AR路由器配置 IKE 方式的 IPSec VPNIPSec（ Internet Protocol Security）是 IETF（ Internet Engineering Task Force）制定的一组开放的网络安全协议，在 IP 层通过数据来源认证、数据加密、数据完整性和抗重放功能来保证通信双方Internet上传输数据的安全性。在Internet的传输中，绝大部分数据的内容都是明文传输的，这样就会存在很多潜在的危险，比如：密码、银行帐户的信息被窃取、篡改，用户的身份被冒充，遭受网络恶意攻击等。网络中部署IPSec 后，可对传输的数据进行保护处理，降低信息泄漏的风险。采用默认配置通过IKE 协商方式建立IPSec 隧道示例组网需求如图 1 所示， RouterA 为企业分支网关，RouterB 为企业总部网关，分支与总部通过公网建立通信。分支子网为 /24 ，总部子网为 /24 。企业希望对分支子网与总部子网之间相互访问的流量进行安全保护。分支与总部通过公网建立通信，可以在分支网关与总部网关之间建立一个IPSec 隧道来实施安全保护。图 1 采用默认配置通过IKE 协商方式建立IPSec 隧道组网图配置思路采用如下思路配置采用IKE 协商方式建立IPSec 隧道：1. 配置接口的IP 地址和到对端的静态路由，保证两端路由可达。2. 配置 ACL，以定义需要IPSec 保护的数据流。3. 配置 IPSec 安全提议，定义IPSec 的保护方法。4. 配置 IKE 对等体，定义对等体间IKE 协商时的属性。5. 配置安全策略，并引用ACL、 IPSec 安全提议和IKE 对等体，确定对何种数据流采取何种保护方法。6. 在接口上应用安全策略组，使接口具有IPSec 的保护功能。操作步骤1. 分别在 RouterA 和 RouterB 上配置接口的IP 地址和到对端的静态路由# 在 RouterA 上配置接口的IP 地址。 system-view[Huawei] sysname RouterA[RouterA] interface gigabitethernet 1/0/0[RouterA-GigabitEthernet1/0/0] ip address [RouterA-GigabitEthernet1/0/0] quit[RouterA] interface gigabitethernet 2/0/0[RouterA-GigabitEthernet2/0/0] ip address [RouterA-GigabitEthernet2/0/0] quit# 在 RouterA 上配置到对端的静态路由，此处假设到对端的下一跳地址为。[RouterA] ip route-static [RouterA] ip route-static # 在 RouterB 上配置接口的IP 地址。 system-view[Huawei] sysname RouterB[RouterB] interface gigabitethernet 1/0/0[RouterB-GigabitEtherne...
