一、IPsec简介

1、IPSec协议

IPSec 是一系列网络安全协议的总称，它是由IETF（Internet Engineering Task                 Force，Internet工程任务组）开发的，可为通讯双方提供访问控制、无连接的完整性、数据来源认证、反重放、加密以及对数据流分类加密等服务。

IPSec 是网络层的安全机制。通过对网络层包信息的保护，上层应用程序即使没有

实现安全性，也能够自动从网络层提供的安全性中获益。这打消了人们对×××（Virtual Private Network，虚拟专用网络）安全性的顾虑，使得×××得以广泛应用。

2、IPSec对报文的处理过程

IPSec对报文的处理过程如下（以AH协议为例）：

(1)  对报文添加认证头：从IPSec队列中读出IP模块送来的IP报文，根据配置选择的协议模式（传输或是隧道模式）对报文添加AH头，再由IP层转发。

(2)  对报文进行认证后解去认证头：IP层收到IP报文经解析是本机地址，并且协议号为51，则查找相应的协议开关表项，调用相应的输入处理函数。此处理函数对报文进行认证和原来的认证值比较，若相等则去掉添加的AH头，还原出原始的IP报文再调用IP输入流程进行处理；否则此报文被丢弃。

3、与IPSec相关的几个术语

数据流：在IPSec中，一组具有相同源地址/掩码、目的地址/掩码和上层协议的数据集称为数据流。通常，一个数据流采用一个访问控制列表（acl）来定义，所有为ACL允许通过的报文在逻辑上作为一个数据流。为更容易理解，数据流可以比作是主机之间一个的TCP连接。IPSec 能够对不同的数据流施加不同的安全保护，例如对不同的数据流使用不同的安全协议、算法或密钥。

安全策略：由用户手工配置，规定对什么样的数据流采用什么样的安全措施。对数据流的定义是通过在一个访问控制列表中配置多条规则来实现，在安全策略中引用这个访问控制列表来确定需要进行保护的数据流。一条安全策略由“名字”和“顺序号”共同唯一确定。

安全策略组：所有具有相同名字的安全策略的集合。在一个接口上，可应用或者取消一个安全策略组，使安全策略组中的多条安全策略同时应用在这个接口上，从而实现对不同的数据流进行不同的安全保护。在同一个安全策略组中，顺序号越小的安全策略，优先级越高。

安全联盟（SecurityAssociation，简称SA）：IPSec对数据流提供的安全服务通过安全联            盟SA来实现，它包括协议、算法、密钥等内容，具体确定了如何对IP报文进行处理。一个SA就    是两个IPSec系统之间的一个单向逻辑连接，输入数据流和输出数据流由输入安全联盟与输出安全联盟分别处理。安全联盟由一个三元组（安全参数索引（SPI）、IP 目的地址、安全协议号（AH或ESP））来唯一标识。安全联盟可通过手工配置和自动协商两种方式建立。手工建立安全联盟的方式是指用户通过在两端手工设置一些参数，然后在接口上应用安全策略建立安全联盟。自动协商方式由IKE生成和维护，通信双方基于各自的安全策略库经过匹配和协商，最终建立安全联盟而不需要用户的干预。

安全参数索引（SPI）：是一个32比特的数值，在每一个IPSec报文中都携带该值。SPI、IP目的地址、安全协议号三者结合起来共同构成三元组，来唯一标识一个特定的安全联盟。在手工配置安全联盟时，需要手工指定SPI的取值。为保证安全联盟的唯一性，每个安全联盟需要指定不同的SPI值；使用IKE协商产生安全联盟时，SPI将随机生成。

安全提议：包括安全协议、安全协议使用的算法、安全协议对报文的封装形式，规定了把普通的IP报文转换成IPSec报文的方式。在安全策略中，通过引用一个安全提议来规定该安全策略采用的协议、算法等。

