【RSR】RSR如何配置静态、动态隧道混用的IPSEC

发布时间: 2013-09-12 点击量:598 打印 字体:

功能介绍

RSR系列路由器支持基于VRRP虚接口IP来进行IPSEC的协商。 

应用场景

若总公司和分公司各自的内网要能够互相共享资料,且希望资料在网络传输中不易被黑客截获破解窃取,保证资料的安全保密,此时您可以在总公司和分公司的网络设备上建立IPSec VPN,它既能实现总公司和分公司之间能够直接互相访问资源,也能对数据传输进行加密,保证了数据的安全性。若总部的IP地址固定,而部分分公司是采用拨号方式上网的(IP地址不固定),部分分公司是采用固定IP地址上互联网的,那么可以在总公司的路由器启用静态、动态混用的IPSec VPN,分公司路由器启用静态IPSEC VPN。 

一、组网需求

某保险公司在网络扁平化改造后,通过电信提供的CN2网络(CN2网络是电信打造的下一代承载网,可以简单理解成建立在MPLS网络上,为企业提供VPN业务的一张承载网,这个VPN业务对客户来说是透明的),县公司可直接和省/市公司互通。为保证业务的安全,省/市/县出口路由器之间需要建立IPSEC隧道。由于市公司和县公司的数量是庞大的,因此需要使用动态IPSEC,否则,就需要手动配置大量的静态IPSEC,维护量大,且不灵活。

二、组网拓扑

三、配置要点

1、省公司路由器R1

  • 需要与所有市/县公司建立IPSEC隧道,为减少配置维护量、增加灵活度,需配置动态IPSEC,作为IPSEC 服务端,接受市/县公司IPSEC拨入。

2、市公司路由器R2

  • 需要配置静态IPSEC,拨入省公司
  • 需要与所有县公司建立IPSEC隧道,为减少配置维护量、增加灵活度,需配置动态IPSEC,作为IPSEC 服务端,接受县公司IPSEC拨入。
  • 只有一个外网出口,需要在该接口上同时实施静态IPSEC和动态IPSEC

3、县公司路由器R3

  • 需要配置静态IPSEC,拨入省/市公司

动态IPSEC使用注意事项:

1、必须关注业务数据能否刺激IPSEC隧道的协商

2、动态加密映射不是用于设备对远程对等体发起新的IPSec 协商,而是用于接受远程对等体发起IPSec 协商。

3、即配置动态加密图的一方不能主动发起IPSEC协商。

4、在金融行业中,所有业务一般均由下级机构向上级机构发起,所以,能够刺激IPSEC隧道的建立。

5、在建立IPSEC隧道后,数据可以双向通信,没有限制

6、RSR50/RSR50E涉及IPSEC功能必须配备AIM-VPN加密卡(如何查看RSR50/RSR50E是否已经配备AIM-VPN加密卡,请查看本文最后的附录部分)

四、配置步骤

1、省公司路由器R1

省公司配置IPSEC动态隧道,参考(典型配置--->安全--->IPSEC--->IPSEC使用动态隧道(主模式))

R1完整配置:

2、市公司路由器R2

市公司路由器R2需同时配置静态和动态IPSEC,需注意将静态和动态IPSEC整合在一个crypto map加密图里:

crypto dynamic-map dymap 1

    set transform-set myset

crypto map mymap 5 ipsec-isakmp

    set peer 14.0.0.1

    set transform-set myset

    match address 100

   crypto map mymap 10 ipsec-isakmp dynamic dymap      //动态、静态IPSEC统一整合到一个加密图里,通过Sequence munber来关联

R2完整配置:

注意:任何加密映射条目引用动态映射是作为加密映射集合中最低优先级加密映射条目(不论配置的序号是多大,相当于配置了最大的序号),这样其他加密映射条目就会先被评估,当其他静态加密映射条目都不能匹配时检查动态加密映射条目。

3、县公司路由器R3

县公司配置IPSEC静态隧道,参考(典型配置--->安全--->IPSEC--->IPSEC使用静态隧道)

注意,和省公司R1及市公司R2需分别定义感兴趣流和cryto map 规则。

crypto map mymap 5 ipsec-isakmp

    set peer 14.0.0.1

    set transform-set myset

    match address 100

crypto map mymap 10 ipsec-isakmp

    set peer 24.0.0.2

    set transform-set myset

    match address 101

R3完整配置:

五、配置验证

1、刺激市公司路由器R2与省公司路由器R1建立IPSEC隧道

R2#ping 1.1.1.1 so 2.2.2.2

Sending 5, 100-byte ICMP Echoes to 1.1.1.1, timeout is 2 seconds:

  < press Ctrl+C to break >

.!!!!

