怎樣通過IPsec野蠻模式實(shí)現(xiàn)分支之間相互通信呢
一、組網(wǎng)及說明
注：如無特別說明，描述中的 FW1 或 MSR1 對應(yīng)拓?fù)渲性O(shè)備名稱末尾數(shù)字為 1 的設(shè)備，F(xiàn)W2 或 MSR2 對應(yīng)拓?fù)渲性O(shè)備名稱末尾數(shù)字為 2 的設(shè)備，以此類推；另外，同一網(wǎng)段中，IP 地址的主機(jī)位為其設(shè)備編號，如 FW1 的 g0/0 接口若在 1.1.1.0/24 網(wǎng)段，則其 IP 地址為 1.1.1.1/24，以此類推。
二、實(shí)驗(yàn)需求
FW1代表中心節(jié)點(diǎn)，F(xiàn)W2和FW3代表分支。
FW上使用環(huán)回口Loopback0模擬業(yè)務(wù)網(wǎng)段。
分支分別和中心節(jié)點(diǎn)通信，各分支節(jié)點(diǎn)之間可以相互通信。
三、配置步驟
3.1 IP、路由、安全域
FW1
# interfaceLoopBack0 ipaddress10.1.1.1255.255.255.255 # interfaceGigabitEthernet1/0/1 portlink-moderoute comboenablecopper ipaddress2.2.2.1255.255.255.0 ipsecapplypolicyply # security-zonenameLocal # security-zonenameTrust importinterfaceGigabitEthernet1/0/0 importinterfaceGigabitEthernet1/0/1 # iproute-static10.2.2.1321.1.1.2 iproute-static10.3.3.1322.2.2.3 # security-policyip rule0nameany actionpass
FW2
# interfaceLoopBack0 ipaddress10.2.2.1255.255.255.255 # interfaceGigabitEthernet1/0/0 portlink-moderoute comboenablecopper ipaddress1.1.1.2255.255.255.0 ipsecapplypolicyply # security-zonenameLocal # security-zonenameTrust importinterfaceGigabitEthernet1/0/0 importinterfaceGigabitEthernet1/0/1 # iproute-static0.0.0.001.1.1.1 # security-policyip rule0nameany actionpass
FW3
# interfaceLoopBack0 ipaddress10.3.3.1255.255.255.0 # interfaceGigabitEthernet1/0/0 portlink-moderoute comboenablecopper ipaddress2.2.2.3255.255.255.0 ipsecapplypolicyply # security-zonenameLocal # security-zonenameTrust importinterfaceGigabitEthernet1/0/0 importinterfaceGigabitEthernet1/0/1 # iproute-static0.0.0.002.2.2.1 # security-policyip rule0nameany actionpass #
3.2 IKE部分
FW1
# ikekeychaink1 pre-shared-keyhostnamef2keycipher$c$3$rFTHo6O4pPLOHvZEwmSFGc3gjFRY7Q75Qw== # ikekeychaink2 pre-shared-keyhostnamef3keycipher$c$3$lo0leXtmx41UHB7Vxok9kFeOJxZnJZ0miw== # ikeprofilepf keychaink1 keychaink2 dpdinterval10on-demand exchange-modeaggressive local-identityfqdnf1 matchremoteidentityfqdnf2 matchremoteidentityfqdnf3
FW2
# ikekeychaink1 pre-shared-keyaddress1.1.1.1255.255.255.255keycipher$c$3$v44JHWonfkj3w9BqDNkQ+LEIFRiUlBKUgw== # ikeprofilepf keychaink1 exchange-modeaggressive local-identityfqdnf2 matchremoteidentityfqdnf1
FW3
# ikekeychaink1 pre-shared-keyaddress2.2.2.1255.255.255.255keycipher$c$3$PKsnAPnnOgZicN73gXZd3L3ZO9OR3IuS1A== # ikeprofilepf keychaink1 exchange-modeaggressive local-identityfqdnf3 matchremoteidentityfqdnf1
3.3 IPsec部分
FW1
# acladvanced3000 rule0permitipsource10.1.1.10destination10.2.2.10 rule5permitipsource10.1.1.10destination10.3.3.10 rule10permitipsource10.3.3.10destination10.2.2.10 rule15permitipsource10.2.2.10destination10.3.3.10 # ipsectransform-setts espencryption-algorithm3des-cbc espauthentication-algorithmmd5 # ipsecpolicy-templatept1 transform-setts securityacl3000 ike-profilepf # ipsecpolicyply1isakmptemplatept
FW2
