IKE配置.docVIP

目 录 6 IKE配置 6-1 6.1 IKE概述 6-2 6.1.1 IKE协议简介 6-2 6.1.2 IPSec的NAT穿越 6-3 6.1.3 IKE在VRP上的实现 6-4 6.2 配置IKE协商时的本地ID 6-5 6.2.1 建立配置任务 6-5 6.2.2 配置IKE协商时的本地ID 6-5 6.3 配置IKE安全提议 6-6 6.3.1 建立配置任务 6-6 6.3.2 创建IKE安全提议并进入IKE安全提议视图 6-7 6.3.3 选择加密算法 6-7 6.3.4 选择验证方法 6-7 6.3.5 选择验证算法 6-8 6.3.6 选择Diffie-Hellman组标识 6-8 6.3.7 配置ISAKMP SA生存周期 6-8 6.3.8 检查配置结果 6-9 6.4 配置IKE对端属性 6-9 6.4.1 建立配置任务 6-9 6.4.2 创建IKE Peer并进入IKE Peer视图 6-10 6.4.3 配置IKE协商模式 6-10 6.4.4 配置IKE安全提议 6-11 6.4.5 配置本地ID类型 6-11 6.4.6 配置IPSec的NAT穿越 6-11 6.4.7 配置身份验证字 6-11 6.4.8 配置对端IP地址或地址段 6-12 6.4.9 配置对端名称 6-12 6.4.10 配置VPN实例与安全联盟关联的MPLS VPN接入 6-12 6.4.11 检查配置结果 6-12 6.5 配置IKE的微调 6-13 6.5.1 建立配置任务 6-13 6.5.2 配置发送Keepalive报文的时间间隔 6-14 6.5.3 配置等待Keepalive报文的超时时间 6-14 6.5.4 配置发送NAT更新报文的时间间隔 6-14 6.6 维护 6-15 6.6.1 显示 6-15 6.6.2 清除 6-15 6.6.3 调试 6-16 6.7 采用IKE协商方式建立安全联盟举例 6-16 插图目录 图6-1 安全联盟建立过程 6-3 图6-2 IPSec配置组网图 6-17 IKE配置 关于本章 本章描述内容如下表所示。 标题 内容 6.1 IKE概述 了解IKE的基本原理和概念 6.2 配置IKE协商时的本地ID 配置IKE协商时的本地ID 6.3 配置IKE安全提议 配置IKE安全提议 6.4 配置IKE对端属性 配置IKE对端属性 6.5 配置IKE的微调 配置IKE的微调 6.6 维护 显示配置信息、清除统计信息、调试IKE 6.7 采用IKE协商方式建立安全联盟举例 介绍IKE的组网举例。 IKE概述 本节介绍配置IKE所需要理解的知识，具体包括： IKE协议简介 IPSec的NAT穿越 IKE在VRP上的实现 IKE协议简介 IKE协议 IPSec的安全联盟可以通过手工配置的方式建立，但是当网络中节点增多时，手工配置将非常困难，而且难以保证安全性。这时就要使用因特网密钥交换协议IKE自动地进行安全联盟的建立与密钥的交换。 IKE协议是建立在由Internet安全联盟和密钥管理协议ISAKMP（Internet Security Association and Key Management Protocol）定义的框架上。它能够为IPSec提供自动协商交换密钥、建立安全联盟的服务，以简化IPSec的使用和管理。 IKE具有一套自保护机制，可以在不安全的网络上安全地分发密钥、验证身份、建立IPSec安全联盟。 IKE的安全机制 DH（Diffie-Hellman）交换及密钥分发。Diffie-Hellman算法是一种公开密钥算法。通信双方在不传送密钥的情况下通过交换一些数据，计算出共享的密钥。加密的前提是交换加密数据的双方必须要有共享的密钥。IKE的精髓在于它永远不在不安全的网络上直接传送密钥，而是通过一系列数据的交换，最终计算出双方共享的密钥。即使第三者（如黑客）截获了双方用于计算密钥的所有交换数据，也不足以计算出真正的密钥。 完善的前向安全性PFS。指一个密钥被破解，并不影响其他密钥的安全性，因为这些密钥间没有派生关系。此特性是通过在IKE阶段2的协商中增加密钥交换来实现的。PFS是由DH算法保障的。 身份保护。身份数据在密钥产生之后加密传送，实现了对身份数据的保护。 IKE的交换阶段 IKE经过两个阶段为IPSec进行密钥协商并建立安全联盟，如下。 通信各方彼此间建立了一个已通过身份验证和安全保护的通道，此阶段的交换建立了一个ISAKMP安全联盟，即ISAKMP SA（也可称IKE SA）； 用已经建立的安全联盟（IKE SA）为IPSec协商安全服务，即为IPSec协商具体的安全联盟，建立IPSec SA，IPSec SA用于最终的IP数据安