h3c secpath系列安全產(chǎn)品用戶手冊(cè)v101web配置43ipsec

Web配置手冊(cè) 目 概 1 1 2 4配置 4 4 6 8 i第1IPSecIPSec（IPSecurity）IETFInternet上數(shù)據(jù)的傳數(shù)據(jù)完整性（DataIntegrity）：IPSec接收方對(duì)發(fā)送方發(fā)送來(lái)的包進(jìn)行認(rèn)證，協(xié)商交換密鑰、建立和安全的服務(wù)，以簡(jiǎn)化IPSec的使用和管理。IKE協(xié)商并不是必須的，IPSec所使用的策略和算法等也可以手工協(xié)商。AH（AuthenticationHeader）51。主要提供的功能標(biāo)準(zhǔn)IP包頭后面，保證數(shù)據(jù)包的完整性和真實(shí)性，防止截獲數(shù)據(jù)包或向AH協(xié)議不同的是，ESPIP包作為可選項(xiàng)，用戶可以選擇MD5、SHA-1算法保證報(bào)文的完整性和真實(shí)性。依次是原始IP報(bào)文、ESP頭、AH頭和外部IP頭。安全（SecuritySA是IPSecIPSec的本質(zhì)。SA是通信對(duì)等體間對(duì)某些要素的約定，和隧道模式）、加密算法（DES、3DESAES）、特定流中保護(hù)數(shù)據(jù)的共享密鑰全通信，則每個(gè)對(duì)等體都會(huì)針對(duì)每一種協(xié)議來(lái)構(gòu)建一個(gè)獨(dú)立的SA。SASPI（SecurityParameterIndex，安全參數(shù)索引）、目的IP地址、安全協(xié)議號(hào)（AH或ESP）。SPI將隨機(jī)生成。立即采用新的SA保護(hù)通信。傳輸（transport）AHESP頭，AH或圖1-1并產(chǎn)生固定長(zhǎng)度輸出的算法，該輸出稱(chēng)為消息。IPSec對(duì)等體計(jì)算，如果兩個(gè)是相同的，則表示報(bào)文是完整篡改的。IPSec使用兩種認(rèn)證算法：MD5：MD5128bit的消息。 目前設(shè)備的IPSec實(shí)現(xiàn)三種加密算法：長(zhǎng)度的AES算法對(duì)明文進(jìn)行加密。單獨(dú)實(shí)現(xiàn)IPSec功能。的信息，由IKE自動(dòng)協(xié)商來(lái)創(chuàng)建和SA。當(dāng)與之進(jìn)行通信的對(duì)等體設(shè)備數(shù)量較少時(shí)，或是在小型靜態(tài)環(huán)境中，手工配置RFC2401：SecurityArchitecturefortheInternetIPSecACL中的規(guī)則來(lái)定義需要保護(hù)的數(shù)據(jù)流，ACL匹配的報(bào)文將被保護(hù)，ACL的報(bào)文將不被保護(hù)。ACL既可用于保護(hù)數(shù)據(jù)流，也可ACL中定義的所有數(shù)據(jù)流。ACL中的所有規(guī)則對(duì)應(yīng)數(shù)據(jù)流和安全提議的關(guān)聯(lián)（即定義對(duì)何種數(shù)據(jù)流實(shí)施何種保護(hù)）、SA的協(xié)商IP地址的設(shè)置（即保護(hù)路徑的起/終點(diǎn)）SA圖1-2IPSec表1-1IPSec1 配置封裝模式，為IPSec協(xié)商SA提供各種安全參數(shù)安全提議，只有新協(xié)商的SA將使用新的IPSec安全提議21.2.3配置安全31.2.441.2.5應(yīng)用安全表1-2IPSec11.2.6查看IPSec21.2.7全提議。如圖1-3所示。單擊<套件方式>或<定制方式>，可分別進(jìn)入新建IPSec安圖1-3細(xì)配置如表1-3所示。