# acladvanced3000 rule0permitipsource10.2.2.10destination10.1.1.10 rule5permitipsource10.2.2.10destination10.3.3.10 # ipsectransform-setts espencryption-algorithm3des-cbc espauthentication-algorithmmd5 # ipsecpolicyply1isakmp transform-setts securityacl3000 remote-address1.1.1.1 ike-profilepf
FW3
# acladvanced3000 rule0permitipsource10.3.3.10destination10.1.1.10 rule5permitipsource10.3.3.10destination10.2.2.10 # ipsectransform-setts espencryption-algorithm3des-cbc espauthentication-algorithmmd5 # ipsecpolicyply1isakmp transform-setts securityacl3000 remote-address2.2.2.1 ike-profilepf
四、配置關(guān)鍵點(diǎn)
分支和中心節(jié)點(diǎn)之間的隧道建立要通過分支來觸發(fā)，即FW2向FW1發(fā)起訪問，F(xiàn)W3向FW1發(fā)起訪問。
分支和分支之間建立隧道需要兩邊觸發(fā)，即FW2向FW3發(fā)起訪問，F(xiàn)W3向FW2發(fā)起訪問。
分支的感興趣流除了目的是中心節(jié)點(diǎn)外，還需要包括到分支的。
FW1上的ipsec sa如下：
------------------------------- Interface:GigabitEthernet1/0/0 ------------------------------- ----------------------------- IPsecpolicy:ply Sequencenumber:1 Mode:Template ----------------------------- Tunnelid:1 Encapsulationmode:tunnel PerfectForwardSecrecy: InsideVPN: ExtendedSequenceNumbersenable:N TrafficFlowConfidentialityenable:N Transmittingentity:Responder PathMTU:1444 Tunnel: localaddress:1.1.1.1 remoteaddress:1.1.1.2 Flow: souraddr:10.1.1.1/255.255.255.255port:0protocol:ip destaddr:10.2.2.1/255.255.255.255port:0protocol:ip [InboundESPSAs] SPI:3754823141(0xdfce0de5) ConnectionID:4294967298 Transformset:ESP-ENCRYPT-3DES-CBCESP-AUTH-MD5 SAduration(kilobytes/sec):1843200/3600 SAremainingduration(kilobytes/sec):1843199/3562 Maxreceivedsequence-number:4 Anti-replaycheckenable:Y Anti-replaywindowsize:64 UDPencapsulationusedforNATtraversal:N Status:Active [OutboundESPSAs] SPI:1056998950(0x3f008626) ConnectionID:4294967299 Transformset:ESP-ENCRYPT-3DES-CBCESP-AUTH-MD5 SAduration(kilobytes/sec):1843200/3600 SAremainingduration(kilobytes/sec):1843199/3562 Maxsentsequence-number:4 UDPencapsulationusedforNATtraversal:N Status:Active ----------------------------- IPsecpolicy:ply Sequencenumber:1 Mode:Template ----------------------------- Tunnelid:2 Encapsulationmode:tunnel PerfectForwardSecrecy: InsideVPN: ExtendedSequenceNumbersenable:N TrafficFlowConfidentialityenable:N Transmittingentity:Responder PathMTU:1444 Tunnel: localaddress:1.1.1.1 remoteaddress:1.1.1.2 Flow: souraddr:10.3.3.1/255.255.255.255port:0protocol:ip destaddr:10.2.2.1/255.255.255.255port:0protocol:ip [InboundESPSAs] SPI:3260450656(0xc2568760) ConnectionID:4294967300 Transformset:ESP-ENCRYPT-3DES-CBCESP-AUTH-MD5 SAduration(kilobytes/sec):1843200/3600 SAremainingduration(kilobytes/sec):1843199/3575 Maxreceivedsequence-number:8 Anti-replaycheckenable:Y Anti-replaywindowsize:64 UDPencapsulationusedforNATtraversal:N