实验二十七 IPSec配置

实验二十七 IPSec配置

实验目的：

某公司由总部和分支机构构成，通过IPsec实验网络安全，保证总部和分支机构的局域 网安全通信。

网络拓扑图：

IPSec(IP Security)是IETF定义的一组协议，用于增强IP网络的安全性 。

IPsec的功能可以划分为三类：认证头(AH)、封装安全负荷(ESP)、Internet密钥交换协议(IKE)。

1、认证头AH：提供了数据完整性和数据源认证，但是不提供保密服务。AH包含了对称密 钥的散列函数，使得第三方无法修改传输中的数据。IPSec支持的认证算法有：HMAC-MDS 和 HMAC-SHA1。

2、封装安全负荷ESP提供了数据加密功能。ESP利用对称密钥对IP数据进行加密，支持的 加密算法有DES-CBC、3DES-CBC、AES128-CBC。

3、Internet秘钥交换协议(IKE)：用于生成和分发在ESP和 AH中使用的秘钥，IKE也对远 程系统进行初始认证。 IKE 用于密钥交换，IPSec用于保护后续的通信。而保护通信的密钥，就来自IKE协议 运行的结果。

配置思路：

1、配置接口的 IP 地址和到对端的静态路由或默认路由，保证两端路由可达。

2、配置 ACL，以定义需要 IPSec 保护的数据流。

3、配置 IPSec 安全提议，定义 IPSec 的保护方法。

＃创建安全提议，并进入安全提议视图
[Router] ipsec proposal proposal-name 
#选择安全协议
[Router-ipsec-proposal-tranl] transform { ah | ah-esp | esp} 
#选择工作模式
[Router-ipsec-proposal-tranl] encapsulation-mode { transport | tunnel} 
#选择安全算法
[Router-ipsec-proposal-tranl] esp encryption-algorithm { 3des | aes [ key-length ] | des} 
[Router-ipsec-proposal-tranl] esp authentication-algorithm { md5 | sha1} 
[Router-ipsec-proposal-tranl] ah authentication-algorithm { md5 | sha1} 

4、配置 IKE 对等体，定义对等体间 IKE 协商时的属性。

1)双方协商出互相匹配的IKE提议，用于保护IKE交换时的通信

＃创建 IKE 提议，并进入 IKE 提议视图
[Router] ike proposal proposal-number 
＃选择IKE提议所使用的加密算法
[Router-ike-proposal-10] encryption-algorithm { 3des-cbc | aes-cbc [key-length] | des-cbc} 
造择IKE提议所使用的验证方法
[Router-ike-proposal-10] authentication-method { pre-share | rsa-signature} 
＃选择IKE提议所使用的验证算法
[Router-ike-proposal-10] authentication-algorithm { mdS | sha} 
＃选择 IKE 阶段1 密钥协商时所使用的 DH 交换组
[Router-ike-proposal-10] dh { group1 | group2 | group5 | group14} 
＃配置 IKE 提议的 ISAKMP SA 生存周期
[Router-ike-proposal-10] sa duration seconds 

2)配置IKE对等体

＃创建一个 IKE 对等体，并进入 IKE 对等体视图
[Router-ike-peer-peer1] ike peer peer-name v1 | v2 
＃配置 IKE 阶段 1 的协商模式
[Router-ike-peer-peer1] exchange-mode { aggressive | main } 
＃配置采用预共享密钥验证时所用的密钥
[Router-ike-peer-peer1] pre-shared-key [ cipher | simple ] key 
＃配置对端安全网关的IP地址
[Router-ike-peer-peer1] remote-address ip-address 

5、配置安全策略，并引用 ACL、IPSec 安全提议和 IKE 对等体，确定对何种数据流采取何种保 护方法。

＃创建一条安全策略，并进入安全策略视图
[Router] ipsec policy policy-name seq-number isakmp 
＃配置安全策略引用的 ACL
[Router-ipsec-policy-manual-map1-10] security acl ad-number 
＃配置安全策略所引用的安全提议
[Router-ipsec-policy-manual-map1-10] proposal proposal-name& 
＃在安全策略中引用 IKE 对等体
Router-ipsec-policy-manual-map1-10] ike-peer peer-name 

6、在接口上应用安全策略组，使接口具有 IPSec 的保护功能。

[Router-Serial1/0] ipsec policy policy-name 

实验步骤：

在上一个实验(实验二十六)的基础上删除 GRE tunnel 端口和静态路由

1、分别在 R1 和 R3 上配置 ACL，定义各自要保护的数据流

＃在R1上配置 ACL，定义有子网172.22.1.0/24去子网172.22.2.0/24的数据流

＃在R3上配置ACL，定义有子网172.22.2.0/2.4去子网172.22.1.0/2.4的数据流

2、分别在 R1和R3上创建IPSec安全提议

＃在R1上配置IPSec安全提议

＃在R3上配置IPSec安全提议，注意必须和R1参数一致

此时可以在R1和R3上执行display ipsec proposal查看配置的信息

3、分别在R1和R3上配置IKE对等体

＃在R1上配置IKE安全提议

＃在R1上配置 IKE 对等体，配置预共享秘钥和对端ID

＃在R3上配置IKE安全提议

＃在R3上配置IKE对等体，配置预共享秘钥和对端ID

4、分别在R1和 R3上创建安全策略

＃在R1上配置IKE动态协商方式安全策略

＃在R3上配置IKE动态协商方式安全策略

此时在R1和 R3上执行display ipsec policy会显示所配置的信息

5、分别在R1和R3的接口上应用各自的安全策略组，使接口具有IPSec的保护功能

6、测试配置结果

这里不知道为什么是ping不通的，我简单测试了一下，我的是路由器之间可以ping通但是ping不通PC，这里希望有大佬可以指导一下