Success rate is 80 percent (4/5), round-trip min/avg/max = 1/12/20 ms

R2#sho cry is

% Incomplete command.

 

R2#sho cry is

R2#sho cry isakmp sa

 destination       source            state                    conn-id           lifetime(second)

 14.0.0.1          24.0.0.2          QM_IDLE                  33                86378           

R2#sho cry ipsec sa

Interface: FastEthernet 0/0

         Crypto map tag:mymap, local addr 24.0.0.2

         media mtu 1500

         ==================================

         item type:static, seqno:5, id=32

         local  ident (addr/mask/prot/port): (2.2.2.0/0.0.0.255/0/0))

         remote  ident (addr/mask/prot/port): (1.1.1.0/0.0.0.255/0/0))

         PERMIT

         #pkts encaps: 4, #pkts encrypt: 4, #pkts digest 4

         #pkts decaps: 4, #pkts decrypt: 4, #pkts verify 4

         #send errors 0, #recv errors 0

         Inbound esp sas:

              spi:0x3f944b2d (1066683181)

               transform: esp-3des esp-md5-hmac

               in use settings={Tunnel,}

               crypto map mymap 5

               sa timing: remaining key lifetime (k/sec): (4606999/3574)

               IV size: 8 bytes

               Replay detection support:Y

         Outbound esp sas:

              spi:0x4012256 (67183190)

               transform: esp-3des esp-md5-hmac

               in use settings={Tunnel,}

               crypto map mymap 5

               sa timing: remaining key lifetime (k/sec): (4606999/3574)

               IV size: 8 bytes

               Replay detection support:Y

2、刺激县公司路由器R3与省公司路由器R1IPSEC隧道

R3#ping 1.1.1.1 so 3.3.3.3

Sending 5, 100-byte ICMP Echoes to 1.1.1.1, timeout is 2 seconds:

  < press Ctrl+C to break >

.!!!!

Success rate is 80 percent (4/5), round-trip min/avg/max = 10/22/30 ms

R3#sho cry isakmp sa

 destination       source            state                    conn-id           lifetime(second)

 14.0.0.1          34.0.0.3          QM_IDLE                  33                86390           

R3#sho cry ipsec sa

 

 

Interface: FastEthernet 0/0

         Crypto map tag:mymap, local addr 34.0.0.3

         media mtu 1500

 

 

         ==================================

         item type:static, seqno:5, id=32

         local  ident (addr/mask/prot/port): (3.3.3.0/0.0.0.255/0/0))

         remote  ident (addr/mask/prot/port): (1.1.1.0/0.0.0.255/0/0))

         PERMIT

         #pkts encaps: 4, #pkts encrypt: 4, #pkts digest 4

         #pkts decaps: 4, #pkts decrypt: 4, #pkts verify 4

         #send errors 0, #recv errors 0

 

         Inbound esp sas:

              spi:0x173938a6 (389626022)

               transform: esp-3des esp-md5-hmac

               in use settings={Tunnel,}

               crypto map mymap 5

               sa timing: remaining key lifetime (k/sec): (4606998/3587)

               IV size: 8 bytes

               Replay detection support:Y

         

 

         Outbound esp sas:

              spi:0x499357 (4821847)

               transform: esp-3des esp-md5-hmac

               in use settings={Tunnel,}

               crypto map mymap 5

               sa timing: remaining key lifetime (k/sec): (4606998/3587)

               IV size: 8 bytes

               Replay detection support:Y

         ==================================

         item type:static, seqno:10, id=34

         local  ident (addr/mask/prot/port): (3.3.3.0/0.0.0.255/0/0))

         remote  ident (addr/mask/prot/port): (2.2.2.0/0.0.0.255/0/0))

         PERMIT

         #pkts encaps: 0, #pkts encrypt: 0, #pkts digest 0

         #pkts decaps: 0, #pkts decrypt: 0, #pkts verify 0

         #send errors 0, #recv errors 0

         No sa is created now.

3、刺激县公司路由器R3与市公司路由器R2IPSEC隧道

R3#ping 2.2.2.2 so 3.3.3.3

Sending 5, 100-byte ICMP Echoes to 2.2.2.2, timeout is 2 seconds:

  < press Ctrl+C to break >

.!!!!