Status:Active [OutboundESPSAs] SPI:2013923382(0x780a0836) ConnectionID:4294967301 Transformset:ESP-ENCRYPT-3DES-CBCESP-AUTH-MD5 SAduration(kilobytes/sec):1843200/3600 SAremainingduration(kilobytes/sec):1843199/3575 Maxsentsequence-number:5 UDPencapsulationusedforNATtraversal:N Status:Active ------------------------------- Interface:GigabitEthernet1/0/1 ------------------------------- ----------------------------- IPsecpolicy:ply Sequencenumber:1 Mode:Template ----------------------------- Tunnelid:0 Encapsulationmode:tunnel PerfectForwardSecrecy: InsideVPN: ExtendedSequenceNumbersenable:N TrafficFlowConfidentialityenable:N Transmittingentity:Responder PathMTU:1444 Tunnel: localaddress:2.2.2.1 remoteaddress:2.2.2.3 Flow: souraddr:10.1.1.1/255.255.255.255port:0protocol:ip destaddr:10.3.3.1/255.255.255.255port:0protocol:ip [InboundESPSAs] SPI:2022161426(0x7887bc12) ConnectionID:4294967296 Transformset:ESP-ENCRYPT-3DES-CBCESP-AUTH-MD5 SAduration(kilobytes/sec):1843200/3600 SAremainingduration(kilobytes/sec):1843199/3554 Maxreceivedsequence-number:4 Anti-replaycheckenable:Y Anti-replaywindowsize:64 UDPencapsulationusedforNATtraversal:N Status:Active [OutboundESPSAs] SPI:3633752750(0xd896aaae) ConnectionID:4294967297 Transformset:ESP-ENCRYPT-3DES-CBCESP-AUTH-MD5 SAduration(kilobytes/sec):1843200/3600 SAremainingduration(kilobytes/sec):1843199/3554 Maxsentsequence-number:4 UDPencapsulationusedforNATtraversal:N Status:Active ----------------------------- IPsecpolicy:ply Sequencenumber:1 Mode:Template ----------------------------- Tunnelid:3 Encapsulationmode:tunnel PerfectForwardSecrecy: InsideVPN: ExtendedSequenceNumbersenable:N TrafficFlowConfidentialityenable:N Transmittingentity:Responder PathMTU:1444 Tunnel: localaddress:2.2.2.1 remoteaddress:2.2.2.3 Flow: souraddr:10.2.2.1/255.255.255.255port:0protocol:ip destaddr:10.3.3.1/255.255.255.255port:0protocol:ip [InboundESPSAs] SPI:3168528224(0xbcdbe760) ConnectionID:4294967302 Transformset:ESP-ENCRYPT-3DES-CBCESP-AUTH-MD5 SAduration(kilobytes/sec):1843200/3600 SAremainingduration(kilobytes/sec):1843199/3583 Maxreceivedsequence-number:5 Anti-replaycheckenable:Y Anti-replaywindowsize:64 UDPencapsulationusedforNATtraversal:N Status:Active [OutboundESPSAs] SPI:2761355159(0xa496ef97) ConnectionID:4294967303 Transformset:ESP-ENCRYPT-3DES-CBCESP-AUTH-MD5 SAduration(kilobytes/sec):1843200/3600 SAremainingduration(kilobytes/sec):1843199/3583 Maxsentsequence-number:5 UDPencapsulationusedforNATtraversal:N Status:Active
實(shí)驗(yàn)結(jié)束！
審核編輯：劉清
聲明：本文內(nèi)容及配圖由入駐作者撰寫或者入駐合作網(wǎng)站授權(quán)轉(zhuǎn)載。文章觀點(diǎn)僅代表作者本人，不代表電子發(fā)燒友網(wǎng)立場。文章及其配圖僅供工程師學(xué)習(xí)之用，如有內(nèi)容侵權(quán)或者其他違規(guī)問題，請聯(lián)系本站處理。
舉報投訴
-
IPSec
+關(guān)注
關(guān)注
0文章
59瀏覽量
22778 -
MSR
+關(guān)注
