IPsec VPN小实验

IPSec 是什么：

IPSec是一个框架，它不是具体指某个协议，而是定义了一个框架，由各种协议组和协商而成。该框架涉及到的主要有加密算法、验证算法、封装协议、封装模式、密钥有效期等等。

IPSecVPN建立的前提：要想在两个站点之间安全的传输IP数据流，它们之间必须要先进行协商，协商它们之间所采用的加密算法，封装技术以及密钥。

分为两个阶段，第一个是建立管理连接，第二个阶段是建立数据连接

阶段一：

在两个对等体设备之间建立一个安全的管理连接。没有实际的数据通过这个连接。这个管理连接是用来保护第二阶段协商过程的。

阶段一需要协商的内容：

1.双方使用什么加密算法进行加密（des、3des、aes）

2.摘要（完整性）认证的方式（MD5、SHA）

3.采用的密钥共享方式（预共享密钥，CA数字签名、公钥认证）

4.使用的密钥强度DH组（越大加密强度越高）

5.管理连接生存时间（默认一天，单位秒）

6.协商模式（主模式或积极模式）

阶段二：

当对等体之间有了安全的管理连接之后，它们就可以接着协商用于构建安全数据连接的安全参数，这个协商过程是安全的，加密的。协商完成后，将在两个站点间形成安全的数据连接。

阶段二需要协商的内容：

1.传输模式（隧道模式还是传输模式）

2.封装技术（ESP、AH）

3.传输过程中数据的加密方式（des、3des、aes）

4.传输过程中数据的认证方式（MD5、SHA）

3.定义感兴趣（定义需要使用IPSec的流量）
实验拓扑：

首先保证路由可达

一.配置网络密钥交换提议 
 
ike proposal  1    
 
设置身份认证算法为：sha1 
 
authentication-algorithm  sha1
 
设置身份认证方式为（预共享密钥）pre-share
 
authentication-method  pre-share 
 
设置加密算法为：aes-cbs -128
 
encryption-algorithm aes-cbc-128
 
dh group2交互
 
二.配置ike对等体
 
ike peer jjj
 
配置传输模式为主模式（默认）
 
exchange-mode  main
 
应用之前配置的ike 提议 
 
ike proposal1
 
配置预共享密钥
 
pre-shared-key cipher 123
 
配置远程地址 
 
emote-address 100.1.13.1
 
三.配置IPSec proposal 
 
ipsec proposal jjj
 
配置安全协议的报文封装模式
 
encapsulation-mode tunnel （隧道模式）(默认)
 
指定ESP 协议参数  
 
    指定IPSec安全协议的认证算法
 
    esp authentication-algorithm  sha1 
 
    指定IPsec安全协议的加密算法 
 
    esp encryption-algorithm aes-128
 
四.使用高级acl抓取要使用IPSec加密的流量
 
acl 3000
 
rule 5 permit ip source 192.168.1.2 0 destination 192.168.2.2 0 
 
五.配置IPSec安全策略 
 
(配置名为jjj 策略号为 1 的 采用ike方式建立安全联盟的策略)
 
ipsec policy jjj  1 isakmp 
 
 
security acl 3000 （指定受此策略保护的报文）
pfs dh-group2（在IKE阶段2协商中使用PFS (perfect forward security)）
ike-peer jjj （指定ike peer ）
proposal jjj (配置IPSec安全提议)
 
六.应用安全策略组
 
进入指定接口
 
 
iinterface g/0/0/1 
 
ipsec policy jjj（应用jjj 策略）

r3

一.配置网络密钥交换提议 
 
ike proposal  1    
 
设置身份认证算法为：sha1 
 
authentication-algorithm  sha1
 
设置身份认证方式为（预共享密钥）pre-share
 
authentication-method  pre-share 
 
设置加密算法为：aes-cbs -128
 
encryption-algorithm aes-cbc-128
 
dh group2
 
二.配置ike对等体
 
ike peer jjj
 
配置传输模式为主模式（默认）
 
exchange-mode  main
 
应用之前配置的ike 提议 
 
ike proposal1
 
配置预共享密钥
 
pre-shared-key cipher 123
 
配置远程地址 
 
emote-address 100.1.12.1
 
三.配置IPSec proposal 
 
ipsec proposal jjj
 
配置安全协议的报文封装模式
 
encapsulation-mode tunnel （隧道模式）(默认)
 
指定ESP 协议参数  
 
    指定IPSec安全协议的认证算法
 
    esp authentication-algorithm  sha1 
 
    指定IPsec安全协议的加密算法 
 
    esp encryption-algorithm aes-128
 
四.使用高级acl抓取要使用IPSec加密的流量
 
acl 3000
 
rule 5 permit ip source 192.168.2.2 0 destination 192.168.1.2 0 
 
五.配置IPSec安全策略 
 
(配置名为jjj 策略号为 1 的 采用ike方式建立安全联盟的策略)
 
ipsec policy jjj  1 isakmp 
 
 
security acl 3000 （指定受此策略保护的报文）
pfs dh-group2（在IKE阶段2协商中使用PFS (perfect forward security)）
ike-peer jjj （指定ike peer ）
proposal jjj (配置IPSec安全提议)
 
六.应用安全策略组
 
进入指定接口
 
 
iinterface g/0/0/0 
 
ipsec policy jjj（应用jjj 策略）