網絡運維|防火墻的IPSecVPN典型應用案例

2020-06-11 17:18 作者：艾銻無限 瀏覽量：

網絡運維|防火墻的IPSecVPN典型應用案例
大家好，我是一枚從事IT外包的網絡安全運維工程師，今天和大家分享的是網絡安全設備維護相關的內容，在這里介紹下防火墻點到多點的IPSecVPN應用實例，網絡安全運維，從Web管理輕松學起,一步一步學成網絡安全運維大神。
網絡維護是一種日常維護，包括網絡設備管理(如計算機，服務器)、操作系統維護(系統打補丁，系統升級)、網絡安全(病毒防范)等。+
北京艾銻無限科技發展有限公司為您免費提供給您大量真實有效的北京網絡維護服務，北京網絡維修信息查詢，同時您可以免費資訊北京網絡維護，北京網絡維護服務，北京網絡維修信息。專業的北京網絡維護信息就在北京艾銻無限+
+
北京網絡維護全北京朝陽豐臺北京周邊海淀、大興、昌平、門頭溝、通州、西城區、燕郊、石景山、崇文、房山、宣武、順義、平谷、延慶全北京網絡維護信息
 

 配置點到多點場景下的IPSec

點到多點多用于一個總部與多個分支建立IPSec的場景。本節介紹如何使用Web界面完成點到多點場景下的IPSec隧道配置。

配置IPSec策略

在點到多點場景中，本端希望與多臺VPN網關、客戶端（便攜計算機、手機、平板電腦等等設備）同時建立多條IPSec隧道，實現這些設備或所連私網的互聯。這些設備的IP地址通常是不固定的，也沒有可用的域名。
這種場景經常用于總部與出差員工之間建立VPN。它要求總部擁有固定的IP地址或域名，由出差員工發起訪問。
要配置這種場景的IPSec策略，需要在配置前至少完成以下工作：

• 獲取可能接入的設備類型。不同的設備類型將使用不同的協議。VPN網關使用IPSec協議，客戶端通常使用L2TP over IPSec協議或者IKEv2協議。
• 總部網關的管理員與出差員工協商一段字符串作為密鑰（預共享密鑰方式）或者使用相同的證書認證體系（RSA簽名方式、RSA數字信封方式或SM2數字信封方式）。
• 配置相應的用戶組及其認證方式。移動終端接入時都要進行用戶認證，以保證其合法性。在配置IPSec策略前需要提前創建好相應的用戶組。
• 設定為對端分配的私網IP地址范圍。這種場景下通常需要總部為接入的設備分配一個私網地址，以使其可以與總部內網內的網絡設備正常通信。

1. 選擇“VPN > IPSec > IPSec”。
2. 單擊“新建”，建立一條IPSec策略。
3. 選擇“場景”為“點到多點”。
4. 可選：配置IPSec策略的基本信息。

參數	說明
策略名稱	輸入IPSec策略的名稱。
本端接口	從下拉列表中選擇應用IPSec策略的接口。該接口應為本端與對端相連的接口，通常為設備的公網接口。本端將使用該接口與對端建立隧道。
本端接口IP地址	從下拉列表中選擇本端設備與對端設備建立隧道所使用的IP地址。當“本端接口”配置了多個IP地址時，可以從中任選一個，只要對端可以正常訪問此IP地址即可。 在雙機熱備組網中，請選擇本端接口對應的虛擬IP。

5. 根據實際需要接入的設備在“對端接入類型”中選擇客戶端類型。
   • 分支網關：使用IPSec協議接入的VPN網關。
   • L2TP over IPSec客戶端：使用L2TP over IPSec協議接入的客戶端。例如PC、iPhone/iPad、安卓設備等。
   • IKE V2客戶端：使用IKE v2協議接入的客戶端。例如PC（Win7)、無線AP等。
6. 配置雙方相互校驗的校驗參數。

為了保證IPSec隧道的安全性，必須防止非法客戶端接入，因此需要通過一系列參數來對對端的合法性進行校驗。同時為了通過對端的合法性校驗，本端也需要提供一些相應的參數。

參數	說明
對端地址	輸入對端網關所使用的IP地址或域名，例如1.1.1.1或testl.com。 一般需要配置IP或域名，以限定可接入的對端。如果對端地址沒有固定的IP地址和域名，可以不輸入本參數。此時本端網關不能主動發起協商。
預共享密鑰	在此填入雙方管理員約定的密鑰字符串。
本端ID	本端ID用于標識本端設備的身份，供對端設備認證自身的合法性。需要與對端設備上設置的“對端ID”參數保持一致。 IP地址：使用“本端接口IP地址”作為本端ID，不可修改。 FQDN（域名）：默認使用本端設備的設備名稱作為本端ID，可修改為其他字符串。 User-FQDN（電子郵件）：默認使用本端設備的設備名稱作為本端ID，可修改為其他字符串。
對端ID	對端ID用于認證對端設備的身份。類型與值都需要與對端設備上設置的“本端ID”參數保持一致。 如果不需要認證，接受任意ID的請求，請選擇“接受任意對端ID”。 如果不限定ID類型，只要字符串匹配即可，請選擇“任意類型”。

