通过IKE协商方式建立IPSec隧道-EW帮帮网

我们前面学习了H3C的IPsec VPN配置（为什么IPsec两端内网的网段能不能重复？分明可以实现！），学习了Juniper的IPsec VPN配置，学习了Windows的IPsec VPN配置（配置Juniper虚墙vSRX基于策略的IPsec VPN（CLI方式）），学习了Windows的IPsec VPN配置（还能这么玩？Windows通过netsh命令配置IPsec），学习了Linux的IPsec VPN配置（对比华三设备配置，讲解Linux主机如何配置strongSwan），还有很多其他的IPsec配置，我们有一个合集，就是介绍IPsec VPN的（IPsec合集）。

但是，我们貌似对业界顶流的华为缺少介绍。今天，我们来简单学习一下华为AR1000V如何通过IKE协商方式配置IPsec VPN隧道。

组网拓扑如下所示：

首先配置HW-AR1和HW-AR2之间的互通。

HW-AR1

#
interface GigabitEthernet0/0/1
 ip address 12.1.1.1 255.255.255.0
#
ip route-static 23.1.1.0 255.255.255.0 12.1.1.2

H3C-MSR

#
interface GigabitEthernet1/0
 ip address 12.1.1.2 255.255.255.0
#
interface GigabitEthernet2/0
 ip address 23.1.1.2 255.255.255.0

HW-AR2

#
interface GigabitEthernet0/0/1
 ip address 23.1.1.3 255.255.255.0
#
ip route-static 12.1.1.0 255.255.255.0 23.1.1.2

接下来，我们配置HW-AR1和HW-AR2采用IKE协商方式建立IPSec隧道。配置思路和H3C一样，需要通过ACL定义IPsec保护的数据流，配置IKE对等体，配置IPsec安全提议，再配置IPsec安全策略，最后在接口上应用IPsec安全策略即可。

首先，我们在HW-AR1上配置IPsec保护数据流的ACL。

#
acl number 3401
 rule 5 permit ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255

接下来，我们创建对应HW-AR2的IKE对等体，IKE安全提议使用默认配置。

默认情况下，IKE版本使用IKEv2版本，我们修改IKE版本使用IKEv1；同样的，指定对端IP地址，并设置PSK预共享密钥。注意：预共享密钥需要满足一定的复杂度要求。

#
ike peer ar2
 version 1
 pre-shared-key cipher HwIPsec.2024
 remote-address 23.1.1.3

然后，我们配置IPsec安全提议，默认的加密方式为ESP，使用的认证算法为SHA2-256，加密算法为AES-256；我们可以按需进行调整。

#
ipsec proposal ipsec
 esp authentication-algorithm sha1
 esp encryption-algorithm aes-128

接下来，我们就可以创建使用IKE动态协商的安全策略了。

#
ipsec policy aripsec 10 isakmp
 security acl 3401
 ike-peer ar2
 proposal ipsec

最后，我们将创建好的IPsec安全策略应用到互联接口上。

#
interface GigabitEthernet0/0/1
 ipsec policy aripsec

当然，如果没有配置默认路由，我们还要添加一条去往对端私网的明细路由。

#
ip route-static 10.1.2.0 255.255.255.0 12.1.1.2

至此，HW-AR1的配置就结束了。我们参考以上配置，完成HW-AR2的配置，配置命令如下：

#
acl number 3402
 rule 5 permit ip source 10.1.2.0 0.0.0.255 destination 10.1.1.0 0.0.0.255
#
ike peer ar1
 version 1
 pre-shared-key cipher HwIPsec.2024
 remote-address 12.1.1.1
#
ipsec proposal ipsec
 esp authentication-algorithm sha1
 esp encryption-algorithm aes-128
#
ipsec policy aripsec 10 isakmp
 security acl 3402
 ike-peer ar1   
 proposal ipsec
#
interface GigabitEthernet0/0/1
 ipsec policy aripsec
#
ip route-static 10.1.1.0 255.255.255.0 23.1.1.2