IPSEC-IKE-模式.doc

华为HCNAv2.0进阶 （PDF 247页笔记）
1.IPsec可以用来保证Ip数据报文在网络传输的机密性、完整性、防重放等功能
2.机密性---数据包加密 完整性---防止报文被篡改 防重放----防攻击
3.IPSec不是一单独的协议，是通过AH和ESP两个安全协议实现IP数据报的安全传送。
4.IKE协议提供密钥协商，建立和维护安全联盟SA等服务。
5.IPSec由AH ESP IKE 三个协议套件组成
6,SA安全联盟定义对等体间数据封装方式 认证和加密算法 SA是单向的两个对等体通信需要至少两个SA, SA由一个三元组来唯一的标识 安全参数索引SPI 目的IP 安全协议（AH或ESP）构成
7. 安全协议包括AS和ESP，两者可以单独或是一起使用。（AH支持MD5和SHA-1认证算法），（ESP支持两种认证算法（MD5和SHA-1）还有其他三种加密算法DES 3DES 和AES)
8. IPsec proposal创建ipsec提议 配置ipsec策略时必须引用ipsec提议来指定ipsec隧道两端使用的安全协议 加密算法 认证算法和封装方式
缺少情况下IPsec proposal使用ESP协议 DES加密算法 MD5认证和隧道封装模式
9 执行transform ( ah ) (ah-esp ) (esp) 配置隧道使用的安全协议
执行esncapsulation-mode (transport ) (tunnel)配置报文的封闭模式
执行esp authetication-algorithm ( MD5 Sha1 sha2-256 sha2-384 sha2-512 )配置EPS协议使用的认证算法
执行esp encryption-algorithm (des 3des aes-128 aes-192 aes-256 ) 配置ESP加密算法
执行 ah authentication-algorithm (md5 sha1 sha2-256 sha2-384 sha2-512)配置AH使用的认证算法
Display ipsec proposal 查看ipsec proposal配置的参数
执行ipsec policy创建策略
执行ipsec-policy-template指定SA建立方式 可使用IKE或是手工建立
执行security ACL 指定IPSEC策略所引用的访问控制列表
执行proposal 指定IPSEC策略所引用的提议
执行tunnel local 用来指定安全隧道的本端地址
执行tunnel remote指定隧道的对端地址
执行sa spi 指定安全索引参数
执行 sa string-key 指定安全联盟的认证密钥

安全策略是由policy-name和seq-number共同来确定的，多个具有相同policy-name的安全策略组成一个安全策略组。在一个安全策略组中最多可以设备16条安全策略，而seq-mumber越小的安全策略，优先级越高。在一个接口上应用了一个安全策略组，实际上是同时应用了安全策略组中所有的安全策略。

PCA--------------RA---G0/0/1--------------IP Network-------------G0/0/1--RB---------------PCB
101.1.1/24 20.1.1.1/24 20.1.1.2/24 10.1.2.1/24

Router#ip route-static 10.1.2.0 255.255.255.0 20.1.1.2
Router#acl number 3001
Router#rule 5 permit ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255
Router#ipsec proposal tran1 // 创建ipsec提议
Router#esp authentication-algorithm sha1 //配置EPS协议使用的认证算法
Router#ipsec policy P1 10 manual //创建策略
Router#security acl 3001
Router#proposal tran 1
Router#tunnel remote 20.1.1.2
Router#tunnel local 20.1.1.1
Router#sa spi outbound esp 54321
Router#sa spi inbound esp 12345
Router#sa string-key outbound esp simple huawei
Router#sa string-key inbound esp simple huawei

Router#interface g0/0/1
Router#ipsec policy P1
Router#quit
企业数通产品 特性描述-VPN 06（PDF ipsec部分135页 笔记 ）
VPN的类型：
1、overlay的VPN，例如IPsec-VPN
2、peer-to-peer的VPN，例如MPLS-VPN
还可以分为二层VPN和三层VPN 
IPsec-VPN是三层的VPN
IPsec-VPN的分类:
1、site-to-site VPN 也叫 LAN-to-LAN VPN （要求两个站点都要有固定的IP）
2、EASY-VPN 也叫 remote VPN （通常用于连接没有固定IP的站点） 

