怎樣通過(guò)IPsec野蠻模式實(shí)現(xiàn)分支之間相互通信呢
一、組網(wǎng)及說(shuō)明
注：如無(wú)特別說(shuō)明，描述中的 FW1 或 MSR1 對(duì)應(yīng)拓?fù)渲性O(shè)備名稱末尾數(shù)字為 1 的設(shè)備，F(xiàn)W2 或 MSR2 對(duì)應(yīng)拓?fù)渲性O(shè)備名稱末尾數(shù)字為 2 的設(shè)備，以此類推；另外，同一網(wǎng)段中，IP 地址的主機(jī)位為其設(shè)備編號(hào)，如 FW1 的 g0/0 接口若在 1.1.1.0/24 網(wǎng)段，則其 IP 地址為 1.1.1.1/24，以此類推。
二、實(shí)驗(yàn)需求
FW1代表中心節(jié)點(diǎn)，F(xiàn)W2和FW3代表分支。
FW上使用環(huán)回口Loopback0模擬業(yè)務(wù)網(wǎng)段。
分支分別和中心節(jié)點(diǎn)通信，各分支節(jié)點(diǎn)之間可以相互通信。
三、配置步驟
3.1 IP、路由、安全域
FW1
# interfaceLoopBack0 ipaddress10.1.1.1255.255.255.255 # interfaceGigabitEthernet1/0/1 portlink-moderoute comboenablecopper ipaddress2.2.2.1255.255.255.0 ipsecapplypolicyply # security-zonenameLocal # security-zonenameTrust importinterfaceGigabitEthernet1/0/0 importinterfaceGigabitEthernet1/0/1 # iproute-static10.2.2.1321.1.1.2 iproute-static10.3.3.1322.2.2.3 # security-policyip rule0nameany actionpass
FW2
# interfaceLoopBack0 ipaddress10.2.2.1255.255.255.255 # interfaceGigabitEthernet1/0/0 portlink-moderoute comboenablecopper ipaddress1.1.1.2255.255.255.0 ipsecapplypolicyply # security-zonenameLocal # security-zonenameTrust importinterfaceGigabitEthernet1/0/0 importinterfaceGigabitEthernet1/0/1 # iproute-static0.0.0.001.1.1.1 # security-policyip rule0nameany actionpass
FW3
# interfaceLoopBack0 ipaddress10.3.3.1255.255.255.0 # interfaceGigabitEthernet1/0/0 portlink-moderoute comboenablecopper ipaddress2.2.2.3255.255.255.0 ipsecapplypolicyply # security-zonenameLocal # security-zonenameTrust importinterfaceGigabitEthernet1/0/0 importinterfaceGigabitEthernet1/0/1 # iproute-static0.0.0.002.2.2.1 # security-policyip rule0nameany actionpass #
3.2 IKE部分
FW1
# ikekeychaink1 pre-shared-keyhostnamef2keycipher$c$3$rFTHo6O4pPLOHvZEwmSFGc3gjFRY7Q75Qw== # ikekeychaink2 pre-shared-keyhostnamef3keycipher$c$3$lo0leXtmx41UHB7Vxok9kFeOJxZnJZ0miw== # ikeprofilepf keychaink1 keychaink2 dpdinterval10on-demand exchange-modeaggressive local-identityfqdnf1 matchremoteidentityfqdnf2 matchremoteidentityfqdnf3
FW2
# ikekeychaink1 pre-shared-keyaddress1.1.1.1255.255.255.255keycipher$c$3$v44JHWonfkj3w9BqDNkQ+LEIFRiUlBKUgw== # ikeprofilepf keychaink1 exchange-modeaggressive local-identityfqdnf2 matchremoteidentityfqdnf1
FW3
