用到接口

interface FastEthernet0/0

crypto map mymap

5、在R2配置路由，将局域网2网段路由指向出口

       ip route 192.168.0.0 255.255.255.0 10.10.10.1

五、配置验证

1、在R1上以源地址192.168.0.1 ping 192.168.1.1，能够正常通信

R1#ping 192.168.1.1 source 192.168.0.1

Sending 5, 100-byte ICMP Echoes to 192.168.1.1, timeout is 2 seconds:

  < press Ctrl+C to break >

.!!!!      

2、在R1上查看isakmp、ipsec sa是否已经协商成功

Ruijie#show crypto isakmp sa //查看isakmp sa协商情况

 destination         source   state        conn-id  lifetime(second)

 10.10.10.2      10.10.10.1   IKE_IDLE   0             84129   //isakmp协商成功，状态为IKE_IDLE    

Ruijie#show crypto ipsec sa//查看ipsec sa协商情况    

Interface: GigabitEthernet 0/0    

Crypto map tag:mymap             //接口下所应用的加密图名称                                    

local ipv4 addr 10.10.10.1//进行isakmp/ipsec协商时所使用的IP地址    

media mtu 1500

==================================

sub_map type:static, seqno:5, id=0    

local  ident (addr/mask/prot/port): (192.168.0.0/0.0.0.255/0/0))          //感兴趣流源地址

remote  ident (addr/mask/prot/port): (192.168.1.0/0.0.0.255/0/0))      //感兴趣流目的地址    

PERMIT

#pkts encaps: 4, #pkts encrypt: 4, #pkts digest 4//成功封装、加密、摘要报文个数

#pkts decaps: 4, #pkts decrypt: 4, #pkts verify 4//成功解封装，解密、检验报文个数，有数据通过IPSEC加密进行通信时，重复执行show crypto ipsec sa命令可以看到以上统计个数会不断增加。

#send errors 0, #recv errors 0//发送、接收错误报文个数，正常情况下该统计不增加。    

         Inbound esp sas:

spi:0x2ecca8e (49072782)//ipsec sa入方向的spi    

transform: esp-des esp-md5-hmac    //ipsec加密转换集为esp-des esp-md5-hmac

in use settings={Tunnel Encaps,}//采用隧道模式

crypto map mymap 5

sa timing: remaining key lifetime (k/sec): (4606998/1324)  //离安全联盟的生命周期到期还有：4606998千字节/1324秒

IV size: 8 bytes   //IV向量长度为8

               Replay detection support:Y   //抗重播处理    

         Outbound esp sas:

spi:0x5730dd4b (1462820171)//ipsec sa出方向的spi，只有看到了inbound spi和outbound spi才说明ipsec sa已经协商成功。    

transform: esp-des esp-md5-hmac

 in use settings={Tunnel Encaps,}

crypto map mymap 5

sa timing: remaining key lifetime (k/sec): (4606998/1324)

IV size: 8 bytes

Replay detection support:Y