【RSR】RSR如何配置静态、动态隧道混用的IPSEC

发布时间：2013-09-12

点击量：2641

功能介绍

RSR系列路由器支持基于VRRP虚接口IP来进行IPSEC的协商。

应用场景

若总公司和分公司各自的内网要能够互相共享资料，且希望资料在网络传输中不易被黑客截获破解窃取，保证资料的安全保密，此时您可以在总公司和分公司的网络设备上建立IPSec VPN，它既能实现总公司和分公司之间能够直接互相访问资源，也能对数据传输进行加密，保证了数据的安全性。若总部的IP地址固定，而部分分公司是采用拨号方式上网的（IP地址不固定），部分分公司是采用固定IP地址上互联网的，那么可以在总公司的路由器启用静态、动态混用的IPSec VPN，分公司路由器启用静态IPSEC VPN。

一、组网需求

某保险公司在网络扁平化改造后，通过电信提供的CN2网络（CN2网络是电信打造的下一代承载网，可以简单理解成建立在MPLS网络上，为企业提供VPN业务的一张承载网，这个VPN业务对客户来说是透明的），县公司可直接和省/市公司互通。为保证业务的安全，省/市/县出口路由器之间需要建立IPSEC隧道。由于市公司和县公司的数量是庞大的，因此需要使用动态IPSEC，否则，就需要手动配置大量的静态IPSEC，维护量大，且不灵活。

二、组网拓扑

三、配置要点

1、省公司路由器R1

需要与所有市/县公司建立IPSEC隧道，为减少配置维护量、增加灵活度，需配置动态IPSEC，作为IPSEC 服务端，接受市/县公司IPSEC拨入。

2、市公司路由器R2

需要配置静态IPSEC，拨入省公司
需要与所有县公司建立IPSEC隧道，为减少配置维护量、增加灵活度，需配置动态IPSEC，作为IPSEC 服务端，接受县公司IPSEC拨入。
只有一个外网出口，需要在该接口上同时实施静态IPSEC和动态IPSEC

3、县公司路由器R3

需要配置静态IPSEC，拨入省/市公司

动态IPSEC使用注意事项：

1、必须关注业务数据能否刺激IPSEC隧道的协商

2、动态加密映射不是用于设备对远程对等体发起新的IPSec 协商，而是用于接受远程对等体发起IPSec 协商。

3、即配置动态加密图的一方不能主动发起IPSEC协商。

4、在金融行业中，所有业务一般均由下级机构向上级机构发起，所以，能够刺激IPSEC隧道的建立。

5、在建立IPSEC隧道后，数据可以双向通信，没有限制

6、RSR50/RSR50E涉及IPSEC功能必须配备AIM-VPN加密卡（如何查看RSR50/RSR50E是否已经配备AIM-VPN加密卡，请查看本文最后的附录部分）

四、配置步骤

1、省公司路由器R1

省公司配置IPSEC动态隧道，参考（典型配置--->安全--->IPSEC--->IPSEC使用动态隧道（主模式））

R1完整配置：

2、市公司路由器R2

市公司路由器R2需同时配置静态和动态IPSEC，需注意将静态和动态IPSEC整合在一个crypto map加密图里：

crypto dynamic-map dymap 1

set transform-set myset

crypto map mymap 5 ipsec-isakmp

set peer 14.0.0.1

set transform-set myset

match address 100

crypto map mymap 10 ipsec-isakmp dynamic dymap //动态、静态IPSEC统一整合到一个加密图里，通过Sequence munber来关联

R2完整配置：

注意：任何加密映射条目引用动态映射是作为加密映射集合中最低优先级加密映射条目（不论配置的序号是多大，相当于配置了最大的序号），这样其他加密映射条目就会先被评估，当其他静态加密映射条目都不能匹配时检查动态加密映射条目。

3、县公司路由器R3

县公司配置IPSEC静态隧道，参考（典型配置--->安全--->IPSEC--->IPSEC使用静态隧道）

注意，和省公司R1及市公司R2需分别定义感兴趣流和cryto map 规则。

crypto map mymap 5 ipsec-isakmp

set peer 14.0.0.1

set transform-set myset

match address 100

crypto map mymap 10 ipsec-isakmp

set peer 24.0.0.2

set transform-set myset

match address 101

R3完整配置：

五、配置验证

1、刺激市公司路由器R2与省公司路由器R1建立IPSEC隧道

R2#ping 1.1.1.1 so 2.2.2.2

Sending 5, 100-byte ICMP Echoes to 1.1.1.1, timeout is 2 seconds:

< press Ctrl+C to break >

.!!!!

Success rate is 80 percent (4/5), round-trip min/avg/max = 1/12/20 ms

R2#sho cry is

% Incomplete command.