7. 可選：配置接入客戶端的用戶/用戶組信息。

當“對端接入類型”勾選了“L2TP over IPSec客戶端”或“IKE V2客戶端”時會出現本配置項。只有這兩種類型的接入客戶端才可以進行用戶認證。

參數	說明
用戶組	從下拉列表中選擇已經創建好的用戶組。
用戶地址池	輸入給接入用戶分配的私網地址范圍，例如192.168.1.1或者192.168.1.1-192.168.1.254。

如果用戶組尚未創建好，可以從下拉列表中選擇“新建用戶組”按鈕立即新建一個用戶組。
如果需要向現有用戶組中添加用戶，可以單擊“用戶組”右側的“配置”按鈕對用戶組進行修改。如下圖所示：

在彈出的“新建用戶組”或“修改用戶組”對話框中，單擊“本地用戶列表”中的“新建”按鈕，可以立即在該組中新建用戶。

參數	說明
用戶名	輸入該用戶的用戶名。
密碼	輸入該用戶的密碼。
確認密碼	重新輸入一遍該用戶的密碼。
分配固定IP	如果希望該用戶接入后總是得到同一個私網IP，可以輸入希望給其固定分配的私網IP地址。 該選項僅對L2TP用戶有效，對IKEv2用戶無效。

8. 配置待加密的數據流。

本場景中，系統會自動匹配需要加密的數據流，不需要配置“待加密的數據流”。
根據需要可以選擇配置是否進行“反向路由注入”。開啟“反向路由注入”后，設備將把到達對端保護的網段的路由自動引入到路由表，從而不用管理員手工配置路由。此功能一般在與多個分支對接的總部網關上配置。
輸入注入路由的“優先級”，從而更靈活地應用路由管理策略。例如，如果設備上還有其它方式配置的到達相同目的地址的路由，可以為它們指定相同優先級來可實現負載分擔，也可指定不同優先級來實現路由備份。

9. 可選：配置安全提議中高級參數。
   • 通常如果需要支持的終端類型特別多，可以不在總部側限定允許接入的安全提議參數。此時只需要勾選“安全提議”中“接受對端提議”即可保證總部與所有客戶端之間正常建立隧道。勾選之后表示如果對端發起隧道建立請求，本端完全接受對端提議的算法參數，以保證隧道協商成功。此時的隧道安全性由對端配置決定，本端不需要配置高級參數。
   • 如果總部對安全提議有特殊要求，則可以調整本端的對應參數以保證安全性。

取消勾選“安全提議”中“接受對端提議”，展開“高級”。
其中算法類參數所提供的多個選擇，在列表中位置越高，代表其安全性越高。如果該參數支持多選，那么實際協商時將根據參數在列表中位置從高到低依次嘗試，直至協商成功。

