Ipsec Vpn

华为 USG IPSec VPN 配置技能 (ipsec-vpn)

适用平台 USG6000E 系列 适用版本 V600R007C20+ 文档来源 HUAWEI USG6000E V600R007C20 产品文档

IPSec VPN 是企业站点到站点 site-to-site 安全互联的标准方案 USG 支持 IKEv1/IKEv2 预共享密钥/证书 多种封装模式 模板方式 智能选路等高级特性

触发场景

• 配置 IPSec VPN 隧道
• 总部与分支站点互联
• IPSec 隧道建不起来
• IKE 协商失败
• NAT 穿越 NAT-T
• 智能选路 多链路备份
• IPSec 模板方式 总部对接多个分支
• 查看 IKE/IPSec SA

IPSec 协商两阶段

第一阶段 IKE SA

• 建立安全管理通道
• 协商 IKE 安全提议 加密 验证 DH 组
• 模式 main 主模式 / aggressive 野蛮模式
• 认证 预共享密钥 PSK / RSA 证书

第二阶段 IPSec SA

• 建立数据传输通道
• 协商 IPSec 安全提议 封装 协议 算法
• 封装 tunnel 隧道模式 / transport 传输模式
• 协议 ESP 加密+完整性 / AH 仅完整性

配置六步走

1 接口 IP 和安全区域 必须先配置 2 安全策略 必须放通 三组域间策略

• 内网 trust 与外网 untrust 双向 加密前后流量
• local 与 untrust 双向 IKE 协商报文 3 IPSec 提议 安全参数 4 IKE 提议与对等体 5 IPSec 策略与待加密数据流 ACL 6 应用策略到接口

命令体系

1 IPSec 提议 ipsec proposal

system-view ipsec proposal transform { esp | ah | ah-esp } esp encryption-algorithm aes-256 esp authentication-algorithm sha2-256 ah authentication-algorithm sha2-256 encapsulation-mode tunnel quit

2 IKE 提议

ike proposal encryption-algorithm aes-256 authentication-algorithm sha2-256 dh group14 authentication-method pre-share | rsa-signature sa duration 86400 prf hmac-sha2-256 quit

3 IKE 对等体

ike peer ike-proposal pre-shared-key cipher remote-address remote-id-type ip | name | fqdn local-id-type ip | name exchange-mode main | aggressive version v1 | v2 | v1v2 nat-traversal dpd interval 30 timeout 120 quit

4 ACL 定义待加密数据流

acl number 3000 rule permit ip source destination quit

5 IPSec 策略

ipsec policy isakmp security acl 3000 ike-peer proposal pfs dh-group14 sa duration time-based 3600 sa duration traffic-based 1843200 quit

6 应用到接口

interface GigabitEthernet 0/0/1 ipsec policy quit

7 模板方式 总部端 适配多分支

ipsec policy-template ike-peer proposal quit ipsec policy isakmp template

配置完整示例 站点到站点

拓扑

FW_A 总部 内网 10.1.1.0/24 公网 1.1.3.1 FW_B 分支 内网 10.1.2.0/24 公网 1.1.5.1

FW_A 总部配置

system-view sysname FW_A

接口

interface GigabitEthernet 0/0/1 ip address 1.1.3.1 24 quit interface GigabitEthernet 0/0/3 ip address 10.1.1.1 24 quit firewall zone trust add interface GigabitEthernet 0/0/3 quit firewall zone untrust add interface GigabitEthernet 0/0/1 quit

默认路由

ip route-static 0.0.0.0 0 1.1.3.254

安全策略 三组

security-policy rule name lan_to_lan source-zone trust destination-zone untrust source-address 10.1.1.0 24 destination-address 10.1.2.0 24 action permit rule name lan_from_lan source-zone untrust destination-zone trust source-address 10.1.2.0 24 destination-address 10.1.1.0 24 action permit rule name ike_out source-zone local destination-zone untrust source-address 1.1.3.1 32 destination-address 1.1.5.1 32 action permit rule name ike_in source-zone untrust destination-zone local source-address 1.1.5.1 32 destination-address 1.1.3.1 32 action permit