R2#sho cry is

R2#sho cry isakmp sa

destination source state conn-id lifetime(second)

14.0.0.1 24.0.0.2 QM_IDLE 33 86378

R2#sho cry ipsec sa

Interface: FastEthernet 0/0

Crypto map tag:mymap, local addr 24.0.0.2

media mtu 1500

==================================

item type:static, seqno:5, id=32

local ident (addr/mask/prot/port): (2.2.2.0/0.0.0.255/0/0))

remote ident (addr/mask/prot/port): (1.1.1.0/0.0.0.255/0/0))

PERMIT

#pkts encaps: 4, #pkts encrypt: 4, #pkts digest 4

#pkts decaps: 4, #pkts decrypt: 4, #pkts verify 4

#send errors 0, #recv errors 0

Inbound esp sas:

spi:0x3f944b2d (1066683181)

transform: esp-3des esp-md5-hmac

in use settings={Tunnel,}

crypto map mymap 5

sa timing: remaining key lifetime (k/sec): (4606999/3574)

IV size: 8 bytes

Replay detection support:Y

Outbound esp sas:

spi:0x4012256 (67183190)

transform: esp-3des esp-md5-hmac

in use settings={Tunnel,}

crypto map mymap 5

sa timing: remaining key lifetime (k/sec): (4606999/3574)

IV size: 8 bytes

Replay detection support:Y

2、刺激县公司路由器R3与省公司路由器R1的IPSEC隧道

R3#ping 1.1.1.1 so 3.3.3.3

Sending 5, 100-byte ICMP Echoes to 1.1.1.1, timeout is 2 seconds:

< press Ctrl+C to break >

.!!!!

Success rate is 80 percent (4/5), round-trip min/avg/max = 10/22/30 ms

R3#sho cry isakmp sa

destination source state conn-id lifetime(second)

14.0.0.1 34.0.0.3 QM_IDLE 33 86390

R3#sho cry ipsec sa

Interface: FastEthernet 0/0

Crypto map tag:mymap, local addr 34.0.0.3

media mtu 1500

==================================

item type:static, seqno:5, id=32

local ident (addr/mask/prot/port): (3.3.3.0/0.0.0.255/0/0))

remote ident (addr/mask/prot/port): (1.1.1.0/0.0.0.255/0/0))

PERMIT

#pkts encaps: 4, #pkts encrypt: 4, #pkts digest 4

#pkts decaps: 4, #pkts decrypt: 4, #pkts verify 4

#send errors 0, #recv errors 0

Inbound esp sas:

spi:0x173938a6 (389626022)

transform: esp-3des esp-md5-hmac

in use settings={Tunnel,}

crypto map mymap 5

sa timing: remaining key lifetime (k/sec): (4606998/3587)

IV size: 8 bytes

Replay detection support:Y

Outbound esp sas:

spi:0x499357 (4821847)

transform: esp-3des esp-md5-hmac

in use settings={Tunnel,}

crypto map mymap 5

sa timing: remaining key lifetime (k/sec): (4606998/3587)

IV size: 8 bytes

Replay detection support:Y

==================================

item type:static, seqno:10, id=34

local ident (addr/mask/prot/port): (3.3.3.0/0.0.0.255/0/0))

remote ident (addr/mask/prot/port): (2.2.2.0/0.0.0.255/0/0))

PERMIT

#pkts encaps: 0, #pkts encrypt: 0, #pkts digest 0

#pkts decaps: 0, #pkts decrypt: 0, #pkts verify 0

#send errors 0, #recv errors 0

No sa is created now.

3、刺激县公司路由器R3与市公司路由器R2的IPSEC隧道

R3#ping 2.2.2.2 so 3.3.3.3

Sending 5, 100-byte ICMP Echoes to 2.2.2.2, timeout is 2 seconds:

< press Ctrl+C to break >

.!!!!

查看R2相关IPSEC信息

R2#sho cry isakmp sa

destination source state conn-id lifetime(second)

34.0.0.3 24.0.0.2 QM_IDLE 36 86370

14.0.0.1 24.0.0.2 QM_IDLE 33 85869

R2#sho cry ipsec sa

Interface: FastEthernet 0/0

Crypto map tag:mymap, local addr 24.0.0.2

media mtu 1500

==================================

item type:static, seqno:5, id=32

local ident (addr/mask/prot/port): (2.2.2.0/0.0.0.255/0/0))

remote ident (addr/mask/prot/port): (1.1.1.0/0.0.0.255/0/0))

PERMIT

#pkts encaps: 4, #pkts encrypt: 4, #pkts digest 4

#pkts decaps: 4, #pkts decrypt: 4, #pkts verify 4

#send errors 0, #recv errors 0

Inbound esp sas:

spi:0x3f944b2d (1066683181)

transform: esp-3des esp-md5-hmac

in use settings={Tunnel,}

crypto map mymap 5

sa timing: remaining key lifetime (k/sec): (4606999/3064)

