怎样通过IPsec野蛮模式实现分支之间相互通信呢-电子发烧友网

一、组网及说明

注：如无特别说明，描述中的 FW1 或 MSR1 对应拓扑中设备名称末尾数字为 1 的设备，FW2 或 MSR2 对应拓扑中设备名称末尾数字为 2 的设备，以此类推；另外，同一网段中，IP 地址的主机位为其设备编号，如 FW1 的 g0/0 接口若在 1.1.1.0/24 网段，则其 IP 地址为 1.1.1.1/24，以此类推。

二、实验需求

FW1代表中心节点，FW2和FW3代表分支。

FW上使用环回口Loopback0模拟业务网段。

分支分别和中心节点通信，各分支节点之间可以相互通信。

三、配置步骤

3.1 IP、路由、安全域

FW1

#

interfaceLoopBack0

ipaddress10.1.1.1255.255.255.255

#

interfaceGigabitEthernet1/0/1

portlink-moderoute

comboenablecopper

ipaddress2.2.2.1255.255.255.0

ipsecapplypolicyply

#

security-zonenameLocal

#

security-zonenameTrust

importinterfaceGigabitEthernet1/0/0

importinterfaceGigabitEthernet1/0/1

#

iproute-static10.2.2.1321.1.1.2

iproute-static10.3.3.1322.2.2.3

#

security-policyip

rule0nameany

actionpass

FW2

#

interfaceLoopBack0

ipaddress10.2.2.1255.255.255.255

#

interfaceGigabitEthernet1/0/0

portlink-moderoute

comboenablecopper

ipaddress1.1.1.2255.255.255.0

ipsecapplypolicyply

#

security-zonenameLocal

#

security-zonenameTrust

importinterfaceGigabitEthernet1/0/0

importinterfaceGigabitEthernet1/0/1

#

iproute-static0.0.0.001.1.1.1

#

security-policyip

rule0nameany

actionpass

FW3

#

interfaceLoopBack0

ipaddress10.3.3.1255.255.255.0

#

interfaceGigabitEthernet1/0/0

portlink-moderoute

comboenablecopper

ipaddress2.2.2.3255.255.255.0

ipsecapplypolicyply

#

security-zonenameLocal

#

security-zonenameTrust

importinterfaceGigabitEthernet1/0/0

importinterfaceGigabitEthernet1/0/1

#

iproute-static0.0.0.002.2.2.1

#

security-policyip

rule0nameany

actionpass

#

3.2 IKE部分

FW1

#

ikekeychaink1

pre-shared-keyhostnamef2keycipher$c$3$rFTHo6O4pPLOHvZEwmSFGc3gjFRY7Q75Qw==

#

ikekeychaink2

pre-shared-keyhostnamef3keycipher$c$3$lo0leXtmx41UHB7Vxok9kFeOJxZnJZ0miw==

#

ikeprofilepf

keychaink1

keychaink2

dpdinterval10on-demand

exchange-modeaggressive

local-identityfqdnf1

matchremoteidentityfqdnf2

matchremoteidentityfqdnf3

FW2

#

ikekeychaink1

pre-shared-keyaddress1.1.1.1255.255.255.255keycipher$c$3$v44JHWonfkj3w9BqDNkQ+LEIFRiUlBKUgw==

#

ikeprofilepf

keychaink1

exchange-modeaggressive

local-identityfqdnf2

matchremoteidentityfqdnf1

FW3

#

ikekeychaink1

pre-shared-keyaddress2.2.2.1255.255.255.255keycipher$c$3$PKsnAPnnOgZicN73gXZd3L3ZO9OR3IuS1A==

