MSR係列路由器與VRRP虛地址建立IPsec功能的配置舉例

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

Copyright © 2014杭州華三通信技術有限公司 版權所有，保留一切權利。 非經本公司書麵許可，任何單位和個人不得擅自摘抄、複製本文檔內容的部分或全部， 並不得以任何形式傳播。本文檔中的信息可能變動，恕不另行通知。

 

目  錄

1 簡介

2 配置前提

3 配置舉例

3.1 組網需求

3.2 配置思路

3.3 使用版本

3.4 配置步驟

3.4.1 Router A的配置

3.4.2 Router B的配置

3.4.3 Router C的配置

3.5 驗證配置

3.6 配置文件

4 相關資料

 

1  簡介

本文檔介紹MSR係列路由器與VRRP虛地址建立IPsec功能的典型配置舉例。

2  配置前提

本文檔不嚴格與具體軟、硬件版本對應，如果使用過程中與產品實際情況有差異，請參考相關產品手冊，或以設備實際情況為準。

本文檔中的配置均是在實驗室環境下進行的配置和驗證，配置前設備的所有參數均采用出廠時的缺省配置。如果您已經對設備進行了配置，為了保證配置效果，請確認現有配置和以下舉例中的配置不衝突。

本文檔假設您已了解IPsec和VRRP特性。

3  配置舉例

3.1  組網需求

如圖1所示，Router A和Router B同屬於一個VRRP備份組，Router A作為Master，Router B作為Backup，要求：Router C和VRRP備份組之間建立基於IKE的IPsec隧道。

圖1 MSR係列路由器與VRRP虛地址建立IPSec功能的配置組網圖

 

