【华三培训】手工方式建立IPSec 安全隧道的方法

　　1. 组网需求

　　􀁺 在 Router A 和Router B 之间建立一个安全隧道，对Host A 所在的子网 (10.1.1.0/24)与Host B 所在的子网(10.1.2.0/24)之间的数据流进行安全保护。

　　􀁺 安全协议采用 ESP 协议，加密算法采用DES，认证算法采用SHA1-HMAC-96

　　2. 组网图

　　3. 配置步骤

　　(1) 配置Router A

　　# 配置一个访问控制列表，定义由子网10.1.1.0/24 去子网10.1.2.0/24 的数据流。

　　 system-view

　　[RouterA] acl number 3101

　　[RouterA-acl-adv-3101] rule permit ip source 10.1.1.0 0.0.0.255 destination

　　10.1.2.0 0.0.0.255

　　[RouterA-acl-adv-3101] rule deny ip source any destination any

　　[RouterA-acl-adv-3101] quit

　　# 配置到Host B 的静态路由。

　　[RouterA] ip route-static 10.1.2.0 255.255.255.0 serial 2/1

　　# 创建名为tran1 的安全提议。

　　[RouterA] ipsec proposal tran1

　　# 报文封装形式采用隧道模式。

　　[RouterA-ipsec-proposal-tran1] encapsulation-mode tunnel

　　# 安全协议采用ESP 协议。

　　[RouterA-ipsec-proposal-tran1] transform esp

　　# 选择算法。

　　[RouterA-ipsec-proposal-tran1] esp encryption-algorithm des

　　[RouterA-ipsec-proposal-tran1] esp authentication-algorithm sha1

　　[RouterA-ipsec-proposal-tran1] quit

　　# 创建一条安全策略，协商方式为manual。

　　[RouterA] ipsec policy map1 10 manual

　　# 引用访问控制列表。

　　[RouterA-ipsec-policy-manual-map1-10] security acl 3101

　　# 引用安全提议。

　　[RouterA-ipsec-policy-manual-map1-10] proposal tran1

　　# 配置对端地址。

　　[RouterA-ipsec-policy-manual-map1-10] tunnel remote 2.2.3.1

　　# 配置本端地址。

　　[RouterA-ipsec-policy-manual-map1-10] tunnel local 2.2.2.1

　　# 配置SPI。

　　[RouterA-ipsec-policy-manual-map1-10] sa spi outbound esp 12345

　　[RouterA-ipsec-policy-manual-map1-10] sa spi inbound esp 54321

　　# 配置密钥。

　　[RouterA-ipsec-policy-manual-map1-10] sa string-key outbound esp abcdefg

　　[RouterA-ipsec-policy-manual-map1-10] sa string-key inbound esp gfedcba

　　[RouterA-ipsec-policy-manual-map1-10] quit

　　# 配置串口的IP 地址。

　　[RouterA] interface serial 2/1

　　[RouterA-Serial2/1] ip address 2.2.2.1 255.255.255.0

　　# 在串口上应用安全策略组。

　　[RouterA-Serial2/1] ipsec policy map1

　　(2) 配置Router B

　　# 配置一个访问控制列表，定义由子网10.1.2.0/24 去子网10.1.1.0/24 的数据流。

　　 system-view

　　[RouterB] acl number 3101

　　[RouterB-acl-adv-3101] rule permit ip source 10.1.2.0 0.0.0.255 destination

　　10.1.1.0 0.0.0.255

　　[RouterB-acl-adv-3101] rule deny ip source any destination any

　　[RouterB-acl-adv-3101] quit

　　# 配置到HostA 的静态路由。

　　[RouterB] ip route-static 10.1.1.0 255.255.255.0 serial 2/2

　　# 创建名为tran1 的安全提议。

　　[RouterB] ipsec proposal tran1

　　# 报文封装形式采用隧道模式。

　　[RouterB-ipsec-proposal-tran1] encapsulation-mode tunnel

　　# 安全协议采用ESP 协议。

　　[RouterB-ipsec-proposal-tran1] transform esp

　　# 选择算法。

　　[RouterB-ipsec-proposal-tran1] esp encryption-algorithm des

　　[RouterB-ipsec-proposal-tran1] esp authentication-algorithm sha1

　　[RouterB-ipsec-proposal-tran1] quit

　　# 创建一条安全策略，协商方式为manual。

　　[RouterB] ipsec policy use1 10 manual

　　# 引用访问控制列表。

　　[RouterB-ipsec-policy-manual-use1-10] security acl 3101

　　# 引用安全提议。

　　[RouterB-ipsec-policy-manual-use1-10] proposal tran1

　　# 配置对端地址。

　　[RouterB-ipsec-policy-manual-use1-10] tunnel remote 2.2.2.1

　　# 配置本端地址。

　　[RouterB-ipsec-policy-manual-use1-10] tunnel local 2.2.3.1

　　# 配置SPI。

　　[RouterB-ipsec-policy-manual-use1-10] sa spi outbound esp 54321

　　[RouterB-ipsec-policy-manual-use1-10] sa spi inbound esp 12345

　　# 配置密钥。

　　[RouterB-ipsec-policy-manual-use1-10] sa string-key outbound esp gfedcba

　　[RouterB-ipsec-policy-manual-use1-10] sa string-key inbound esp abcdefg

　　[RouterB-ipsec-policy-manual-use1-10] quit

　　# 配置串口的IP 地址。

　　[RouterB] interface serial 2/2

　　[RouterB-Serial2/2] ip address 2.2.3.1 255.255.255.0

　　# 在串口上应用安全策略组。

　　[RouterB-Serial2/2] ipsec policy use1

　　以上配置完成后，Router A 和Router B 之间的安全隧道就建立好了，子网

　　10.1.1.0/24 与子网10.1.2.0/24 之间的数据流将被加密传输。