FortiGate IPSec高级选项配置.pdfVIP

FortiGate IPSec 高级选项配置 版本 1.0 时间 2011 年9 月 作者 刘茂杰 (mliu@) 支持的版本 FortiOS v3.0, v4.0.x, v4.1.x, v4.2.x, v4.3.x 用于本文的测试版本： Fortigate-VM v4.0,build0482,110920 (MR3 Patch 2) 状态 草稿 目 录 1. 目的3 2.密钥周期 (keylife)3 3.保持存活 (autokey keep alive) 4 4. 自动协商5 5.NAT 穿越(NAT traversal, 及keepalive) 6 6.对等体状态探测(DPD) 6 6.1 场景1 7 6.1.1 拓扑图7 6.1.2 FGT_CQ 的阶段1 配置7 6.1.3 测试效果8 6.2 场景2 9 6.2.1 拓扑图10 6.2.2 FGT_CQ 配置摘要10 6.2.3 测试效果11 7.调试命令13 1. 目的 本文介绍FortiGate 虚拟专用网IPSec 的IKE 阶段1 和阶段2 高级选项中的几 个重要参数，以解释各个参数的作用和使用场景。 -密钥周期(keylife) -保持存活(autokey keep alive) - 自动协商(阶段2) - NAT 穿越(NAT Tranversal) -对等体状态探测(DPD) 2.密钥周期 (keylife) IKE 阶段1 和阶段 2 都有密钥周期 Keylife。如果加密密钥保持不变，数据传 输过程中一直用相同的密钥加密，容易导致暴力破解泄密，所以有必要周期性的 更新密钥。 阶段1 的密钥用以保护阶段2 的协商过程。阶段1 只有密钥时间周期，阶段 2 可以用密钥时间周期和传输数据的字节数，一旦到了时间周期或者传输的字节 数，就会触发密钥的更新。合理的配置应该是阶段2 的密钥周期比阶段1 的长， 阶段2 生成的密钥是 IPSec SA 的参数之一。缺省情况下，阶段 1 的密钥周期为 28800 秒，阶段2 的密钥周期为1800 秒。配置如下： config vpn ipsec phase1-interface edit toBJ set type static set interface port1 set keylife 28800 set remote-gw …. next end config vpn ipsec phase2-interface edit toBJ set keylife-type seconds set phase1name toBJ set keylifeseconds 1800 next end 注意：IPSec 隧道建立后如果1800 秒的时间内持续有数据传输，阶段2 将到 期执行密钥协商过程；如果1800 秒的时间内没有数据传输，阶段2 将停止密钥 协商过程，同时IPSec 隧道也会down 。 3.保持存活 (autokey keep alive) 阶段2 的密钥协商到期可能因为没有数据传输，导致IPSec 隧道down，如 果有新的数据走隧道传输要求，将会触发隧道重新建立。隧道建立的过程需要时 间，在隧道建立期间往往会发生丢包的问题，从而影响某些应用正