IV size: 8 bytes

Replay detection support:Y

Outbound esp sas:

spi:0x4012256 (67183190)

transform: esp-3des esp-md5-hmac

in use settings={Tunnel,}

crypto map mymap 5

sa timing: remaining key lifetime (k/sec): (4606999/3064)

IV size: 8 bytes

Replay detection support:Y

==================================

item type:temporary, seqno:0, id=37

local ident (addr/mask/prot/port): (2.2.2.0/0.0.0.255/0/0))

local ident (addr/mask/prot/port): (3.3.3.0/0.0.0.255/0/0))

PERMIT

#pkts encaps: 4, #pkts encrypt: 4, #pkts digest 4

#pkts decaps: 4, #pkts decrypt: 4, #pkts verify 4

#send errors 0, #recv errors 0

Inbound esp sas:

spi:0x67a19141 (1738641729)

transform: esp-3des esp-md5-hmac

in use settings={Tunnel,}

crypto map mymap 0

sa timing: remaining key lifetime (k/sec): (4607999/3566)

IV size: 8 bytes

Replay detection support:Y

Outbound esp sas:

spi:0x6ca7929b (1822921371)

transform: esp-3des esp-md5-hmac

in use settings={Tunnel,}

crypto map mymap 0

sa timing: remaining key lifetime (k/sec): (4607999/3566)

IV size: 8 bytes

Replay detection support:Y

六、附录

1、如何确认RSR50/RSR50E是否已经配备了AIM-VPN加密卡？

RSR50/RSR50E没有内置VPN加密卡，IPSEC需全部通过进程处理，性能非常低：打500pps 60Byte小包丢50个包，丢包率10%；打2Kpps以上，100%丢包；

在没有插AIM-VPN加密卡的情况下，使用IPSEC功能，可能导致和IPSEC相关的功能异常，比如：在小流量加密数据流情况下CPU即接近100%;ping大包不通等情况。