# ikekeychaink1 pre-shared-keyaddress2.2.2.1255.255.255.255keycipher$c$3$PKsnAPnnOgZicN73gXZd3L3ZO9OR3IuS1A== # ikeprofilepf keychaink1 exchange-modeaggressive local-identityfqdnf3 matchremoteidentityfqdnf1
3.3 IPsec部分
FW1
# acladvanced3000 rule0permitipsource10.1.1.10destination10.2.2.10 rule5permitipsource10.1.1.10destination10.3.3.10 rule10permitipsource10.3.3.10destination10.2.2.10 rule15permitipsource10.2.2.10destination10.3.3.10 # ipsectransform-setts espencryption-algorithm3des-cbc espauthentication-algorithmmd5 # ipsecpolicy-templatept1 transform-setts securityacl3000 ike-profilepf # ipsecpolicyply1isakmptemplatept
FW2
# acladvanced3000 rule0permitipsource10.2.2.10destination10.1.1.10 rule5permitipsource10.2.2.10destination10.3.3.10 # ipsectransform-setts espencryption-algorithm3des-cbc espauthentication-algorithmmd5 # ipsecpolicyply1isakmp transform-setts securityacl3000 remote-address1.1.1.1 ike-profilepf
FW3
# acladvanced3000 rule0permitipsource10.3.3.10destination10.1.1.10 rule5permitipsource10.3.3.10destination10.2.2.10 # ipsectransform-setts espencryption-algorithm3des-cbc espauthentication-algorithmmd5 # ipsecpolicyply1isakmp transform-setts securityacl3000 remote-address2.2.2.1 ike-profilepf
四、配置關(guān)鍵點(diǎn)
分支和中心節(jié)點(diǎn)之間的隧道建立要通過(guò)分支來(lái)觸發(fā)，即FW2向FW1發(fā)起訪問(wèn)，F(xiàn)W3向FW1發(fā)起訪問(wèn)。
分支和分支之間建立隧道需要兩邊觸發(fā)，即FW2向FW3發(fā)起訪問(wèn)，F(xiàn)W3向FW2發(fā)起訪問(wèn)。
分支的感興趣流除了目的是中心節(jié)點(diǎn)外，還需要包括到分支的。
FW1上的ipsec sa如下：
------------------------------- Interface:GigabitEthernet1/0/0 ------------------------------- ----------------------------- IPsecpolicy:ply Sequencenumber:1 Mode:Template ----------------------------- Tunnelid:1 Encapsulationmode:tunnel PerfectForwardSecrecy: InsideVPN: ExtendedSequenceNumbersenable:N TrafficFlowConfidentialityenable:N Transmittingentity:Responder PathMTU:1444 Tunnel: localaddress:1.1.1.1 remoteaddress:1.1.1.2 Flow: souraddr:10.1.1.1/255.255.255.255port:0protocol:ip destaddr:10.2.2.1/255.255.255.255port:0protocol:ip [InboundESPSAs] SPI:3754823141(0xdfce0de5) ConnectionID:4294967298 Transformset:ESP-ENCRYPT-3DES-CBCESP-AUTH-MD5 SAduration(kilobytes/sec):1843200/3600 SAremainingduration(kilobytes/sec):1843199/3562 Maxreceivedsequence-number:4 Anti-replaycheckenable:Y Anti-replaywindowsize:64 