ACL

acl number 3000 rule 5 permit ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255 quit

IPSec 提议

ipsec proposal prop1 esp encryption-algorithm aes-256 esp authentication-algorithm sha2-256 quit

IKE 提议

ike proposal 10 encryption-algorithm aes-256 authentication-algorithm sha2-256 dh group14 quit

IKE 对等体

ike peer fw_b ike-proposal 10 pre-shared-key cipher Admin@123 remote-address 1.1.5.1 quit

IPSec 策略

ipsec policy map1 10 isakmp security acl 3000 ike-peer fw_b proposal prop1 quit

应用到出接口

interface GigabitEthernet 0/0/1 ipsec policy map1 quit

return save

FW_B 分支配置

同样思路 修改方向 内外网 IP 对调 ACL 源目对调

查看命令

display ike sa 查看 IKE SA display ike sa peer verbose 查看指定对等体 IKE SA 详情 display ike peer 查看 IKE 对等体配置 display ike proposal 查看 IKE 提议 display ipsec sa 查看 IPSec SA display ipsec sa policy 查看指定策略 SA display ipsec sa brief IPSec SA 摘要 display ipsec policy [] 查看 IPSec 策略 display ipsec proposal 查看 IPSec 提议 display ipsec statistics IPSec 统计 display ipsec smart-link profile 智能选路状态

重置

reset ike sa [] 删除 IKE SA reset ipsec sa 删除所有 IPSec SA reset ipsec sa policy 删除指定策略 SA reset ipsec statistics 清统计

排错指南

IKE 第一阶段失败

症状 display ike sa 看不到对应 peer

检查项 1 安全策略 local-untrust 双向放通 IKE 2 ike proposal 两端必须完全一致 3 pre-shared-key 两端必须一致 4 对端 IP 是否可达 ping 验证 5 exchange-mode 主模式两端必须一致 6 抓包 untrust 口 看 UDP 500 是否到达 抓包命令 capture-packet interface destination-port 500 file-name ike.pcap

IPSec 第二阶段失败

症状 IKE SA up 但 IPSec SA 起不来

检查项 1 ipsec proposal 两端必须一致 ESP/AH 算法相同 2 ACL 必须双向镜像 源目对调 3 PFS 配置两端一致 4 SA 生存周期合理 时间和流量 5 查 IPSec 错误统计 display ipsec statistics

隧道建好但流量不通

检查项 1 流量必须命中 ACL 否则不进隧道 测试 ping -a 2 安全策略 trust-untrust 双向放通业务流量 3 路由 远端网段必须有路由指向本地隧道接口或公网出口 4 NAT 优先级问题 NAT 不应转换 IPSec 加密前流量 通常需在 NAT 策略前加 no-nat 规则匹配 IPSec 流量

NAT 穿越问题

症状 中间有 NAT 设备 IKE 协商失败

解决 1 ike peer 下配置 nat-traversal 2 安全策略放通 UDP 4500 3 中间 NAT 设备开启 IPSec ALG 或保留 UDP 500/4500

DPD 与心跳

配置 ike peer dpd interval 30 timeout 120 查看 display ike sa peer verbose 看 DPD 状态

与其他技能关联

• security-policy 必须放通三组域间策略
• interface-config 接口 IP 和 zone 是前提
• nat-config IPSec 流量需要 no-nat 规则
• ha-hrp 双机时 IPSec 隧道自动主备同步

参考文档

• references/ipsec-commands.md 命令速查
• references/ipsec-troubleshooting.md 详细排错
• 产品文档 admin/sec_admin_ipsec_*.html admin/sec_case_ipsec_*.html
• CLI 案例 admin/sec_admin_ipsec_example_cli_0031.html