AIM-VPN卡是一个类似于内存条大小的卡，该卡插在管理板内部，可拔插。

可以通过如下形式确认管理板是否配备AIM-VPN卡：

RSR50#debug su

RSR50(support)#pci show

RSR50(support)#

*Jan 29 13:41:23: %7: =================BEGIN====================

*Jan 29 13:41:23: %7: PCI Bus 0 slot 1/0: PCI device 0x166D:0x0002

*Jan 29 13:41:23: %7: PCI Bus 0 slot 6/0: PCI device 0x104C:0xAC28

*Jan 29 13:41:23: %7: PCI Bus 1 slot 2/0: PCI device 0x14D9:0x0020

*Jan 29 13:41:23: %7: PCI Bus 1 slot 2/1: PCI device 0x1142:0x9001

*Jan 29 13:41:23: %7: PCI Bus 1 slot 3/0: PCI device 0x14D9:0x9000

*Jan 29 13:41:23: %7: PCI Bus 1 slot 3/1: PCI device 0x1142:0x9001

*Jan 29 13:41:23: %7: PCI Bus 1 slot 4/0: PCI device 0x14D9:0x9000

*Jan 29 13:41:23: %7: PCI Bus 1 slot 4/1: PCI device 0x1142:0x9001

*Jan 29 13:41:23: %7: PCI Bus 1 slot 5/0: PCI device 0x14D9:0x9000

*Jan 29 13:41:23: %7: PCI Bus 1 slot 5/1: PCI device 0x1142:0x9001

*Jan 29 13:41:23: %7: PCI Bus 14 slot 1/0: PCI device 0x1131:0x1561

*Jan 29 13:41:23: %7: PCI Bus 14 slot 1/1: PCI device 0x1131:0x1562

*Jan 29 13:41:23: %7: =================_^_====================

只要看到后面有:0x0020的就是有加密卡

*Jan 29 13:41:23: %7: PCI Bus 1 slot 2/0: PCI device 0x14D9:0x0020

RG-MF2920系列，2口千兆电，千兆上行，一机双网

RG-S5310-E系列，24口千兆电，万兆上行，接入层

RG-S5310-E系列，24口千兆光，万兆上行，接入层

RG-S5310-E系列，48口千兆电，万兆上行，接入层

RG-S5310-E系列，48口千兆光，万兆上行，接入层

RG-S5310-E系列新一代千兆交换机

RG-S5310-E系列，PoE+，48口千兆电，万兆上行，接入层

RG-S7800C系列融合核心交换机

RG-S7800C-X系列新一代融合核心交换机

RG-N18006-X，6槽机箱，核心层，零背板

RG-S6120系列，24口万兆光，25G上行，汇聚层

RG-S6120系列，48口万兆光，100G上行，汇聚层

RG-S6120系列融合万兆交换机

RG-EG3250新一代多业务安全网关

RG-EG3230新一代多业务安全网关

RG-EG3220新一代多业务安全网关

RG-EG3210 V2新一代多业务安全网关

RG-EG3210新一代多业务安全网关

RG-AP820-L(V3)双射频Wi-Fi 6无线AP

RG-WS7005-A多业务无线AC

RG-ESS 1000易安全系统

RG-AP850-AR(V2)四射频Wi-Fi 6无线AP

RG-AP180-L双射频Wi-Fi 6无线AP

RG-AP880(TR)三射频Wi-Fi 6无线AP

RG-WS7208-A多业务无线AC

RG-AP880-I双射频Wi-Fi 6无线AP

RG-WS7880高性能无线AC

RG-EG2100-P V2全能PoE网关

RG-N18000-X系列

RG-N18010-X，10槽机箱，核心层，零背板

RG-EG3000XE新一代高性能综合网关

RG-EG3000UE新一代高性能综合网关

RG-WS6816高性能无线AC

RG-WS6108高性能无线AC

RG-EG3000GE新一代高性能综合网关

RG-EG3000ME新一代高性能综合网关

RG-EG3000SE新一代高性能综合网关

RG-EG3000CE新一代高性能综合网关

RG-EG2000F

RG-S2900G-E V3系列千兆交换机

RG-S2952G-E V3，48口千兆电，千兆上行，接入层

RG-SMP安全管理平台

RG-SMP+安全管理平台

您可能还关注的问题

【RSR】RSR如何配置静态、动态隧道混用的IPSEC

RG-MF2920系列，2口千兆电，千兆上行，一机双网

RG-S5310-E系列，24口千兆电，万兆上行，接入层

RG-S5310-E系列，24口千兆光，万兆上行，接入层

RG-S5310-E系列，48口千兆电，万兆上行，接入层

RG-S5310-E系列，48口千兆光，万兆上行，接入层

RG-S5310-E系列新一代千兆交换机

RG-S5310-E系列，PoE+，48口千兆电，万兆上行，接入层

RG-S7800C系列融合核心交换机

RG-S7800C-X系列新一代融合核心交换机

RG-N18006-X，6槽机箱，核心层，零背板

RG-S6120系列，24口万兆光，25G上行，汇聚层

RG-S6120系列，48口万兆光，100G上行，汇聚层

RG-S6120系列融合万兆交换机

RG-EG3250新一代多业务安全网关

RG-EG3230新一代多业务安全网关

RG-EG3220新一代多业务安全网关

RG-EG3210 V2新一代多业务安全网关

RG-EG3210新一代多业务安全网关

RG-AP820-L(V3)双射频Wi-Fi 6无线AP

RG-WS7005-A多业务无线AC

RG-ESS 1000易安全系统

RG-AP850-AR(V2)四射频Wi-Fi 6无线AP

RG-AP180-L双射频Wi-Fi 6无线AP

RG-AP880(TR)三射频Wi-Fi 6无线AP

RG-WS7208-A多业务无线AC

RG-AP880-I双射频Wi-Fi 6无线AP

RG-WS7880高性能无线AC

RG-EG2100-P V2全能PoE网关

RG-N18000-X系列

RG-N18010-X，10槽机箱，核心层，零背板

RG-EG3000XE新一代高性能综合网关

RG-EG3000UE新一代高性能综合网关

RG-WS6816高性能无线AC

RG-WS6108高性能无线AC

RG-EG3000GE新一代高性能综合网关

RG-EG3000ME新一代高性能综合网关

RG-EG3000SE新一代高性能综合网关

RG-EG3000CE新一代高性能综合网关

RG-EG2000F

RG-S2900G-E V3系列千兆交换机

RG-S2952G-E V3，48口千兆电，千兆上行，接入层

RG-SMP安全管理平台

RG-SMP+安全管理平台

•智慧场馆包括哪些内容？技术的运用推动着智慧场馆的发展

•【RSR】路由器如何通过TFTP离线导入PFX格式的数字证书

•【路由器】路由器广域网链路异常，即CPOS链路两端业务通信异常

•【交换机】交换机如何配置ssh管理

•【交换机】交换机如何修改接口速率和双工

•【交换机】交换机如何配置dot1x认证

•【交换】交换机如何配置不同的vlan之间互相访问

•【交换机】交换机RLDP（环路检测&链路检测）功能介绍及配置说明

•【RSR】RSR如何添加浮动静态路由

•【NBR】NBR如何通过命令行方式配置DDNS功能，实现外网主机可以通过域名管理路由器

请选择服务项目