#

ikeprofilepf

keychaink1

exchange-modeaggressive

local-identityfqdnf3

matchremoteidentityfqdnf1

3.3 IPsec部分

FW1

#

acladvanced3000

rule0permitipsource10.1.1.10destination10.2.2.10

rule5permitipsource10.1.1.10destination10.3.3.10

rule10permitipsource10.3.3.10destination10.2.2.10

rule15permitipsource10.2.2.10destination10.3.3.10

#

ipsectransform-setts

espencryption-algorithm3des-cbc

espauthentication-algorithmmd5

#

ipsecpolicy-templatept1

transform-setts

securityacl3000

ike-profilepf

#

ipsecpolicyply1isakmptemplatept

FW2

#

acladvanced3000

rule0permitipsource10.2.2.10destination10.1.1.10

rule5permitipsource10.2.2.10destination10.3.3.10

#

ipsectransform-setts

espencryption-algorithm3des-cbc

espauthentication-algorithmmd5

#

ipsecpolicyply1isakmp

transform-setts

securityacl3000

remote-address1.1.1.1

ike-profilepf

FW3

#

acladvanced3000

rule0permitipsource10.3.3.10destination10.1.1.10

rule5permitipsource10.3.3.10destination10.2.2.10

#

ipsectransform-setts

espencryption-algorithm3des-cbc

espauthentication-algorithmmd5

#

ipsecpolicyply1isakmp

transform-setts

securityacl3000

remote-address2.2.2.1

ike-profilepf

四、配置关键点

分支和中心节点之间的隧道建立要通过分支来触发，即FW2向FW1发起访问，FW3向FW1发起访问。

分支和分支之间建立隧道需要两边触发，即FW2向FW3发起访问，FW3向FW2发起访问。

分支的感兴趣流除了目的是中心节点外，还需要包括到分支的。

FW1上的ipsec sa如下：

-------------------------------

Interface:GigabitEthernet1/0/0

-------------------------------



-----------------------------

IPsecpolicy:ply

Sequencenumber:1

Mode:Template

-----------------------------

Tunnelid:1

Encapsulationmode:tunnel

PerfectForwardSecrecy:

InsideVPN:

ExtendedSequenceNumbersenable:N

TrafficFlowConfidentialityenable:N

Transmittingentity:Responder

PathMTU:1444

Tunnel:

localaddress:1.1.1.1

remoteaddress:1.1.1.2

Flow:

souraddr:10.1.1.1/255.255.255.255port:0protocol:ip

destaddr:10.2.2.1/255.255.255.255port:0protocol:ip



[InboundESPSAs]

SPI:3754823141(0xdfce0de5)

ConnectionID:4294967298

Transformset:ESP-ENCRYPT-3DES-CBCESP-AUTH-MD5

SAduration(kilobytes/sec):1843200/3600

SAremainingduration(kilobytes/sec):1843199/3562

Maxreceivedsequence-number:4

Anti-replaycheckenable:Y

Anti-replaywindowsize:64

UDPencapsulationusedforNATtraversal:N

Status:Active



[OutboundESPSAs]

SPI:1056998950(0x3f008626)

ConnectionID:4294967299

Transformset:ESP-ENCRYPT-3DES-CBCESP-AUTH-MD5

SAduration(kilobytes/sec):1843200/3600

SAremainingduration(kilobytes/sec):1843199/3562

Maxsentsequence-number:4

UDPencapsulationusedforNATtraversal:N

Status:Active



-----------------------------

IPsecpolicy:ply

Sequencenumber:1

Mode:Template

-----------------------------

Tunnelid:2

Encapsulationmode:tunnel

PerfectForwardSecrecy:

InsideVPN:

ExtendedSequenceNumbersenable:N

TrafficFlowConfidentialityenable:N

Transmittingentity:Responder

PathMTU:1444

Tunnel:

localaddress:1.1.1.1

remoteaddress:1.1.1.2

Flow:

souraddr:10.3.3.1/255.255.255.255port:0protocol:ip

destaddr:10.2.2.1/255.255.255.255port:0protocol:ip



[InboundESPSAs]

SPI:3260450656(0xc2568760)

ConnectionID:4294967300

Transformset:ESP-ENCRYPT-3DES-CBCESP-AUTH-MD5

SAduration(kilobytes/sec):1843200/3600

SAremainingduration(kilobytes/sec):1843199/3575

Maxreceivedsequence-number:8

Anti-replaycheckenable:Y

Anti-replaywindowsize:64

UDPencapsulationusedforNATtraversal:N

Status:Active



[OutboundESPSAs]