UDPencapsulationusedforNATtraversal:N Status:Active [OutboundESPSAs] SPI:1056998950(0x3f008626) ConnectionID:4294967299 Transformset:ESP-ENCRYPT-3DES-CBCESP-AUTH-MD5 SAduration(kilobytes/sec):1843200/3600 SAremainingduration(kilobytes/sec):1843199/3562 Maxsentsequence-number:4 UDPencapsulationusedforNATtraversal:N Status:Active ----------------------------- IPsecpolicy:ply Sequencenumber:1 Mode:Template ----------------------------- Tunnelid:2 Encapsulationmode:tunnel PerfectForwardSecrecy: InsideVPN: ExtendedSequenceNumbersenable:N TrafficFlowConfidentialityenable:N Transmittingentity:Responder PathMTU:1444 Tunnel: localaddress:1.1.1.1 remoteaddress:1.1.1.2 Flow: souraddr:10.3.3.1/255.255.255.255port:0protocol:ip destaddr:10.2.2.1/255.255.255.255port:0protocol:ip [InboundESPSAs] SPI:3260450656(0xc2568760) ConnectionID:4294967300 Transformset:ESP-ENCRYPT-3DES-CBCESP-AUTH-MD5 SAduration(kilobytes/sec):1843200/3600 SAremainingduration(kilobytes/sec):1843199/3575 Maxreceivedsequence-number:8 Anti-replaycheckenable:Y Anti-replaywindowsize:64 UDPencapsulationusedforNATtraversal:N Status:Active [OutboundESPSAs] SPI:2013923382(0x780a0836) ConnectionID:4294967301 Transformset:ESP-ENCRYPT-3DES-CBCESP-AUTH-MD5 SAduration(kilobytes/sec):1843200/3600 SAremainingduration(kilobytes/sec):1843199/3575 Maxsentsequence-number:5 UDPencapsulationusedforNATtraversal:N Status:Active ------------------------------- Interface:GigabitEthernet1/0/1 ------------------------------- ----------------------------- IPsecpolicy:ply Sequencenumber:1 Mode:Template ----------------------------- Tunnelid:0 Encapsulationmode:tunnel PerfectForwardSecrecy: InsideVPN: ExtendedSequenceNumbersenable:N TrafficFlowConfidentialityenable:N Transmittingentity:Responder PathMTU:1444 Tunnel: localaddress:2.2.2.1 remoteaddress:2.2.2.3 Flow: souraddr:10.1.1.1/255.255.255.255port:0protocol:ip destaddr:10.3.3.1/255.255.255.255port:0protocol:ip [InboundESPSAs] SPI:2022161426(0x7887bc12) ConnectionID:4294967296 Transformset:ESP-ENCRYPT-3DES-CBCESP-AUTH-MD5 SAduration(kilobytes/sec):1843200/3600 SAremainingduration(kilobytes/sec):1843199/3554 Maxreceivedsequence-number:4 Anti-replaycheckenable:Y Anti-replaywindowsize:64 UDPencapsulationusedforNATtraversal:N Status:Active [OutboundESPSAs] SPI:3633752750(0xd896aaae) ConnectionID:4294967297 Transformset:ESP-ENCRYPT-3DES-CBCESP-AUTH-MD5 SAduration(kilobytes/sec):1843200/3600 SAremainingduration(kilobytes/sec):1843199/3554 Maxsentsequence-number:4 UDPencapsulationusedforNATtraversal:N Status:Active ----------------------------- IPsecpolicy:ply Sequencenumber:1 Mode:Template ----------------------------- Tunnelid:3 Encapsulationmode:tunnel PerfectForwardSecrecy: InsideVPN: ExtendedSequenceNumbersenable:N TrafficFlowConfidentialityenable:N Transmittingentity:Responder PathMTU:1444 Tunnel: localaddress:2.2.2.1 remoteaddress:2.2.2.3 Flow: souraddr:10.2.2.1/255.255.255.255port:0protocol:ip destaddr:10.3.3.1/255.255.255.255port:0protocol:ip [InboundESPSAs] SPI:3168528224(0xbcdbe760) ConnectionID:4294967302 Transformset:ESP-ENCRYPT-3DES-CBCESP-AUTH-MD5 SAduration(kilobytes/sec):1843200/3600 SAremainingduration(kilobytes/sec):1843199/3583 Maxreceivedsequence-number:5 Anti-replaycheckenable:Y Anti-replaywindowsize:64 UDPencapsulationusedforNATtraversal:N Status:Active [OutboundESPSAs] SPI:2761355159(0xa496ef97) ConnectionID:4294967303 Transformset:ESP-ENCRYPT-3DES-CBCESP-AUTH-MD5 SAduration(kilobytes/sec):1843200/3600 SAremainingduration(kilobytes/sec):1843199/3583 Maxsentsequence-number:5 UDPencapsulationusedforNATtraversal:N Status:Active
實(shí)驗(yàn)結(jié)束！
審核編輯：劉清
聲明：本文內(nèi)容及配圖由入駐作者撰寫(xiě)或者入駐合作網(wǎng)站授權(quán)轉(zhuǎn)載。文章觀點(diǎn)僅代表作者本人，不代表電子發(fā)燒友網(wǎng)立場(chǎng)。文章及其配圖僅供工程師學(xué)習(xí)之用，如有內(nèi)容侵權(quán)或者其他違規(guī)問(wèn)題，請(qǐng)聯(lián)系本站處理。
舉報(bào)投訴
-
IPSec
+關(guān)注
關(guān)注
0文章
60瀏覽量
24040 -
MSR
+關(guān)注
關(guān)注
0文章
22瀏覽量
8355
原文標(biāo)題：H3C實(shí)驗(yàn) | 通過(guò)IPsec野蠻模式實(shí)現(xiàn)分支之間相互通信
文章出處：【微信號(hào)：網(wǎng)絡(luò)技術(shù)干貨圈，微信公眾號(hào)：網(wǎng)絡(luò)技術(shù)干貨圈】歡迎添加關(guān)注！文章轉(zhuǎn)載請(qǐng)注明出處。
發(fā)布評(píng)論請(qǐng)先 登錄
相關(guān)推薦
熱點(diǎn)推薦
深入解析Infineon IWE8：8 E1/T1線路互通元件的技術(shù)洞察
深入解析Infineon IWE8：8 E1/T1線路互通元件的技術(shù)洞察 在當(dāng)今復(fù)雜的通信網(wǎng)絡(luò)環(huán)境中，實(shí)現(xiàn)不同網(wǎng)絡(luò)之間的高效互通至關(guān)重要。I
基于 SONiC 的高性能 IPsec 網(wǎng)關(guān)：VPP 與硬件卸載如何重塑路由性能？
面對(duì)10G+帶寬挑戰(zhàn)，傳統(tǒng)IPsec網(wǎng)關(guān)性能不足。本文深入解析SONiC操作系統(tǒng)如何通過(guò)硬件卸載與VPP加速，實(shí)現(xiàn)線速加密吞吐，為企業(yè)提供高性能路由安全方案。立即了解！
MPO分支光纜：高密度光纖布線的核心組件