3.2  配置思路

·     為了讓Router A成為Master，需要為Router B配置較低的優先級（默認優先級為100）；

·     為了與備份組建立IPsec隧道，Router C上IKE指定對端地址為VRRP虛地址；

3.3  使用版本

本舉例是在Release 2317版本上進行配置和驗證的。

3.4  配置步驟

3.4.1  Router A的配置

# 配置接口Ethernet0/1的IP地址。

<RouterA> system-view

[RouterA] interface ethernet 0/1

[RouterA-Ethernet0/1] ip address 192.168.0.1 255.255.255.0

[RouterA-Ethernet0/1] quit

# 配置接口Ethernet0/0的IP地址。

[RouterA] interface ethernet 0/0

[RouterA-Ethernet0/0] ip address 1.0.0.1 255.255.255.0

[RouterA-Ethernet0/0] quit

# 配置到192.168.1.0的靜態路由。

[RouterA] ip route-static 192.168.1.0 255.255.255.0 1.0.0.254

# 創建ACL3000,定義需要IPsec保護的數據流。

[RouterA] acl number 3000

[RouterA-acl-adv-3000] rule 0 permit ip source 192.168.0.0 0.0.0.255 destination

 192.168.1.0 0.0.0.255

[RouterA-acl-adv-3000] quit

# 創建一個DPD並采用默認配置。

[RouterA] ike dpd vrrp

[RouterA-ike-dpd-vrrp] quit

# 配置IKE對等體。

[RouterA] ike peer branch

[RouterA-ike-peer-branch] pre-shared-key 123

[RouterA-ike-peer-branch] remote-address 1.0.0.254

# 引用指定的DPD。

[RouterA-ike-peer-branch] dpd vrrp

[RouterA-ike-peer-branch] quit

# 采用安全提議的缺省配置。

[RouterA] ipsec proposal def

# 配置ESP協議采用md5認證算法。

[RouterA-ipsec-transform-set-def] esp authentication-algorithm md5

[RouterA-ipsec-transform-set-def] quit

# 配置IPsec安全策略branch，其協商方式為isakmp。

[RouterA] ipsec policy branch 1 isakmp

[RouterA-ipsec-policy-isakmp-branch-1] security acl 3000

[RouterA-ipsec-policy-isakmp-branch-1] proposal def

[RouterA-ipsec-policy-isakmp-branch-1] ike-peer branch

[RouterA-ipsec-policy-isakmp-branch-1] quit

# 創建備份組1，並配置備份組1的虛擬IP地址為1.0.0.128。

[RouterA] interface ethernet 0/0

[RouterA-Ethernet0/0] vrrp vrid 1 virtual-ip 1.0.0.128

#在接口Ethernet0/0上應用安全策略。

[RouterA-Ethernet0/0] ipsec policy branch

[RouterA-Ethernet0/0] quit

3.4.2  Router B的配置

# 配置接口Ethernet0/1的IP地址。

<RouterB> system-view

[RouterB] interface ethernet 0/1

[RouterB-Ethernet0/1] ip address 192.168.0.2 255.255.255.0

[RouterB-Ethernet0/1] quit

# 配置接口Ethernet0/0的IP地址。

[RouterB] interface ethernet 0/0

[RouterB-Ethernet0/0] ip address 1.0.0.2 255.255.255.0

[RouterB-Ethernet0/0] quit

# 配置到192.168.1.0的靜態路由。

[RouterB] ip route-static 192.168.1.0 255.255.255.0 1.0.0.254

# 創建ACL3000,定義需要IPsec保護的數據流。

[RouterB] acl number 3000

[RouterB-acl-adv-3000] rule 0 permit ip source 192.168.0.0 0.0.0.255 destination

 192.168.1.0 0.0.0.255

[RouterB-acl-adv-3000] quit

# 創建一個DPD並采用默認配置。

[RouterB] ike dpd vrrp

[RouterB-ike-dpd-vrrp] quit

# 配置IKE對等體。

[RouterB] ike peer branch

[RouterB-ike-peer-branch] pre-shared-key 123

[RouterB-ike-peer-branch] remote-address 1.0.0.254

# 引用指定的DPD。

[RouterB-ike-peer-branch] dpd vrrp

[RouterB-ike-peer-branch] quit

# 采用安全提議的缺省配置。

[RouterB] ipsec proposal def

# 配置ESP協議采用md5認證算法。

[RouterB-ipsec-transform-set-def] esp authentication-algorithm md5

[RouterB-ipsec-transform-set-def] quit

# 配置IPsec安全策略branch，其協商方式為isakmp。

[RouterB] ipsec policy branch 1 isakmp

[RouterB-ipsec-policy-isakmp-branch-1] security acl 3000

[RouterB-ipsec-policy-isakmp-branch-1] proposal def

[RouterB-ipsec-policy-isakmp-branch-1] ike-peer branch

[RouterB-ipsec-policy-isakmp-branch-1] quit

# 創建備份組1，並配置備份組1的虛擬IP地址為1.0.0.128。

[RouterB] interface ethernet 0/0

[RouterB-Ethernet0/0] vrrp vrid 1 virtual-ip 1.0.0.128

# 配置Router B在備份組1中的優先級為80，以保證Router A成為Master負責轉發流量。

[RouterB-Ethernet0/0] vrrp vrid 1 priority 80

# 在接口Ethernet0/0上應用安全策略。

[RouterB-Ethernet0/0] ipsec policy branch

[RouterB-Ethernet0/0] quit

3.4.3  Router C的配置

# 配置接口Ethernet0/0的IP地址。

<RouterC> system-view

[RouterC] interface ethernet 0/0

[RouterC-Ethernet0/0] ip address 1.0.0.254 255.255.255.0

[RouterC-Ethernet0/0] quit

# 配置接口Ethernet0/1的IP地址。

[RouterC] interface ethernet 0/1

[RouterC-Ethernet0/1] ip address 192.168.1.1 255.255.255.0

[RouterC-Ethernet0/1] quit

# 配置到192.168.0.0的靜態路由。

[RouterC] ip route-static 192.168.0.0 255.255.255.0 1.0.0.128

# 創建ACL3000,定義需要IPsec保護的數據流。

[RouterC] acl number 3000

[RouterC-acl-adv-3000] rule 0 permit ip source 192.168.1.0 0.0.0.255 destination

 192.168.0.0 0.0.0.255

[RouterC-acl-adv-3000] quit

# 創建一個DPD並采用默認配置。

[RouterC] ike dpd vrrp

[RouterC-ike-dpd-vrrp] quit

# 配置IKE對等體。

[RouterC] ike peer center

[RouterC-ike-peer-center] pre-shared-key 123

[RouterC-ike-peer-center] remote-address 1.0.0.128

# 引用指定的DPD。

[RouterC-ike-peer-center] dpd vrrp

[RouterC-ike-peer-center] quit

# 采用安全提議的缺省配置。

 [RouterC] ipsec proposal def

# 配置ESP協議采用md5認證算法。

[RouterC-ipsec-transform-set-def] esp authentication-algorithm md5

[RouterC-ipsec-transform-set-def] quit

# 配置IPsec安全策略center，其協商方式為isakmp。

[RouterC] ipsec policy center 1 isakmp

[RouterC-ipsec-policy-isakmp-center-1] security acl 3000

[RouterC-ipsec-policy-isakmp-center-1] proposal def

[RouterC-ipsec-policy-isakmp-center-1] ike-peer center

[RouterC-ipsec-policy-isakmp-center-1] quit

# 在接口Ethernet0/0上應用安全策略。

[RouterC] interface ethernet 0/0

[RouterC-Ethernet0/0] ipsec policy center

[RouterC-Ethernet0/0] quit

3.5  驗證配置

完成以上配置後，正常情況下，Router C與Router A建立IPsec隧道實現加密通信，當Router A斷開後，Router C切換到與Router B的隧道繼續進行加密通信，從而避免了通信的中斷。

