IPSEC IKE 模式

《IPSEC IKE 模式》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、华为HCNAv2.0进阶（PDF247页笔记）1.IPsec可以用来保证Ip数据报文在网络传输的机密性、完整性、防重放等功能2.机密性---数据包加密完整性---防止报文被篡改防重放----防攻击3.IPSec不是一单独的协议，是通过AH和ESP两个安全协议实现IP数据报的安全传送。4.IKE协议提供密钥协商，建立和维护安全联盟SA等服务。5.IPSec由AHESPIKE三个协议套件组成6,SA安全联盟定义对等体间数据封装方式认证和加密算法SA是单向的两个对等体通信需要至少两个SA,SA由一个三元组来唯

2、一的标识安全参数索引SPI目的IP安全协议（AH或ESP）构成7.安全协议包括AS和ESP，两者可以单独或是一起使用。（AH支持MD5和SHA-1认证算法），（ESP支持两种认证算法（MD5和SHA-1）还有其他三种加密算法DES3DES和AES)8.IPsecproposal创建ipsec提议配置ipsec策略时必须引用ipsec提议来指定ipsec隧道两端使用的安全协议加密算法认证算法和封装方式缺少情况下IPsecproposal使用ESP协议DES加密算法MD5认证和隧道封装模式9执行transf

3、orm(ah)(ah-esp)(esp)配置隧道使用的安全协议执行esncapsulation-mode(transport)(tunnel)配置报文的封闭模式执行espauthetication-algorithm(MD5Sha1sha2-256sha2-384sha2-512)配置EPS协议使用的认证算法执行espencryption-algorithm(des3desaes-128aes-192aes-256)配置ESP加密算法执行ahauthentication-algorithm(md5sha

4、1sha2-256sha2-384sha2-512)配置AH使用的认证算法Displayipsecproposal查看ipsecproposal配置的参数执行ipsecpolicy创建策略执行ipsec-policy-template指定SA建立方式可使用IKE或是手工建立执行securityACL指定IPSEC策略所引用的访问控制列表执行proposal指定IPSEC策略所引用的提议执行tunnellocal用来指定安全隧道的本端地址执行tunnelremote指定隧道的对端地址执行saspi指定安全

5、索引参数执行sastring-key指定安全联盟的认证密钥安全策略是由policy-name和seq-number共同来确定的，多个具有相同policy-name的安全策略组成一个安全策略组。在一个安全策略组中最多可以设备16条安全策略，而seq-mumber越小的安全策略，优先级越高。在一个接口上应用了一个安全策略组，实际上是同时应用了安全策略组中所有的安全策略。PCA--------------RA---G0/0/1--------------IPNetwork-------------G0/0/1

6、--RB---------------PCB10.1.1.1/2420.1.1.1/2420.1.1.2/2410.1.2.1/24Router#iproute-static10.1.2.0255.255.255.020.1.1.2Router#aclnumber3001Router#rule5permitipsource10.1.1.00.0.0.255destination10.1.2.00.0.0.255Router#ipsecproposaltran1//创建ipsec提议Router#espa

7、uthentication-algorithmsha1//配置EPS协议使用的认证算法Router#ipsecpolicyP110manual//创建策略Router#securityacl3001Router#proposaltran1Router#tunnelremote20.1.1.2Router#tunnellocal20.1.1.1Router#saspioutboundesp54321Router#saspiinboundesp12345Router#sastring-keyoutbound

8、espsimplehuaweiRouter#sastring-keyinboundespsimplehuaweiRouter#interfaceg0/0/1Router#ipsecpolicyP1Router#quit企业数通产品特性描述-VPN06（PDFipsec部分135页笔记）VPN的类型：1、overlay的VPN，例如IPsec-VPN2、peer-to-peer的VPN，例如MPLS-VPN还可以分为二层VPN和三层VPN I