關(guān)注
0文章
18瀏覽量
7995
原文標(biāo)題：H3C實(shí)驗(yàn) | 通過IPsec野蠻模式實(shí)現(xiàn)分支之間相互通信
文章出處：【微信號：網(wǎng)絡(luò)技術(shù)干貨圈，微信公眾號：網(wǎng)絡(luò)技術(shù)干貨圈】歡迎添加關(guān)注！文章轉(zhuǎn)載請注明出處。
發(fā)布評論請先 登錄
相關(guān)推薦
工廠有多臺PLC時，不同網(wǎng)段之間如何實(shí)現(xiàn)相互訪問？
，不同網(wǎng)段的PLC通訊變得尤為重要。 隨著工業(yè)網(wǎng)絡(luò)的發(fā)展和工業(yè)4.0概念的推廣，工廠內(nèi)部通常會構(gòu)建多層次的網(wǎng)絡(luò)架構(gòu)，包括設(shè)備層、控制層和管理層等多個層級。為了確保整個系統(tǒng)的高效運(yùn)行，不同層級之間需要進(jìn)行信息交換。此時兩個不同網(wǎng)段的PLC并不能相互通信，但同
ipsec組網(wǎng)通過其加密和驗(yàn)證機(jī)制提供高安全性
ipsec組網(wǎng)是一種在公用網(wǎng)絡(luò)上建立專用網(wǎng)絡(luò)的技術(shù)，它通過在IP層對數(shù)據(jù)包進(jìn)行加密和驗(yàn)證來保證通信的安全性。IPSec VPN通過在公網(wǎng)上為
IPSec VPN解決方案讓遠(yuǎn)程辦公更加輕松可靠
隨著信息化技術(shù)的發(fā)展，各種通信模式也逐漸應(yīng)用到企業(yè)生產(chǎn)經(jīng)營的各個環(huán)節(jié)中，越來越多的資源管理系統(tǒng)也得到部署和應(yīng)用，如ERP系統(tǒng)、OA系統(tǒng)、郵箱系統(tǒng)、財務(wù)系統(tǒng)等。企業(yè)出差員工、分支機(jī)構(gòu)及合作伙伴都會
深信服防火墻和IR700建立IPSec VPN的配置說明
,拉到最下邊選擇第3方對接,第1階段,并選擇新增。
填寫項(xiàng)目名稱,將設(shè)備地址類型選擇為對端是動態(tài)ip并設(shè)置相應(yīng)的預(yù)共享密鑰,點(diǎn)擊高級。
配置第1階段詳盡參數(shù),模式必須為野蠻模式,并設(shè)置FQDN和算法
發(fā)表于 07-26 07:43
一文詳解動態(tài)多點(diǎn)VPN技術(shù)
各分支之間并 不配置持續(xù)的隧道。當(dāng)一個分支需要向另一個分支發(fā)送數(shù)據(jù)包時，兩個分支之間
發(fā)表于 07-26 06:07
InRouter與Juniper SRX如何建立IPSec隧道配置？
Task Force (IETF) 定義的安全標(biāo)準(zhǔn)框架，在公網(wǎng)上為兩個私有網(wǎng)絡(luò)提供安全通信通道,通過加密通道保證連接的安全——在兩個公共網(wǎng)關(guān)間提供私密數(shù)據(jù)封包服務(wù)IPSEC是一套比較完整成體系的VPN
發(fā)表于 07-25 07:32
IR915和IR615建立IPsec VPN實(shí)現(xiàn)子網(wǎng)互通
如下圖，配置完成后點(diǎn)擊應(yīng)用并保存
IR615端：
VPN-IPsec隧道配置，點(diǎn)擊新增即可對隧道進(jìn)行配置
隧道配置如下，對端地址為IR915的固定IP，協(xié)商模式選擇野蠻模式，主
發(fā)表于 07-24 07:26
如何讓兩個ESP8266可以連續(xù)地相互通信？
客戶端，它也起作用，但現(xiàn)在我想設(shè)置兩個ESP8266以便它連續(xù)相互通信，為此我花了很多天的時間，但沒有找到任何可以幫助我這樣做的示例代碼，如果有任何示例代碼準(zhǔn)備好，請發(fā)送我。謝謝。。
發(fā)表于 07-12 10:12
ESP32 WIFI SOFTAP模式可以有多個STA連接到它并讓STA相互通信嗎？
我不清楚SOFT AP是否可以像一個普通的 AP 那樣,可以有多個 STA 連接到它并讓 STA 相互通信?
發(fā)表于 06-20 06:27
PLC之間是互通的嗎
在工業(yè)自動化領(lǐng)域中，PLC（可編程邏輯控制器）的應(yīng)用日益廣泛，其強(qiáng)大的控制功能和靈活的編程方式使得它在各種復(fù)雜的生產(chǎn)環(huán)境中都能發(fā)揮出關(guān)鍵的作用。而在這些應(yīng)用中，PLC之間的互通性顯得尤為重要，它不僅能夠實(shí)現(xiàn)設(shè)備
兩塊esp32-c3如何實(shí)現(xiàn)藍(lán)牙相互通信？
各位大佬，求問兩塊esp32-c3如何實(shí)現(xiàn)藍(lán)牙相互通信？應(yīng)該參考vscode的esp-idf中哪個例程呢？
發(fā)表于 06-11 06:18
G474的FDCAN在回環(huán)模式下可以正常收發(fā)，但是在正常模式下兩塊主板無法相互通訊是什么原因？
G474 的FDCAN在回環(huán)模式下可以正常收發(fā)，但是在正常模式下兩塊主板無法相互通訊。切換成經(jīng)典模式可以實(shí)現(xiàn)兩個主板通訊，但是在FDCAN
發(fā)表于 03-08 08:04
SD-WAN案例：總部（MPLS）與分支（普通寬帶）的互聯(lián)互通
某制造業(yè)企業(yè)面臨著總部采用MPLS專線而分支機(jī)構(gòu)使用普通寬帶的網(wǎng)絡(luò)互聯(lián)挑戰(zhàn)。這種情況下，如何降低網(wǎng)絡(luò)成本，提高網(wǎng)絡(luò)效率成為當(dāng)前亟需解決的問題。本文將介紹該企業(yè)如何通過部署SD-WAN實(shí)現(xiàn)互聯(lián)互
sdwan和ipsec組網(wǎng)的區(qū)別
sdwan和ipsec組網(wǎng)的區(qū)別? SD-WAN和IPsec都是用于網(wǎng)絡(luò)組網(wǎng)的技術(shù)，但它們在實(shí)現(xiàn)和功能上有很大的區(qū)別。本文將詳細(xì)介紹SD-WAN和IPsec的定義、原理、優(yōu)缺點(diǎn)以及使用
工商網(wǎng)監(jiān)
評論