本文正在参与 “网络协议必知必会”征文活动

IPSec有点难需要掌握他的逻辑及框架然后就简单了

网络攻城狮眼里的烟花！

在这里插入图片描述

@[TOC](IPSec VPN)

配置案例

要求

配置IP地址、DHCP、路由、NAT

内网可以访问公网2.2.2.2

配置IPsec VPN

PC1能直接访问PC2

抓包验证数据是否加密

拓扑

在这里插入图片描述

配置

基础配置

青海分部IP地址、DHCP、NAT、路由

sys
sys QH
dhcp enable

acl 2000
rule permit so 192.168.10.0 0.0.0.255

int g0/0/0
ip add 192.168.10.254 24
dhcp sel int
int g0/0/1
ip add 12.0.0.1 24
nat outbound 2000

ip route-s 0.0.0.0 0 12.0.0.2
复制代码

上海总部IP地址、DHCP、NAT、路由

sys
sys SH
dhcp enable

acl 2000
rule permit so 192.168.20.0 0.0.0.255

int g0/0/1
ip add 192.168.20.254 24
dhcp sel int
int g0/0/0
ip add 23.0.0.3 24
nat outbound 2000

ip route-s 0.0.0.0 0 23.0.0.2
复制代码

ISP公网

sys
sys ISP

int g0/0/0
ip add 12.0.0.2 24

int g0/0/1
ip add 23.0.0.2 24

int lo 2 
ip add  2.2.2.2 32
复制代码

PC1 在这里插入图片描述 PC2

IPSec VPN配置

青海分部

扫描二维码关注公众号，回复： 13471405 查看本文章

感兴趣流
acl 3000  
 rule 5 permit ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255

提议：
ipsec proposal QH2SH
 esp authentication-algorithm sha2-256 
 esp encryption-algorithm aes-256
 
 策略：
ipsec policy QH2SH 1 manual
 security acl 3000
 proposal QH2SH
 tunnel local 12.0.0.1
 tunnel remote 23.0.0.3
 sa spi inbound esp 12345
 sa string-key inbound esp cipher huawei123
 sa spi outbound esp 12345
 sa string-key outbound esp cipher huawei123

 调用：
 ipsec policy QH2SH
复制代码

上海总部

感兴趣流：
acl 3000
rule 5 permit ip source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255 

提议：
ipsec proposal SH2QH
 esp authentication-algorithm sha2-256 
 esp encryption-algorithm aes-256
 
 策略：
ipsec policy SH2QH 1 manual
 security acl 3000
 proposal SH2QH
 tunnel local 23.0.0.3
 tunnel remote 12.0.0.1
 sa spi inbound esp 12345
 sa string-key inbound esp cipher huawei123
 sa spi outbound esp 12345
 sa string-key outbound esp cipher huawei123

 调用：
 ipsec policy SH2QH
复制代码

配置完成后发现PC1、PC2ping公网能通，PC1与PC2之间ping不通。在这里插入图片描述

分析原因

原因：公网出口的NAT策略与IPSec的感兴趣流冲突

关闭公网接口上的NAT策略在这里插入图片描述发现两PCping不通公网，IPSec VPN 没有一点问题。

解决方法

1、改IPSec上的感兴趣流 2、更改出口上的NAT策略

方案一：改IPSec上的感兴趣流

青海分部

acl number 3000  
 rule 5 permit ip source 12.0.0.1 0.0.0.255 destination192.168.20.0 0.0.0.255 
复制代码

上海分部

acl number 3000  
 rule 5 permit ip source 23.0.0.0 0.0.0.255 destination192.168.10.0 0.0.0.255 
复制代码

在这里插入图片描述 ==ESP加密了数据包==

在这里插入图片描述

方案一：更改出口上的NAT策略

青海分部

acl 3001  
 rule deny ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255
 rule permit ip source any
复制代码

上海分部

acl 3001  
 rule deny ip source 192.168.20.0 0.0.0.255 destination 192.168.10.0 0.0.0.255
 rule permit ip source any
复制代码

重新建ACL3001应用在公网出口上在这里插入图片描述

在这里插入图片描述

IPSec VPN

IPSec：Internet Protocol Security

• 源于IPv6 • IETF制定的一套安全保密性能框架 • 建立在网络层的安全保障机制 • 引入多种加密算法、验证算法和密钥管理机制 • 也具有配置复杂、消耗运算资源较多、增加延迟、不支持组播等缺点 • IPSec VPN是利用IPSec隧道建立的VPN技术在这里插入图片描述

IPSec 核心功能

在这里插入图片描述

IPSec 技术框架

在这里插入图片描述

IPSec安全协议

在这里插入图片描述

IPSec封装模式

在这里插入图片描述传输模式封装结构隧道模式封装结构

安全联盟

SA（Security Association）

• 顾名思义，通信双方结成盟友，相互信任亲密无间，即达成约定 • 由一个（SPI，IP目的地址，安全协议号）三元组唯一标识 • 决定了对报文进行何种处理：模式、协议、算法、密钥、生存周期等 • 每个IPSec SA都是单向的 • 可以手工建立或通过IKE协商生成 • SPD（Security Policy Database） • SAD（Security Association Database）在这里插入图片描述