MSR係列路由器IPsec VPN多分支安全模板NAT穿越功能的配置舉例

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

Copyright © 2014杭州華三通信技術有限公司 版權所有，保留一切權利。 非經本公司書麵許可，任何單位和個人不得擅自摘抄、複製本文檔內容的部分或全部， 並不得以任何形式傳播。本文檔中的信息可能變動，恕不另行通知。

 

目  錄

1 簡介

2 配置前提

3 配置舉例

3.1 組網需求

3.2 配置思路

3.3 使用版本

3.4 配置注意事項

3.5 配置步驟

3.5.1 Router A的配置

3.5.2 Rouer B的配置

3.5.3 Rouer C的配置

3.5.4 Rouer D的配置

3.5.5 Rouer E的配置

3.6 驗證配置

3.7 配置文件

4 相關資料

 

1  簡介

本文檔介紹MSR路由器IPsec VPN多分支安全模板NAT穿越功能的典型配置舉例。

2  配置前提

本文檔不嚴格與具體軟、硬件版本對應，如果使用過程中與產品實際情況有差異，請參考相關產品手冊，或以設備實際情況為準。

本文檔中的配置均是在實驗室環境下進行的配置和驗證，配置前設備的所有參數均采用出廠時的缺省配置。如果您已經對設備進行了配置，為了保證配置效果，請確認現有配置和以下舉例中的配置不衝突。

本文檔假設您已了解IPsec和NAT特性。

3  配置舉例

3.1  組網需求

如圖1所示，Router A為某機構總部網關，Router D和Router E是兩個分支網關，Router B和

Router C為分支提供NAT轉換。要求：為了接受協商發起端的訪問控製列表設置，Router A采用安全模板方式分別與Router D和Router E建立IPsec VPN，為總部和分支流量進行加密傳輸。

圖1 IPSec VPN多分支安全模板NAT穿越功能的配置舉例組網圖

設備	接口	IP地址	設備	接口	IP地址
Router A	Eth0/0	1.0.0.60/24	Router D	Eth0/0	10.0.1.2/24
	Eth0/1	172.0.0.1/24		Eth0/1	192.168.1.1/24
Router B	Eth0/0	1.0.0.1/24	Router E	Eth0/0	10.0.2.2/24
	Eth0/1	10.0.1.1/24		Eth0/1	192.168.2.1/24
Router C	Eth0/0	1.0.0.2/24
	Eth0/1	10.0.2.1/24

 

3.2  配置思路

·     為了穿越NAT，總部與分支之間需要配置成野蠻模式。

·     Router A采用安全模板方式時不需要配置ACL，接受協商發起端的ACL。但Router D和Router E需要配置ACL，使特定流量匹配安全策略；