SPI:2013923382(0x780a0836)

ConnectionID:4294967301

Transformset:ESP-ENCRYPT-3DES-CBCESP-AUTH-MD5

SAduration(kilobytes/sec):1843200/3600

SAremainingduration(kilobytes/sec):1843199/3575

Maxsentsequence-number:5

UDPencapsulationusedforNATtraversal:N

Status:Active

-------------------------------

Interface:GigabitEthernet1/0/1

-------------------------------



-----------------------------

IPsecpolicy:ply

Sequencenumber:1

Mode:Template

-----------------------------

Tunnelid:0

Encapsulationmode:tunnel

PerfectForwardSecrecy:

InsideVPN:

ExtendedSequenceNumbersenable:N

TrafficFlowConfidentialityenable:N

Transmittingentity:Responder

PathMTU:1444

Tunnel:

localaddress:2.2.2.1

remoteaddress:2.2.2.3

Flow:

souraddr:10.1.1.1/255.255.255.255port:0protocol:ip

destaddr:10.3.3.1/255.255.255.255port:0protocol:ip



[InboundESPSAs]

SPI:2022161426(0x7887bc12)

ConnectionID:4294967296

Transformset:ESP-ENCRYPT-3DES-CBCESP-AUTH-MD5

SAduration(kilobytes/sec):1843200/3600

SAremainingduration(kilobytes/sec):1843199/3554

Maxreceivedsequence-number:4

Anti-replaycheckenable:Y

Anti-replaywindowsize:64

UDPencapsulationusedforNATtraversal:N

Status:Active



[OutboundESPSAs]

SPI:3633752750(0xd896aaae)

ConnectionID:4294967297

Transformset:ESP-ENCRYPT-3DES-CBCESP-AUTH-MD5

SAduration(kilobytes/sec):1843200/3600

SAremainingduration(kilobytes/sec):1843199/3554

Maxsentsequence-number:4

UDPencapsulationusedforNATtraversal:N

Status:Active



-----------------------------

IPsecpolicy:ply

Sequencenumber:1

Mode:Template

-----------------------------

Tunnelid:3

Encapsulationmode:tunnel

PerfectForwardSecrecy:

InsideVPN:

ExtendedSequenceNumbersenable:N

TrafficFlowConfidentialityenable:N

Transmittingentity:Responder

PathMTU:1444

Tunnel:

localaddress:2.2.2.1

remoteaddress:2.2.2.3

Flow:

souraddr:10.2.2.1/255.255.255.255port:0protocol:ip

destaddr:10.3.3.1/255.255.255.255port:0protocol:ip



[InboundESPSAs]

SPI:3168528224(0xbcdbe760)

ConnectionID:4294967302

Transformset:ESP-ENCRYPT-3DES-CBCESP-AUTH-MD5

SAduration(kilobytes/sec):1843200/3600

SAremainingduration(kilobytes/sec):1843199/3583

Maxreceivedsequence-number:5

Anti-replaycheckenable:Y

Anti-replaywindowsize:64

UDPencapsulationusedforNATtraversal:N

Status:Active



[OutboundESPSAs]

SPI:2761355159(0xa496ef97)

ConnectionID:4294967303

Transformset:ESP-ENCRYPT-3DES-CBCESP-AUTH-MD5

SAduration(kilobytes/sec):1843200/3600

SAremainingduration(kilobytes/sec):1843199/3583

Maxsentsequence-number:5

UDPencapsulationusedforNATtraversal:N

Status:Active

实验结束！

审核编辑：刘清

声明：本文内容及配图由入驻作者撰写或者入驻合作网站授权转载。文章观点仅代表作者本人，不代表电子发烧友网立场。文章及其配图仅供工程师学习之用，如有内容侵权或者其他违规问题，请联系本站处理。举报投诉