数据来源认证：接收方认证发送方身份是否合法。
数据加密：发送方对数据进行加密，以密文的形式在Internet上传送，接收方对接收
的加密数据进行解密后处理或直接转发。
数据完整性：接收方对接收的数据进行认证，以判定报文是否被篡改。
抗重放：接收方会拒绝旧的或重复的数据包，防止恶意用户通过重复发送捕获到的
数据包所进行的攻击。
IPSec包括认证头协议AH（Authentication Header）、封装安全载荷协议ESP
（Encapsulating Security Payload）、因特网密钥交换协议IKE（Internet Key Exchange），
用于保护主机与主机之间、主机与网关之间、网关与网关之间的一个或多个数据流。其
中，AH和ESP这两个 安全协议用于提供安全服务，IKE协议用于密钥交换。

IPSec通过在IPSec 对等体间建立双向 安全联盟，形成一个安全互通的IPSec 隧道，来实现Internet上数据的安全传输。建立安全联盟SA（Security Association）。SA是出于安全
目的而创建的，是通信的对等体间对某些要素的约定，所有经过同一SA的数据流会得到相同的安全服务，如AH或ESP。如果对同一个数据流同时使用AH和ESP服务，则针对每一种协议都会构建一个单独的SA。
数据的封装模式有（隧道模式）和（传输模式）两种
隧道模式适于转发设备对待保护流量进行处理的场景，建议用于两个安全网关之间的通讯。传输模式适于主机到主机、主机到网关对待保护流量进行封装处理的场景。
IKE协议建立在Internet安全联盟和密钥管理协议ISAKMP（Internet Security Association
and Key Management Protocol）定义的框架上，是基于UDP的应用层协议。它为IPSec提供了自动协商交换密钥、建立SA的服务，能够简化IPSec的使用和管理。IPSec对等体之间建立一个IKE SA完成身份验证和密钥信息交换后，在IKE SA的保护下，根据配置的AH/ESP安全协议等参数协商出一对IPSec SA。此后，对等体间的数据将在IPSec隧道中加密传输。
IKE协议分IKEv1和IKEv2两个版本。IKEv1使用两个阶段为IPSec进行密钥协商并建立
IPSec SA。IKEv2则简化了协商过程，在一次协商中可直接产生IPSec的密钥，生成IPSec SA。
IKE具有一套自保护机制，可以在不安全的网络上安全地认证身份、分发密钥。
身份认证：确认通信双方的身份（对等体的IP地址或名称），包括预共享密钥PSK
（pre-shared key）认证、数字证书RSA（rsa-signature）认证和数字信封认证。
IKE支持的认证算法有：MD5、SHA-1、AES-XCBC-MAC-96、SM3。MD5算法使
用128位的密钥，SHA-1算法使用160位的密钥。MD5算法的计算速度比SHA-1算法
快，而SHA-1算法的安全强度比MD5算法高。AES-XCBC-MAC-96使用128位的密
钥。SM3密码杂凑算法是中国国家密码管理局规定的IPSec协议规范。
IKE支持的加密算法有：DES、3DES、AES-128、AES-192和AES-256。其中高级加
密标准AES的密钥长度分别有128、192和256位密钥。以上加密算法的安全性由低
到高依次排列，其计算速度随安全性的提高而减慢。