·     為了訪問總部外網接口，Router D和Router E必須配置靜態路由。

3.3  使用版本

本舉例是在Release 2317版本上進行配置和驗證的。

3.4  配置注意事項

·     在配置IPsec之前，需要保證總部與分支間路由可達。

·     ACL一定不要最後添加一條deny ip的規則，該配置會導致不需要加密的流量被丟棄。

3.5  配置步驟

3.5.1  Router A的配置

# 配置接口Ethernet0/1的IP地址。

<RouterA> system-view

[RouterA] interface ethernet 0/1

[RouterA-Ethernet0/1] ip address 172.0.0.1 255.255.255.0

[RouterA-Ethernet0/1] quit

# 配置接口Ethernet0/0的IP地址。

[RouterA] interface ethernet 0/0

[RouterA-Ethernet0/0] ip address 1.0.0.60 255.255.255.0

[RouterA-Ethernet0/0] quit

# 配置到NAT設備的靜態路由，目的地址為NAT轉換後的地址。

[RouterA] ip route-static 11.0.0.0 255.0.0.0 1.0.0.1

[RouterA] ip route-static 12.0.0.0 255.0.0.0 1.0.0.2

# 配置到分支內網的靜態路由。

[RouterA] ip route-static 192.168.1.0 255.255.255.0 1.0.0.1

[RouterA] ip route-static 192.168.2.0 255.255.255.0 1.0.0.2

# 配置本端安全網關的名字為center。

[RouterA] ike local-name center

# 創建一個IKE對等體branch1，並進入IKE-Peer視圖。

[RouterA] ike peer branch1

# 配置IKE第一階段的協商模式為野蠻模式。

[RouterA-ike-peer-branch1] exchange-mode aggressive

# 選擇IKE第一階段的協商過程中使用ID的類型為name。

[RouterA-ike-peer-branch1] id-type name

# 配置對端安全網關的名字。

[RouterA-ike-peer-branch1] remote-name branch1

# 配置預共享密鑰。

[RouterA-ike-peer-branch1] pre-shared-key 123

# 啟用NAT穿越功能。

[RouterA-ike-peer-branch1] nat traversal

[RouterA-ike-peer-branch1] quit

# 配置IKE對等體branch2。

[RouterA] ike peer branch2

[RouterA-ike-peer-branch2] pre-shared-key 123

[RouterA-ike-peer-branch2] exchange-mode aggressive

[RouterA-ike-peer-branch2] id-type name

[RouterA-ike-peer-branch2] remote-name branch2

[RouterA-ike-peer-branch2] nat traversal

[RouterA-ike-peer-branch2] quit

# 采用安全提議的缺省配置。

[RouterA] ipsec proposal def

# 配置ESP協議采用md5認證算法。

[RouterA-ipsec-transform-set-def] esp authentication-algorithm md5

[RouterA-ipsec-transform-set-def] quit

# 創建IPsec安全策略模板branch1。

[RouterA] ipsec policy-template branch1 1

[RouterA-ipsec-policy-template-branch1-1] ike-peer branch1

[RouterA-ipsec-policy-template-branch1-1] proposal def

[RouterA-ipsec-policy-template-branch1-1] quit

# 引用IPsec安全策略模板創建一條IPsec安全策略。

[RouterA] ipsec policy branch 1 isakmp template branch1

# 創建IPsec安全策略模板branch2。

[RouterA] ipsec policy-template branch2 1

[RouterA-ipsec-policy-template-branch2-1] ike-peer branch2

[RouterA-ipsec-policy-template-branch2-1] proposal def

[RouterA-ipsec-policy-template-branch2-1] quit

# 引用IPsec安全策略模板創建一條IPsec安全策略。

[RouterA] ipsec policy branch 2 isakmp template branch2

# 在接口Ethernet0/0上應用安全策略。

[RouterA] interface ethernet 0/0

[RouterA-Ethernet0/0] ipsec policy branch

[RouterA-Ethernet0/0] quit

3.5.2  Rouer B的配置

# 配置接口Ethernet0/1的IP地址。

<RouterB> system-view

[RouterB] interface ethernet 0/1

[RouterB-Ethernet0/1] ip address 10.0.1.1 255.255.255.0

[RouterB-Ethernet0/1] quit

# 配置接口Ethernet0/0的IP地址。

[RouterB] interface ethernet 0/0

[RouterB-Ethernet0/0] ip address 1.0.0.1 255.255.255.0

[RouterB-Ethernet0/0] quit

# 創建NAT轉換地址池。

[RouterB] nat address-group 0 11.0.0.1 11.0.0.10

# 創建ACL2000,定義需要NAT轉換的數據流。

[RouterB] acl number 2000

[RouterB-acl-basic-2000] rule 0 permit source 10.0.1.0 0.0.0.255

[RouterB-acl-basic-2000] quit

# 在接口下配置訪問控製列表和地址池關聯。

[RouterB] interface ethernet 0/0

