AR 路由器配置IKE 方式的IPSec VPN IPSec(Internet Protocol Secu rity )是IETF(Internet Engineering Task Force)制定的一组开放的网络安全协议,在IP 层通过数据来源认证、数据加密、数据完整性和抗重放功能来保证通信双方Internet 上传输数据的安全性。在Internet 的传输中,绝大部分数据的内容都是明文传输的,这样就会存在很多潜在的危险,比如:密码、银行帐户的信息被窃取、篡改,用户的身份被冒充,遭受网络恶意攻击等。网络中部署 IPSec后,可对传输的数据进行保护处理,降低信息泄漏的风险。 采用默认配置通过IKE 协商方式建立 IPSec 隧道示例 组网需求 如图 1 所示,RouterA 为企业分支网关,RouterB 为企业总部网关,分支与总部通过公网建立通信。分支子网为 10.1.1.0/24,总部子网为 10.1.2.0/24。 企业希望对分支子网与总部子网之间相互访问的流量进行安全保护。分支与总部通过公网建立通信,可以在分支网关与总部网关之间建立一个IPSec 隧道来实施安全保护。 图 1 采用默认配置通过IKE 协商方式建立 IPSec 隧道组网图 配置思路 采用如下思路配置采用 IKE 协商方式建立 IPSec 隧道: 1. 配置接口的IP 地址和到对端的静态路由,保证两端路由可达。 2. 配置ACL,以定义需要IPSec 保护的数据流。 3. 配置IPSec 安全提 议,定义IPSec 的保护方法 。 4. 配置IKE 对等体 ,定义对等体 间IKE 协商时 的属 性。 5. 配置安全策 略 ,并 引 用 ACL、IPSec 安全提 议和 IKE 对等体 ,确 定对何 种 数据流采取何 种 保护方法 。 6. 在接口上应 用安全策 略 组,使 接口具 有 IPSec 的保护功能。 操 作 步 骤 1. 分别 在RouterA 和 RouterB 上配置接口的IP 地址和到对端的静态路由 # 在RouterA 上配置接口的IP 地址。 system-view [Huawei] sysname RouterA [RouterA] interface gigabitethernet 1/0/0 [RouterA-GigabitEthernet1/0/0] ip address 202.138.163.1 255.255.255.0 [RouterA-GigabitEthernet1/0/0] quit [RouterA] interface gigabitethernet 2/0/0 [RouterA-GigabitEthernet2/0/0] ip address 10.1.1.1 255.255.255.0 [RouterA-GigabitEthernet2/0/0] quit # 在RouterA 上配置到对端的静态路由,此处假设到对端的下一跳地址为202.138.163.2。 [RouterA] ip route-static 2...