# 可以通過以下顯示信息，看到正常情況下Router C與備份組的通信經過Router A。

<RouterC> ping -a 192.168.1.1 192.168.0.1

  PING 192.168.0.1: 56  data bytes, press CTRL_C to break

    Request time out

    Reply from 192.168.0.1: bytes=56 Sequence=1 ttl=255 time=2 ms

    Reply from 192.168.0.1: bytes=56 Sequence=2 ttl=255 time=2 ms

    Reply from 192.168.0.1: bytes=56 Sequence=3 ttl=255 time=2 ms

    Reply from 192.168.0.1: bytes=56 Sequence=4 ttl=255 time=2 ms

 

  --- 192.168.0.1 ping statistics ---

    5 packet(s) transmitted

    4 packet(s) received

    20.00% packet loss

round-trip min/avg/max = 2/2/2 ms

# 可以通過以下顯示查看Router A上生成的主用IPsec SA。

<RouterA> display ipsec sa

===============================

Interface: Ethernet0/0

    path MTU: 1500

===============================

 

  -----------------------------

  IPsec policy name: "branch"

  sequence number: 1

  acl version: ACL4

  mode: isakmp

  -----------------------------

    PFS: N, DH group: none

    tunnel:

        local  address: 1.0.0.128

        remote address: 1.0.0.254

    flow:

        sour addr: 192.168.0.0/255.255.255.0  port: 0  protocol: IP

        dest addr: 192.168.1.0/255.255.255.0  port: 0  protocol: IP

 

    [inbound ESP SAs]

      spi: 0xF697493(258569363)

      transform: ESP-ENCRYPT-NULL ESP-AUTH-MD5

      in use setting: Tunnel

      connection id: 3

      sa duration (kilobytes/sec): 1843200/3600

      sa remaining duration (kilobytes/sec): 1843199/3430

      anti-replay detection: Enabled

        anti-replay window size(counter based): 32

      udp encapsulation used for nat traversal: N

 

    [outbound ESP SAs]

      spi: 0xD70F31D5(3608097237)

      transform: ESP-ENCRYPT-NULL ESP-AUTH-MD5

      in use setting: Tunnel

      connection id: 4

      sa duration (kilobytes/sec): 1843200/3600

      sa remaining duration (kilobytes/sec): 1843199/3430

      anti-replay detection: Enabled

        anti-replay window size(counter based): 32

      udp encapsulation used for nat traversal: N

# 可以通過如下顯示信息查看Router A上生成的主用IKE SA的摘要信息。

<RouterA> display ike sa

    total phase-1 SAs:  1

    connection-id  peer                    flag        phase   doi

  ----------------------------------------------------------------

     6             1.0.0.254               RD          1       IPSEC

     7             1.0.0.254               RD          2       IPSEC

 

  flag meaning

  RD--READY ST--STAYALIVE RL--REPLACED FD--FADING TO--TIMEOUT RK—REKEY

# 顯示Router A上備份組1的詳細信息。

<RouterA> display vrrp verbose

 IPv4 Standby Information:

     Run Mode       : Standard

     Run Method     : Virtual MAC

 Total number of virtual routers : 1

   Interface Ethernet0/0

     VRID           : 1               Adver Timer : 1

     Admin Status   : Up              State       : Master

     Config Pri     : 100             Running Pri : 100

     Preempt Mode   : Yes             Delay Time  : 0

     Auth Type      : None

     Virtual IP     : 1.0.0.128

     Virtual MAC    : 0000-5e00-0101

     Master IP      : 1.0.0.1

# 顯示Router B上備份組1的詳細信息。

<RouterB>display vrrp verbose

 IPv4 Standby Information:

     Run Mode       : Standard

     Run Method     : Virtual MAC

 Total number of virtual routers : 1

   Interface Ethernet0/0

     VRID           : 1               Adver Timer : 1

     Admin Status   : Up              State       : Backup

     Config Pri     : 80              Running Pri : 80

     Preempt Mode   : Yes             Delay Time  : 0

     Become Master  : 3650ms left

     Auth Type      : None

     Virtual IP     : 1.0.0.128

     Master IP      : 1.0.0.1

# 可以通過以下顯示信息，當Router A出現故障後，Router C與備份組的報文傳輸經過Router B,IPsec隧道不變。

<RouterC> ping -a 192.168.1.1 192.168.0.2

  PING 192.168.0.2: 56  data bytes, press CTRL_C to break

    Request time out

    Reply from 192.168.0.2: bytes=56 Sequence=1 ttl=255 time=2 ms

    Reply from 192.168.0.2: bytes=56 Sequence=2 ttl=255 time=2 ms

    Reply from 192.168.0.2: bytes=56 Sequence=3 ttl=255 time=2 ms

    Reply from 192.168.0.2: bytes=56 Sequence=4 ttl=255 time=2 ms

 