[RouterB-Ethernet0/0] nat outbound 2000 address-group 0

[RouterB-Ethernet0/0] quit

3.5.3  Rouer C的配置

# 配置接口Ethernet0/0的IP地址。

<RouterC> system-view

[RouterC] interface ethernet 0/0

[RouterC-Ethernet0/0] ip address 1.0.0.2 255.255.255.0

[RouterC-Ethernet0/0] quit

# 配置接口Ethernet0/1的IP地址。

[RouterC] interface ethernet 0/1

[RouterC-Ethernet0/1] ip address 10.0.2.1 255.255.255.0

[RouterC-Ethernet0/1] quit

# 創建NAT轉換地址池。

[RouterC] nat address-group 0 12.0.0.1 12.0.0.10

# 創建ACL2000,定義需要NAT轉換的數據流。

 [RouterC] acl number 2000

[RouterC-acl-basic-2000] rule 0 permit source 10.0.2.0 0.0.0.255

[RouterC-acl-basic-2000] quit

# 在接口下配置訪問控製列表和地址池關聯。

[RouterC] interface ethernet 0/0

[RouterC-Ethernet0/0] nat outbound 2000 address-group 0

[RouterC-Ethernet0/0] quit

3.5.4  Rouer D的配置

# 配置接口Ethernet0/0的IP地址。

<RouterD> system-view

[RouterD] interface ethernet 0/0

[RouterD-Ethernet0/0] ip address 10.0.1.2 255.255.255.0

[RouterD-Ethernet0/0] quit

# 配置接口Ethernet0/1的IP地址。

[RouterD] interface ethernet 0/1

[RouterD-Ethernet0/1] ip address 192.168.1.1 255.255.255.0

[RouterD-Ethernet0/1] quit

# 配置訪問外網的默認路由。

[RouterD] ip route-static 0.0.0.0 0.0.0.0 10.0.1.1

# 創建ACL3000,定義需要IPsec保護的數據流。

 [RouterD] acl number 3000

[RouterD-acl-adv-3000] rule 0 permit ip source 192.168.1.0 0.0.0.255 destination

 172.0.0.0 0.0.0.255

[RouterD-acl-adv-3000] quit

# 配置本端安全網關的名字為branch1。

[RouterD] ike local-name branch1

# 創建一個IKE對等體，並進入IKE-Peer視圖。

[RouterD] ike peer center

# 配置IKE第一階段的協商模式為野蠻模式。

[RouterD-ike-peer-center] exchange-mode aggressive

# 配置預共享密鑰。

[RouterD-ike-peer-center] pre-shared-key 123

# 選擇IKE第一階段的協商過程中使用ID的類型為name。

[RouterD-ike-peer-center] id-type name

# 配置對端安全網關的名字。

[RouterD-ike-peer-center] remote-name center

# 配置遠端地址為總部網關的出接口地址。

[RouterD-ike-peer-center] remote-address 1.0.0.60

# 啟用NAT穿越功能。

[RouterD-ike-peer-center] nat traversal

[RouterD-ike-peer-center] quit

# 采用安全提議的缺省配置。

[RouterD] ipsec proposal def

# 配置ESP協議采用md5認證算法。

[RouterD-ipsec-transform-set-def] esp authentication-algorithm md5

[RouterD-ipsec-transform-set-def] quit

# 創建IPsec安全策略center，其協商方式為isakmp。

[RouterD] ipsec policy center 1 isakmp

[RouterD-ipsec-policy-isakmp-center-1] security acl 3000

[RouterD-ipsec-policy-isakmp-center-1] ike-peer center

[RouterD-ipsec-policy-isakmp-center-1] proposal def

[RouterD-ipsec-policy-isakmp-center-1] quit

# 在接口Ethernet0/0上應用安全策略。

[RouterD] interface ethernet 0/0

[RouterD-Ethernet0/0] ipsec policy center

[RouterD-Ethernet0/0] quit

3.5.5  Rouer E的配置

# 配置接口Ethernet0/0的IP地址。

<RouterE> system-view

[RouterE] interface ethernet 0/0

[RouterE-Ethernet0/0] ip address 10.0.2.2 255.255.255.0

[RouterE-Ethernet0/0] quit

# 配置接口Ethernet0/1的IP地址。

[RouterE] interface ethernet 0/1

[RouterE-Ethernet0/1] ip address 192.168.2.1 255.255.255.0

[RouterE-Ethernet0/1] quit

# 配置訪問外網的默認路由。

[RouterE] ip route-static 0.0.0.0 0.0.0.0 10.0.2.1

# 創建ACL3000,定義需要IPsec保護的數據流。

[RouterE] acl number 3000

[RouterE-acl-adv-3000] rule 0 permit ip source 192.168.2.0 0.0.0.255 destination

 172.0.0.0 0.0.0.255

[RouterE-acl-adv-3000] quit

# 配置本端安全網關的名字為branch2。

[RouterE] ike local-name branch2

# 創建一個IKE對等體，並進入IKE-Peer視圖。

[RouterE] ike peer center