IPSec

IPSec

+关注

关注
0

文章
54

浏览量
22681
MSR

MSR

+关注

关注
0

文章
17

浏览量
7971

原文标题：H3C实验 | 通过IPsec野蛮模式实现分支之间相互通信

文章出处：【微信号：网络技术干货圈，微信公众号：网络技术干货圈】欢迎添加关注！文章转载请注明出处。

G474的FDCAN在回环模式下可以正常收发，但是在正常模式下两块主板无法相互通讯是什么原因？

G474 的FDCAN在回环模式下可以正常收发，但是在正常模式下两块主板无法相互通讯。切换成经典模式可以实现两个主板通讯，但是在FDCAN

发表于 03-08 08:04

SD-WAN案例：总部（MPLS）与分支（普通宽带）的互联互通

某制造业企业面临着总部采用MPLS专线而分支机构使用普通宽带的网络互联挑战。这种情况下，如何降低网络成本，提高网络效率成为当前亟需解决的问题。本文将介绍该企业如何通过部署SD-WAN实现互联互

发表于 02-26 16:51 •180次阅读

sdwan和ipsec组网的区别

sdwan和ipsec组网的区别 SD-WAN和IPsec都是用于网络组网的技术，但它们在实现和功能上有很大的区别。本文将详细介绍SD-WAN和IPsec的定义、原理、优缺点以及使用

发表于 01-17 15:37 •644次阅读

docker容器与容器之间通信

Docker容器之间的通信方式、通信过程以及常见的通信模式。一、Docker容器之间的

发表于 11-23 09:36 •551次阅读

nrf51822和nrf24l01不用蓝牙协议可以相互通讯吗？

不用蓝牙协议，这两个通讯模块可以相互通讯吗

发表于 10-07 07:46

IPSec增强原理过程—L2TP over IPSec

L2TP over IPSec，即先用L2TP封装报文再用IPSec封装，这样可以综合两种VPN的优势，通过L2TP实现用户验证和地址分配，并利用I

发表于 09-28 09:11 •845次阅读

2个esp8266 WiFi模块之间的相互通信

本教程是关于2个esp8266 WiFi模块之间的相互通信。我将解释方法和代码两个esp8266模块之间的相互通信。我正在做一个很酷的嵌入式项目需要在两个电机

发表于 09-25 08:29

不同品牌PLC之间如何实现无线通讯？

在传统工厂向智慧工厂的转型升级中，经常要解决不同品牌PLC之间如何相互通讯的问题。

发表于 09-09 09:40 •591次阅读

分享一种华为路由器通过IPsec实现总部和分支私网通信实例

榆林总部和西安分支现申请了两个公网IP，现在需要搭建IPsecPN实现私网互通，即192.168.1.0 访问192.168.2.0；（

发表于 08-17 10:12 •784次阅读

什么是卫星通信？卫星通信的工作原理及应用

使用绕地球轨道上的通信卫星从一个地方到另一个地方交换信息或消息称为卫星通信。它是一种人造卫星，通过在地球不同位置的发射器和接收器之间创建通道，通过

发表于 06-29 15:11 •7171次阅读

在s32g3 brd上运行a53core和m7core之间的示例通信演示的最佳方式是什么？

我需要为 acore 运行示例项目，并且 mcore 通过 can 相互通信。什么是最好的方法？例如通过 ipcf 框架？

发表于 06-07 07:08

如何通过使用Docker来快速搭建IPsec VPN Serve？

VPN技术在保障网络通信安全和隐私上发挥着重要作用。IPsec VPN是其中一种常用的VPN模式。

发表于 05-19 10:58 •1w次阅读

恒讯科技分析：ipsec和ssl有什么区别？

什么是IPsec?IPsec(互联网协议安全)是一种 VPN 协议，用于加密和保护通过互联网发送的数据。IPsec VPN 提供出色的数据身份验证、机密性和完整性。要使

发表于 05-18 17:06 •1092次阅读

多个esp8266之间的通信我有什么选择？

我正在开展一个项目，该项目需要许多基于 esp8266 和 esp32 的设备相互通信（可能超过 15 个）。过去，我使用 Raspberry Pi 作为入口点，运行 Mosquitto，并将

发表于 05-15 08:03

交换机不同vlan间如何通信

不同VLAN之间相互通信的两种方式，单臂路由、三层交换机，它们分别如何配置呢？哪一种好呢？

发表于 05-04 16:50 •5258次阅读