  --- 192.168.0.2 ping statistics ---

    5 packet(s) transmitted

    4 packet(s) received

    20.00% packet loss

round-trip min/avg/max = 2/2/2 ms

# 通過Router B上的debug信息可以看到切換信息。

<RouterB>

%Jun 25 13:24:07:226 2013 RouterB VRRP/6/VRRP_STATUS_CHANGE: The status of IPv4

virtual router 1 (configured on Ethernet0/3) changed from Backup to Master: Time

r expired.

# 顯示Router B上備份組1的詳細信息，可以看到Router B已從備用變為主用。

<RouterB>display vrrp verbose

 IPv4 Standby Information:

     Run Mode       : Standard

     Run Method     : Virtual MAC

 Total number of virtual routers : 1

   Interface Ethernet0/0

     VRID           : 1               Adver Timer : 1

     Admin Status   : Up              State       : Master

     Config Pri     : 80              Running Pri : 80

     Preempt Mode   : Yes             Delay Time  : 0

     Auth Type      : None

     Virtual IP     : 1.0.0.128

     Virtual MAC    : 0000-5e00-0101

     Master IP      : 1.0.0.2

3.6  配置文件

·     Router A：

acl number 3000

 rule 0 permit ip source 192.168.0.0 0.0.0.255 destination 192.168.1.0 0.0.0.255

#

ike dpd vrrp

#

ike peer branch

 pre-shared-key cipher $c$3$IvTMTzU5wB6rzFXH1F8jo56jbcd43g==

 remote-address 1.0.0.254

 dpd vrrp

#

ipsec transform-set def

 encapsulation-mode tunnel

 transform esp

 esp authentication-algorithm md5

#

ipsec policy branch 1 isakmp

 security acl 3000

 ike-peer branch

 transform-set def

#

interface Ethernet0/1

 port link-mode route

ip address 192.168.0.1 255.255.255.0

#

interface Ethernet0/0

 port link-mode route

ip address 1.0.0.1 255.255.255.0

 vrrp vrid 1 virtual-ip 1.0.0.128

 ipsec policy branch

#

 ip route-static 192.168.1.0 255.255.255.0 1.0.0.254

#

·     Router B：

acl number 3000

 rule 0 permit ip source 192.168.0.0 0.0.0.255 destination 192.168.1.0 0.0.0.255

#

ike dpd vrrp

#

ike peer branch

 pre-shared-key cipher $c$3$x8Ebm7JcEpRhPMShxDkeQvAeR124xA==

 remote-address 1.0.0.254

 dpd vrrp

#

ipsec transform-set def

 encapsulation-mode tunnel

 transform esp

 esp authentication-algorithm md5

#

ipsec policy branch 1 isakmp

 security acl 3000

 ike-peer branch

 transform-set def

#

interface Ethernet0/0

 port link-mode route

ip address 1.0.0.2 255.255.255.0

 vrrp vrid 1 virtual-ip 1.0.0.128

 vrrp vrid 1 priority 80

 ipsec policy branch

#

interface Ethernet0/1

 port link-mode route

ip address 192.168.0.2 255.255.255.0

#

ip route-static 192.168.1.0 255.255.255.0 1.0.0.254

#

·     Router C：

acl number 3000

 rule 0 permit ip source 192.168.1.0 0.0.0.255 destination 192.168.0.0 0.0.0.255

#

ike dpd vrrp

#

ike peer center

 pre-shared-key cipher $c$3$/ZioTZcnjBYt3MNHRDeXdWfn1vstOQ==

 remote-address 1.0.0.128

 dpd vrrp

#

ipsec transform-set def

 encapsulation-mode tunnel

 transform esp

 esp authentication-algorithm md5

#

ipsec policy center 1 isakmp

 security acl 3000

 ike-peer center

 transform-set def

#

interface Ethernet0/1

 port link-mode route

ip address 192.168.1.1 255.255.255.0

#

interface Ethernet0/0

 port link-mode route

 ip address 1.0.0.254 255.255.255.0

 ipsec policy center

#

ip route-static 192.168.0.0 255.255.255.0 1.0.0.128

#

4  相關資料

·     H3C MSR 係列路由器 命令參考(V5)-R2311

·     H3C MSR 係列路由器 配置指導(V5)-R2311