參數	說明
IKE參數
IKE版本	選擇“v1”或“v2”來確定與對端進行IKE協商時所使用的協議版本。關于IKE不同版本的詳細信息，請參見IPSec安全聯盟。 同時選擇兩種版本表示可響應v1和v2兩個版本的IKE請求，但是主動發起請求時只使用v2版本。
協商模式	選擇IKE的協商模式。關于協商模式的詳細信息，請參見IKEv1協商安全聯盟的過程（階段1）。 自動：在響應協商時可接受主模式和野蠻模式，在發起協商時使用主模式。 主模式：強制使用主模式協商。主模式更安全。 野蠻模式：強制使用野蠻模式協商。野蠻模式更快速。
加密算法	選擇保證數據不被竊取的加密算法。關于加密算法的詳細信息，請參見加密。
認證算法	選擇保證數據發送源可靠的認證算法。關于認證算法的詳細信息，請參見驗證。
完整性算法	當“IKE版本”選擇了“v2”時會出現本參數。 使用IKEv2版本時，選擇保證數據不被篡改的完整性算法。關于完整性算法的詳細信息，請參見驗證。
DH組	選擇密鑰交換方法。關于密鑰交換方法的詳細信息，請參見密鑰交換。
SA超時時間	為了保證隧道的安全，避免其在公網上存在過久，增加被攻擊的風險，可以設定一個超時時間。當一定時間內隧道內沒有流量可以自動拆除隧道，等后續有流量時再重新建立。 輸入超時時間，單位為秒。
IPSec參數
封裝模式	選擇IPSec的封裝模式。關于封裝模式的詳細信息，請參見封裝模式。 自動：當設備作為發起端時，采用隧道模式封裝報文；當設備作為接收端時，可以接受隧道模式和傳輸模式兩種封裝模式。 隧道模式：只保護報文載荷部分，常用于VPN網關之間建立隧道。 傳輸模式：保證整個報文，常用于移動終端與VPN網關建立隧道。
安全協議	選擇IPSec的安全協議。關于安全協議的詳細信息，請參見安全協議。 AH：提供對整個報文的認證能力，但是不提供加密能力。 ESP：提供對報文載荷的加密和認證能力。 AH-ESP：提供對整個報文的加密和認證能力。
ESP加密算法	當“安全協議”選擇“ESP”或“AH-ESP”后會出現本參數。 選擇保證數據不被竊取的加密算法。關于加密算法的詳細信息，請參見加密。
ESP認證算法	當“安全協議”選擇“ESP”或“AH-ESP”后會出現本參數。 選擇保證數據發送源可靠的認證算法。關于認證算法的詳細信息，請參見驗證。
AH認證算法	當“安全協議”選擇“AH”或“AH-ESP”后會出現本參數。 選擇保證數據發送源可靠的認證算法。關于認證算法的詳細信息，請參見驗證。
PFS	選擇密鑰交換方法。關于密鑰交換方法的詳細信息，請參見密鑰交換。 組號越大密鑰越長，安全性越高。選擇“NONE”表示不進行額外的密鑰交換。
SA超時	IPSec隧道將在建立時間或者傳輸流量大小達到閾值時重新協商以保證安全性。 在“基于時間”中輸入重協商間隔時間。在“基于流量”中輸入流量閾值。只要IPSec隧道建立后，滿足其中任意一個條件，IPSec SA就會開始重協商。重協商不會導致當前隧道中斷。
DPD狀態檢測
檢測方式	開啟“DPD狀態檢測”后，設備會自動發送DPD報文檢測對端是否存活，以便及時拆除錯誤的隧道。 可以有兩種檢測方式： 周期性發送：“檢測時間間隔”內未收到對端報文則發送一次DPD報文。 需要時才發送：“檢測時間間隔”內未收到對端報文，且本端需要通信時發送一次DPD報文。 對于使用IKEv1的隧道，此功能需要兩端同時開啟或關閉。在發送DPD報文后，在“重傳時間間隔”內未收到回應報文，會被記錄為一次失敗時間。當連續發生五個失敗事件后，則認為對端已經失效，設備會自動拆除隧道。 對于使用IKEv2的隧道，此功能只需一端開啟就可檢測成功。發送DPD報文的間隔時間不按照“重傳時間間隔”，而是以指數形式增長（發送DPD報文1后，隔1秒發報文2，再隔2秒發報文3，再隔4秒發報文4，依次類推），一直到間隔64秒后發送報文8。如果還收到回應報文，在報文8發送后的128秒時，隧道會被自動個拆除。整個過程耗時約半個小時。
檢測時間間隔	輸入“檢測時間間隔”，單位為秒。
重傳時間間隔	輸入“重傳時間間隔”，單位為秒。僅對IKEv1有效。
NAT穿越	當兩端之間存在NAT設備時，請選擇此選項。 開啟NAT穿越功能后，設備會在普通IPSec報文基礎上增加UDP頭封裝。當IPSec報文經過NAT設備時，NAT設備會對該報文的外層IP頭和增加的UDP報頭進行地址和端口號轉換。這樣NAT設備對報文IP的轉換就不會破壞原始IPSec報文的完整性，使其可以被對端網關正常接收。

10. 單擊“應用”，新配置的IPSec策略將出現在策略列表中。

查看當前配置支持接入的設備類型

由于在IPSec的協商過程中，雙方參數的一致性非常重要，所以設備提供了“推薦對端配置”功能。此功能可以列出能夠協商成功的對端配置，可以導出該配置發送給對端網關的管理員參考配置。

1. 在IPSec策略的“新建”和“修改”界面，點擊位于界面右側中間位置的“推薦對端配置”按鈕，如下圖所示。

2. 在界面右側會展開顯示推薦對端配置的簡要信息。單擊展開區域右上角的“導出”按鈕，將詳細配置介紹導出成網頁文件保存至本地，如下圖所示。

3. 將導出的網頁文件發送給對端網管的管理員參考。