IPSecVPN配置总结[收集].pdfVIP

IPSec VPN 配置总结 近段时间，笔者完成了一些 IPSec VPN 的配置，有站点到站点固定公网 IP 地址的 IPSec VPN，有站点到站点使用固定公网 IP 地址的 EZVPN ，有网络中心 点是固定公网 IP 地址，而分支机构是动态地址的 DMVPN ，有路由器和防火墙 之间互联的 IPSec VPN，也有不同厂商的设备之间互联的 IPSec VPN。通过这些 项目的锻炼，笔者感到对 IPSec VPN 的了解又增进了一步， 以前一些模糊的地方， 经过这次项目的实践之后也越来越清晰， 以下就是笔者对 IPSec VPN 配置的总结 和配置实例。 一、 理解 IPSec VPN VPN 是利用公共网络建立一条专用的通道来实现私有网络的连接， IPSec VPN 就是利用 IPSec 协议框架实现对 VPN 通道的加密保护。 IPSec工作在网络 层，它能在 IP 层上对数据提供加密、数据完整性、起源认证和反重放保护等功 能。 加密的作用就是通过将数据包加密， 保证数据的安全， 即使数据包被人监听 获取到，也无法阅读数据内容。 IPSec使用的数据加密算法是对称密钥加密系统。支持的加密算法主要有： DES、3DES、MD5 和 SHA 加密算法，这种加密算法需要一个共享的密钥执行 加密和解密， 共享的密钥是通过通信两端交换公钥， 然后用公钥和各自的私钥进 行运算，就得到了共享的密钥，这样就需要一个公钥交换的算法。 DH 密钥协议 就是一种公钥交换方法。 DH 密钥交换协议有组 1 到组 7 的几种不同的算法。 DES 和 3DES 支持组 1 和 2，AES 支持组 2 和 5，因此如果选用了不同的加密算法， 就需要选择相应的 DH 密钥交换算法。 数据完整性的作用就是保证数据包在传输的过程当中没有被篡改。 为了保证数据的完整性， 给每个消息附加一个散列数， 通过验证发送的散列 数和接收的散列数是否匹配来判断消息是否被修改。 散列消息验证代码 （HMAC ） 主要有两种算法： HMAC-MD5 和 HMAC-SHA-1 ，MD5 使用 128 位的共享密钥， 而 SHA 使用 160 位密钥，因此 HMAC-SHA-1 比 HMAC-MD5 的加密强度要更 高一些。 起源认证的作用就是保证发送数据包的源站点是可信的。 起源认证用来在建立隧道时验证隧道两端的对等体是否是可信的。 主要有预 共享密钥， RSA 签名、 RSA-加密 nonces三种方法。其中预共享密钥配置起来最 简单，但安全性和扩展性也相对来说要差一些。 预共享密钥就是在每个对等体上 都预先配置好相同的密钥， 经过运算之后发送到远端的对等体， 由于每个对等体 的密钥相同， 因此就能够通过起源认证。 另外两种认证方法配置较为复杂， 需要 和证书服务器配合起来使用， 笔者没有这方面的实践， 因此后面的配置实例中都 是采用的预共享密钥的配置。 反重放保护的作用就是保证数据包的唯一性， 确定数据包在传输过程中没有 被复制。 在 IPSec 的数据包中含有一个 32 位的序列数，并且是不能重复的，接收方 通过检查序列数是否是唯一的来执行反重放