在數(shù)據(jù)中心、通信網(wǎng)絡(luò)和工業(yè)控制等高密度光纖布線場(chǎng)景中，MPO分支光纜憑借其模塊化設(shè)計(jì)、高密度集成和靈活部署能力，已成為提升網(wǎng)絡(luò)效率的關(guān)鍵組件。其通過(guò)單接口實(shí)現(xiàn)多芯光纖并行傳輸，顯著簡(jiǎn)化
PROFINET 與 DeviceNet 異構(gòu)網(wǎng)絡(luò)互通技術(shù)初探
PROFINET 與 DeviceNet 異構(gòu)網(wǎng)絡(luò)互通初探 ——基于 Profinet 轉(zhuǎn) DeviceNet 協(xié)議網(wǎng)關(guān)的基礎(chǔ)通信驗(yàn)證實(shí)錄 在工業(yè)自動(dòng)化項(xiàng)目中，常需將基于 PROFINET
蜂鳥(niǎo)E203簡(jiǎn)單分支預(yù)測(cè)的改進(jìn)
當(dāng)前指令的類型是普通指令還是分支跳轉(zhuǎn)指令。當(dāng)譯碼信息指示當(dāng)前指令為分支跳轉(zhuǎn)指令時(shí)，則在一個(gè)周期內(nèi)進(jìn)行分支預(yù)測(cè)。
蜂鳥(niǎo)E203的分支預(yù)測(cè)十分簡(jiǎn)單，是常見(jiàn)的靜態(tài)
發(fā)表于 10-24 07:45
基于全局預(yù)測(cè)歷史的gshare分支預(yù)測(cè)器的實(shí)現(xiàn)細(xì)節(jié)
GShare預(yù)測(cè)機(jī)制簡(jiǎn)介
GShare預(yù)測(cè)機(jī)制作為一種常用的分支預(yù)測(cè)機(jī)制，通過(guò)基于分支歷史和分支地址來(lái)預(yù)測(cè)分支指令的執(zhí)行路徑。
發(fā)表于 10-22 06:50
創(chuàng)造無(wú)線語(yǔ)音通話新記錄 —— aiTalk 實(shí)現(xiàn)68公里穩(wěn)定互通
近日，拓寶科技研發(fā)的基于 TurMass? 技術(shù)的 aiTalk 無(wú)網(wǎng)通訊手機(jī)伴侶，在無(wú)錫宜興銅官山和蘇州大陽(yáng)山之間完成了實(shí)地長(zhǎng)距離測(cè)試，成功實(shí)現(xiàn)了 67.6 公里的雙向清晰語(yǔ)音通信。這一成果不僅
實(shí)現(xiàn)EtherNet/IP網(wǎng)絡(luò)與Modbus TCP網(wǎng)絡(luò)之間數(shù)據(jù)互通
硬件連接與配置 使用工業(yè)以太網(wǎng)網(wǎng)關(guān)（如ENE-350）作為橋接設(shè)備，通過(guò)以太網(wǎng)交換機(jī)實(shí)現(xiàn)硬件互聯(lián)。 網(wǎng)關(guān)需根據(jù)應(yīng)用場(chǎng)景配置為EtherNet/IP從站或Modbus TCP主/從站模式。 案例1
深信服防火墻與映翰通IR615建立IPSec VPN部分站點(diǎn)子網(wǎng)無(wú)法主動(dòng)訪問(wèn)怎么解決？
深信服防火墻與映翰通9臺(tái)IR615建立IPSec VPN，其中4臺(tái)IR615 站點(diǎn)子網(wǎng)無(wú)法主動(dòng)訪問(wèn)，其中4臺(tái) 總部防火墻無(wú)法ping通分支IR615，分支IR615可以ping總部，分支
發(fā)表于 08-05 06:27
不同網(wǎng)段的PLC如何實(shí)現(xiàn)與MES系統(tǒng)相互訪問(wèn)
作為人機(jī)交互的關(guān)鍵層級(jí)。 PLC通常通過(guò)以太網(wǎng)或其他工業(yè)網(wǎng)絡(luò)協(xié)議（如PROFINET、Modbus TCP等）進(jìn)行通信。當(dāng)PLC位于不同的網(wǎng)段時(shí)，它們不能直接通信，需要特殊的配置或設(shè)備來(lái)實(shí)現(xiàn)
如何通過(guò)USS協(xié)議實(shí)現(xiàn)變頻器與PLC之間的通信？
USS協(xié)議（Universal Serial Interface Protocol）是西門(mén)子公司專為驅(qū)動(dòng)設(shè)備設(shè)計(jì)的基于串行通信的通用協(xié)議，它通過(guò)RS485物理接口實(shí)現(xiàn)PLC與變頻器等設(shè)備的經(jīng)濟(jì)高效
上位機(jī)和下位機(jī)之間的通信是通過(guò)什么實(shí)現(xiàn)的
上位機(jī)和下位機(jī)之間的通信可通過(guò)多種方式實(shí)現(xiàn)，以下從有線通信和無(wú)線通信兩大類別展開(kāi)介紹： 有線
怎樣使用Jlink (SEGGER) 通過(guò)SWD讀寫(xiě)呢？
怎樣使用Jlink (SEGGER) 通過(guò)SWD讀寫(xiě)呢？Jlink沒(méi)有找到CYPD6125的信號(hào)，官方也沒(méi)有找到CYPD6125對(duì)應(yīng)的FLM和xml 文件
發(fā)表于 05-27 06:45
評(píng)論