查看R2相关IPSEC信息

R2#sho cry isakmp sa

 destination       source            state                    conn-id           lifetime(second)

 34.0.0.3          24.0.0.2          QM_IDLE                  36                86370           

 14.0.0.1          24.0.0.2          QM_IDLE                  33                85869           

R2#sho cry ipsec sa

 

 

Interface: FastEthernet 0/0

         Crypto map tag:mymap, local addr 24.0.0.2

         media mtu 1500

 

 

         ==================================

         item type:static, seqno:5, id=32

         local  ident (addr/mask/prot/port): (2.2.2.0/0.0.0.255/0/0))

         remote  ident (addr/mask/prot/port): (1.1.1.0/0.0.0.255/0/0))

         PERMIT

         #pkts encaps: 4, #pkts encrypt: 4, #pkts digest 4

         #pkts decaps: 4, #pkts decrypt: 4, #pkts verify 4

         #send errors 0, #recv errors 0

 

         Inbound esp sas:

              spi:0x3f944b2d (1066683181)

               transform: esp-3des esp-md5-hmac

               in use settings={Tunnel,}

               crypto map mymap 5

               sa timing: remaining key lifetime (k/sec): (4606999/3064)

               IV size: 8 bytes

               Replay detection support:Y

         

 

         Outbound esp sas:

              spi:0x4012256 (67183190)

               transform: esp-3des esp-md5-hmac

               in use settings={Tunnel,}

               crypto map mymap 5

               sa timing: remaining key lifetime (k/sec): (4606999/3064)

               IV size: 8 bytes

               Replay detection support:Y

 

 

 

         ==================================

         item type:temporary, seqno:0, id=37

         local  ident (addr/mask/prot/port): (2.2.2.0/0.0.0.255/0/0))

         local  ident (addr/mask/prot/port): (3.3.3.0/0.0.0.255/0/0))

         PERMIT

         #pkts encaps: 4, #pkts encrypt: 4, #pkts digest 4

         #pkts decaps: 4, #pkts decrypt: 4, #pkts verify 4

         #send errors 0, #recv errors 0

 

         Inbound esp sas:

              spi:0x67a19141 (1738641729)

               transform: esp-3des esp-md5-hmac

               in use settings={Tunnel,}

               crypto map mymap 0

               sa timing: remaining key lifetime (k/sec): (4607999/3566)

               IV size: 8 bytes

               Replay detection support:Y

 

 

         Outbound esp sas:

              spi:0x6ca7929b (1822921371)

               transform: esp-3des esp-md5-hmac

               in use settings={Tunnel,}

               crypto map mymap 0

               sa timing: remaining key lifetime (k/sec): (4607999/3566)

               IV size: 8 bytes

               Replay detection support:Y

六、附录

1、如何确认RSR50/RSR50E是否已经配备了AIM-VPN加密卡?

RSR50/RSR50E没有内置VPN加密卡,IPSEC需全部通过进程处理,性能非常低:打500pps 60Byte小包丢50个包,丢包率10%;打2Kpps以上,100%丢包;

在没有插AIM-VPN加密卡的情况下,使用IPSEC功能,可能导致和IPSEC相关的功能异常,比如:在小流量加密数据流情况下CPU即接近100%;ping大包不通等情况。

AIM-VPN卡是一个类似于内存条大小的卡,该卡插在管理板内部,可拔插。

可以通过如下形式确认管理板是否配备AIM-VPN卡:

RSR50#debug su

RSR50(support)#pci show

RSR50(support)#

*Jan 29 13:41:23: %7: =================BEGIN====================

*Jan 29 13:41:23: %7: PCI Bus 0 slot 1/0: PCI device 0x166D:0x0002

*Jan 29 13:41:23: %7: PCI Bus 0 slot 6/0: PCI device 0x104C:0xAC28

*Jan 29 13:41:23: %7: PCI Bus 1 slot 2/0: PCI device 0x14D9:0x0020

*Jan 29 13:41:23: %7: PCI Bus 1 slot 2/1: PCI device 0x1142:0x9001

*Jan 29 13:41:23: %7: PCI Bus 1 slot 3/0: PCI device 0x14D9:0x9000

*Jan 29 13:41:23: %7: PCI Bus 1 slot 3/1: PCI device 0x1142:0x9001

*Jan 29 13:41:23: %7: PCI Bus 1 slot 4/0: PCI device 0x14D9:0x9000

*Jan 29 13:41:23: %7: PCI Bus 1 slot 4/1: PCI device 0x1142:0x9001

*Jan 29 13:41:23: %7: PCI Bus 1 slot 5/0: PCI device 0x14D9:0x9000

*Jan 29 13:41:23: %7: PCI Bus 1 slot 5/1: PCI device 0x1142:0x9001

*Jan 29 13:41:23: %7: PCI Bus 14 slot 1/0: PCI device 0x1131:0x1561

*Jan 29 13:41:23: %7: PCI Bus 14 slot 1/1: PCI device 0x1131:0x1562

*Jan 29 13:41:23: %7: =================_^_====================

只要看到后面有:0x0020的就是有加密卡

*Jan 29 13:41:23: %7: PCI Bus 1 slot 2/0: PCI device 0x14D9:0x0020

 

 

 

00 分享 纠错
相关条目