表1-3IPSec安全提議的詳細(xì)配置（套件方式表1-4IPSec安全提議的詳細(xì)配置（定制方式設(shè)置安全協(xié)議對(duì)IP當(dāng)安全協(xié)議選擇ESPAH-ESP時(shí)，顯示此配置項(xiàng)MD5SHA1（表示SHA-1算法）對(duì)于及安全性要求非常高的地方，采用3DES算法可以滿足需要，在導(dǎo)航欄中選擇“虛擬網(wǎng)>IPSec>模板配置”，進(jìn)入安全策略模板的顯示頁(yè)面，如圖1-4所示。單擊<新建>按鈕，進(jìn)入新建安全策略模板的配置頁(yè)面。圖1-4表1-5設(shè)置安全策略模板所的IKE對(duì)等體名可選的IKE對(duì)等體需先在“虛擬網(wǎng)>IKE>對(duì)等體”中創(chuàng)不到，則SA不能建立，需要被保護(hù)的報(bào)文將被丟棄設(shè)置使用此安全策略發(fā)起協(xié)商時(shí)是否使用PFS（PerfectForwardSecrecy，完善的前向安全）特性，并指定采用的Diffie-man組：DHGroup14、DHGroup5、DHGroup2、DHGroup1的安全性和需要 設(shè)置安全策略模板所的IPIPIP在導(dǎo)航欄中選擇“虛擬網(wǎng)>IPSec>策略”，進(jìn)入安全策略的顯示頁(yè)面，如圖1-5表1-6設(shè)置安全策略所的安全策略模板設(shè)置安全策略所的IKE對(duì)等體名可選的IKE對(duì)等體需先在“虛擬網(wǎng)>IKE>對(duì)等體”中創(chuàng)設(shè)置安全策略所的IPSec安全提議名稱(chēng)，最多可以6不到，則SA不能建立，需要被保護(hù)的報(bào)文將被丟棄設(shè)置使用此安全策略發(fā)起協(xié)商時(shí)是否使用PFS（PerfectForwardSecrecy，完善的前向安全）特性，并指定采用的Diffie- man組： man man man manDHGroup14、DHGroup5、DHGroup2、DHGroup1的安全性和需要設(shè)置安全策略所的IPIPIP該項(xiàng)的配置只在指定安全策略所的ACL時(shí)才有效生置全局的SA生存周期。在導(dǎo)航欄中選擇“虛擬網(wǎng)>IPSec>應(yīng)用”，進(jìn)入接口應(yīng)用安全策略情況的顯1-6所示。找到要應(yīng)用安全策略組的接口，單擊其對(duì)應(yīng)的操作列中的圖1-6表1-7的顯示頁(yè)面，如圖1-7所示。圖1-7表1-8IPSec安全列表的詳細(xì)說(shuō)本端IP顯示IPSec安全本端的IP地對(duì)端IP顯示IPSec安全對(duì)端的IP地在導(dǎo)航欄中選擇“虛擬網(wǎng)>IPSec>報(bào)文統(tǒng)計(jì)”，進(jìn)入報(bào)文統(tǒng)計(jì)信息的顯示頁(yè)面，如圖1-8所示。圖1-81-9所示，在SecPathA和SecPathB之間建立一個(gè)安全隧道，對(duì)HostA 圖1-9IPSec在ACL的列表中找到 標(biāo)，進(jìn)入ACL3101的規(guī)則顯示頁(yè)面，在該頁(yè)面單擊<新建>按鈕。選擇操作為“”在導(dǎo)航欄中選擇“虛擬網(wǎng)>IPSec>應(yīng)用”，在列表中找到接口“GigabitEthernet0/1”，單擊其對(duì)應(yīng)的圖標(biāo)。在ACL的列表中找到控制列表ID為“3101”的ACL，單擊對(duì)應(yīng)的圖標(biāo)，進(jìn)入ACL3101的規(guī)則顯示頁(yè)面，在該頁(yè)面單擊<新建>按鈕。選擇操作為“”在導(dǎo)航欄中選擇“虛擬網(wǎng)>IPSec>應(yīng)用”，在列表中找到接口“GigabitEthernet0/2”，單擊其對(duì)應(yīng)的圖標(biāo)。以上配置完成后，SecPathASecPathB10.1.1.0/24與子網(wǎng)10.1.2