# 配置IKE第一階段的協商模式為野蠻模式。

[RouterE-ike-peer-center] exchange-mode aggressive

# 配置預共享密鑰。

[RouterE-ike-peer-center] pre-shared-key 123

# 選擇IKE第一階段的協商過程中使用ID的類型為name。

[RouterE-ike-peer-center] id-type name

# 配置對端安全網關的名字。

[RouterE-ike-peer-center] remote-name center

# 配置遠端地址為總部網關的出接口地址。

[RouterE-ike-peer-center] remote-address 1.0.0.60

# 啟用NAT穿越功能。

[RouterE-ike-peer-center] nat traversal

[RouterE-ike-peer-center] quit

# 采用安全提議的缺省配置。

[RouterE] ipsec proposal def

# 配置ESP協議采用md5認證算法。

[RouterE-ipsec-transform-set-def] esp authentication-algorithm md5

[RouterE-ipsec-transform-set-def] quit

# 創建IPsec安全策略center，其協商方式為isakmp。

[RouterE] ipsec policy center 1 isakmp

[RouterE-ipsec-policy-isakmp-center-1] security acl 3000

[RouterE-ipsec-policy-isakmp-center-1] ike-peer center

[RouterE-ipsec-policy-isakmp-center-1] proposal def

[RouterE-ipsec-policy-isakmp-center-1] quit

# 在接口Ethernet0/0上應用安全策略。

[RouterE] interface ethernet 0/0

[RouterE-Ethernet0/0] ipsec policy center

[RouterE-Ethernet0/0] quit

3.6  驗證配置

完成以上配置後，Router A和Router D、Router E可分別實現互通，且數據經IPsec進行加密，並不受NAT影響。這裏以Router A與Router D為例進行驗證。

# 可以通過如下顯示信息看到，Router A和Router D實現互通。

<RouterD> ping -a 192.168.1.1 172.0.0.1

  PING 172.0.0.1: 56  data bytes, press CTRL_C to break

    Request time out

    Reply from 172.0.0.1: bytes=56 Sequence=1 ttl=255 time=3 ms

    Reply from 172.0.0.1: bytes=56 Sequence=2 ttl=255 time=2 ms

    Reply from 172.0.0.1: bytes=56 Sequence=3 ttl=255 time=3 ms

    Reply from 172.0.0.1: bytes=56 Sequence=4 ttl=255 time=3 ms

 

  --- 172.0.0.1 ping statistics ---

    5 packet(s) transmitted

    4 packet(s) received

    20.00% packet loss

round-trip min/avg/max = 2/2/3 ms

# 可以通過如下顯示信息看到，IKE協商成功，生成了兩個階段的SA。

<RouterD> display ike sa

    total phase-1 SAs:  1

    connection-id  peer                    flag        phase   doi

  ----------------------------------------------------------------

     1             1.0.0.60                RD|ST       1       IPSEC

     2             1.0.0.60                RD|ST       2       IPSEC

 

  flag meaning

  RD--READY ST--STAYALIVE RL--REPLACED FD--FADING TO--TIMEOUT RK--REKEY

# 可以通過如下顯示信息查看協商生成的IPsec SA。

<RouterD> display ipsec sa

===============================

Interface: GigabitEthernet0/0

    path MTU: 1500

===============================

 

  -----------------------------

  IPsec policy name: "center"

  sequence number: 1

  acl version: ACL4

  mode: isakmp

  -----------------------------

    PFS: N, DH group: none

    tunnel:

        local  address: 10.0.1.2

        remote address: 1.0.0.60

    flow:

        sour addr: 192.168.1.0/255.255.255.0  port: 0  protocol: IP

        dest addr: 172.0.0.0/255.255.255.0  port: 0  protocol: IP

 

    [inbound ESP SAs]

      spi: 0xA5933FB9(2777890745)

      transform: ESP-ENCRYPT-NULL ESP-AUTH-MD5

      in use setting: Tunnel

      connection id: 1

      sa duration (kilobytes/sec): 1843200/3600

      sa remaining duration (kilobytes/sec): 1843199/3525

      anti-replay detection: Enabled

        anti-replay window size(counter based): 32

      udp encapsulation used for nat traversal: Y

 