加密机制--密码学分为两类：
对称加密算法---使用一把密匙来对信息提供安全的保护。只有一个密匙，即用来加密，也用来解密
非对称加密代表RSA--有一对密匙，一个公匙，一个私匙，私匙加密，公匙解密,或者公匙加密，私匙解密
对称加密代表：DES、3DES、AES 
3DES--有三个密匙，用第一个密匙加密，用第二个密匙解密，再用第三个密匙加密
非对称加密---有一对密匙，一个叫公匙，一个叫私匙，如果用其中一个加密，必须用另一个解密。
非对称加密的代表：RSA、ECC
非对称加密代表RSA--有一对密匙，一个公匙，一个私匙，私匙加密，公匙解密,或者公匙加密，私匙解密
非对称加密可以有两种应用：
1、公钥加密，私钥解密，叫加密
2、私钥加密，公钥解密，叫数字签名

AR1上的配置：IP地址配置省略
第一步：IP地址配置省略，指缺省路由
[R1]ip route-static 0.0.0.0 0.0.0.0 12.1.1.2
第二步：配置IKE
[R1]ike peer dasheng1 v2
[R1-ike-peer-ikep1]pre-shared-key simple cctv
[R1-ike-peer-ikep1]remote-address 23.1.1.3
第三步：使用ACL抓感兴趣流量
[R1]acl number 3001
[R1-acl-adv-3001]rule 5 permit ip source 192.168.1.0 0.0.0.255 destination 172.168.1.0 0.0.0.255
第四步：配置安全提议
[R1]ipsec proposal dasheng1
[R1-ipsec-proposal-tran1]quit
第五步：配置安全策略
[R1]ipsec policy fanfan1 10 isakmp
[R1-ipsec-policy-isakmp-vpn1-10]security acl 3001
[R1-ipsec-policy-isakmp-vpn1-10]ike-peer dasheng1
[R1-ipsec-policy-isakmp-vpn1-10]proposal dasheng1
[R1-ipsec-policy-isakmp-vpn1-10]quit
第六步：将策略应用到启用IPSEC VPN的接口
[R1]interface GigabitEthernet 0/0/0
[R1-GigabitEthernet0/0/0]ipsec policy fanfan1
[R1-GigabitEthernet0/0/0]quit

AR3上的配置（AR3与AR1 四处配置不同的地方）
[R3]ip route-static 0.0.0.0 0.0.0.0 23.1.1.2

[R3]acl number 3001
[R3-acl-adv-3001]rule 5 permit IP source 172.168.1.0 0.0.0.255 destination 192.168.1.0 0.0.0.255

[R3]ike peer dasheng1 v2
[R3-ike-peer-ikep1]pre-shared-key simple cctv
[R3-ike-peer-ikep1]remote-address 12.1.1.1

[R3]interface GigabitEthernet 0/0/1
[R3-GigabitEthernet0/0/0]ipsec policy fanfan1
[R3-GigabitEthernet0/0/0]quit

[AR1]dis ipsec sa
===============================
Interface: GigabitEthernet0/0/0 Path MTU: 1500
===============================
-----------------------------
IPSec policy name: "fanfan1"
Sequence number : 10
Acl Group : 3001
Acl rule : 5
Mode : ISAKMP
-----------------------------
Connection ID : 9
Encapsulation mode: Tunnel
Tunnel local : 12.1.1.1
Tunnel remote : 23.1.1.3
Flow source : 192.168.1.0/255.255.255.0 0/0
Flow destination : 172.168.1.0/255.255.255.0 0/0
Qos pre-classify : Disable

[Outbound ESP SAs]
SPI: 559575 (0x889d7)
Proposal: ESP-ENCRYPT-DES-64 ESP-AUTH-MD5
SA remaining key duration (bytes/sec): 1887436800/3122
Max sent sequence-number: 0
UDP encapsulation used for NAT traversal: N

[Inbound ESP SAs]
SPI: 2124138469 (0x7e9bc7e5)
Proposal: ESP-ENCRYPT-DES-64 ESP-AUTH-MD5
SA remaining key duration (bytes/sec): 1887436800/3122
Max received sequence-number: 0
Anti-replay window size: 32
UDP encapsulation used for NAT traversal: N