    [outbound ESP SAs]

      spi: 0x30FA0BC7(821693383)

      transform: ESP-ENCRYPT-NULL ESP-AUTH-MD5

      in use setting: Tunnel

      connection id: 2

      sa duration (kilobytes/sec): 1843200/3600

      sa remaining duration (kilobytes/sec): 1843199/3525

      anti-replay detection: Enabled

        anti-replay window size(counter based): 32

      udp encapsulation used for nat traversal: Y

3.7  配置文件

·     Router A：

#

 ike local-name center

#

ike peer branch1

 exchange-mode aggressive

 pre-shared-key cipher $c$3$usDE48gmYI36TbftpJ3+YOBgFaff2w==

 id-type name

 remote-name branch1

 nat traversal

#

ike peer branch2

 exchange-mode aggressive

 pre-shared-key cipher $c$3$vrfgGzDJE8PBS25Mr/tQT7mqCRvraA==

 id-type name

 remote-name branch2

 nat traversal

#

ipsec transform-set def

 encapsulation-mode tunnel

 transform esp

 esp authentication-algorithm md5

#

ipsec policy-template branch1 1

 ike-peer branch1

 transform-set def

#

ipsec policy-template branch2 1

 ike-peer branch2

 transform-set def

#

ipsec policy branch 1 isakmp template branch1

#

ipsec policy branch 2 isakmp template branch2

#

interface Ethernet0/1

 port link-mode route

ip address 172.0.0.1 255.255.255.0

#

interface Ethernet0/0

 port link-mode route

 ip address 1.0.0.60 255.255.255.0

 ipsec policy branch

#

ip route-static 11.0.0.0 255.0.0.0 1.0.0.1

 ip route-static 12.0.0.0 255.0.0.0 1.0.0.2

 ip route-static 192.168.1.0 255.255.255.0 1.0.0.1

 ip route-static 192.168.2.0 255.255.255.0 1.0.0.2

#

·     Router B：

#

 nat address-group 0 11.0.0.1 11.0.0.10

#

acl number 2000

 rule 0 permit source 10.0.1.0 0.0.0.255

#

interface Ethernet0/1

 port link-mode route

 ip address 10.0.1.1 255.255.255.0

#

interface Ethernet0/0

 port link-mode route

 nat outbound 2000 address-group 0

 ip address 1.0.0.1 255.255.255.0

#

·     Router C：

#

nat address-group 0 12.0.0.1 12.0.0.10

#

acl number 2000

 rule 0 permit source 10.0.2.0 0.0.0.255

#

interface Ethernet0/0

 port link-mode route

nat outbound 2000 address-group 0

 ip address 1.0.0.2 255.255.255.0

#

interface Ethernet0/1

 port link-mode route

ip address 10.0.2.1 255.255.255.0

#

·     Router D：

#

 ike local-name branch1

#

acl number 3000

 rule 0 permit ip source 192.168.1.0 0.0.0.255 destination 172.0.0.0 0.0.0.255

#

ike peer center

 exchange-mode aggressive

 pre-shared-key cipher $c$3$9ffLIFKA7XqYlM1C5+uvwqH+UJcOEQ==

 id-type name

 remote-name center

 remote-address 1.0.0.60

 nat traversal

#

ipsec transform-set def

 encapsulation-mode tunnel

 transform esp

 esp authentication-algorithm md5

#

ipsec policy center 1 isakmp

 security acl 3000

 ike-peer center

 transform-set def

#

interface Ethernet0/0

 port link-mode route

ip address 10.0.1.2 255.255.255.0

 ipsec policy center

#

interface Ethernet0/1

 port link-mode route

 ip address 192.168.1.1 255.255.255.0

#

ip route-static 0.0.0.0 0.0.0.0 10.0.1.1

#

·     Router E：

#

 ike local-name branch2

#

acl number 3000

 rule 0 permit ip source 192.168.2.0 0.0.0.255 destination 172.0.0.0 0.0.0.255

#

ike peer center

 exchange-mode aggressive

 pre-shared-key cipher $c$3$9ffLIFKA7XqYlM1C5+uvwqH+UJcOEQ==

 id-type name

 remote-name center

 remote-address 1.0.0.60

 nat traversal

#

ipsec transform-set def

 encapsulation-mode tunnel

 transform esp

 esp authentication-algorithm md5

#

ipsec policy center 1 isakmp

 security acl 3000

 ike-peer center

 transform-set def

#

interface Ethernet0/0

 port link-mode route

ip address 10.0.2.2 255.255.255.0

 ipsec policy center

#

interface Ethernet0/1

 port link-mode route

 ip address 192.168.2.1 255.255.255.0

#

ip route-static 0.0.0.0 0.0.0.0 10.0.2.1

#

4  相關資料

·     H3C MSR 係列路由器 命令參考(V5)-R2311

·     H3C MSR 係列路由器 配置指導(V5)-R2311