二、IPSec实验

1、实验环境

三台防火墙（H3C SecPath F100-C），一台三层交换机（quidway s3526）用于三个网络之间连接模拟广域网链路。

2、实验目的

实现局域网1分别能与局域网2，局域网3建立安全隧道，并且建立通信。

3、实验拓扑图

4、配置文件

采用手工方式创建安全联盟

Fw-1配置（H3C SecPath F100-C）

[H3C]sysname fw-1

[fw-1]int eth0/0

[fw-1-Ethernet0/0]ip add 192.168.4.1 24

[fw-1-Ethernet0/0]int eth0/4

[fw-1-Ethernet0/4]ip add 1.1.1.1 24

[fw-1]firewall zone untrust

[fw-1-zone-untrust]add in

[fw-1-zone-untrust]add interface eth0/4

[fw-1]ip route-static 0.0.0.0 0  1.1.1.2

# 配置一个访问控制列表，定义由子网192.168.4.0去子网192.168.2.0的数据流

[fw-1]acl number 3000 match-order auto

[fw-1-acl-adv-3000]rule10 permit ip source 192.168.4.0 0.0.0.255 destination 192.168.2.0 0.0.0.255

[fw-1-acl-adv-3000]rule 20 deny ip source any destination any

[fw-1-acl-adv-3000]quit

# 创建名为tran1的安全提议

[fw-1]ipsec proposal tran1

# 报文封装形式采用隧道模式

[fw-1-ipsec-proposal-tran1]encapsulation-mode tunnel

# 安全协议采用ESP协议

[fw-1-ipsec-proposal-tran1]transform esp

# 选择认证算法和加密算法

[fw-1-ipsec-proposal-tran1]esp authentication-algorithm md5

[fw-1-ipsec-proposal-tran1]esp encryption-algorithm des

[fw-1-ipsec-proposal-tran1]quit

# 创建一条安全策略，协商方式为手工方式

[fw-1]ipsec policy policy1 10 manual

# 引用访问列表

[fw-1-ipsec-policy-manual-policy1-10]sec acl 3000

# 引用安全提议

[fw-1-ipsec-policy-manual-policy1-10]proposal tran1

# 设置本端与对端地址

[fw-1-ipsec-policy-manual-policy1-10]tunnel local 1.1.1.1

[fw-1-ipsec-policy-manual-policy1-10]tunnel remote 2.2.2.1

# 设置SPI,密钥

[fw-1-ipsec-policy-manual-policy1-10]sa spi outbound esp 12345

[fw-1-ipsec-policy-manual-policy1-10]sa string-key outbound esp abc

[fw-1-ipsec-policy-manual-policy1-10]sa spi inbound esp 54321

[fw-1-ipsec-policy-manual-policy1-10]sa string-key inbound esp cba

[fw-1-ipsec-policy-manual-policy1-10]quit

# 在串口上应用安全策略组

[fw-1]int eth0/4

[fw-1-Ethernet0/4]ipsec policy policy1

[fw-1] acl number 3001 match-order auto

[fw-1-acl-adv-3001]rule 10 permit ip source 192.168.4.0 0.0.0.255destination                      192.168.3.0 0.0.0.255

[fw-1]ipsec proposal tran2

[fw-1-ipsec-proposal-tran2]encapsulation-mode tunnel

[fw-1-ipsec-proposal-tran2]transform esp

[fw-1-ipsec-proposal-tran2]esp authentication-algorithm md5

[fw-1-ipsec-proposal-tran2]esp encryption-algorithm des

[fw-1]ipsec policy policy1 20 manual

[fw-1-ipsec-policy-manual-policy1-20]security acl 3001

[fw-1-ipsec-policy-manual-policy1-20]proposal tran2

[fw-1-ipsec-policy-manual-policy1-20]tunnel local 1.1.1.1

[fw-1-ipsec-policy-manual-policy1-20]tunnel remote 3.3.3.1

[fw-1-ipsec-policy-manual-policy1-20]sa spi outbound esp 23456

[fw-1-ipsec-policy-manual-policy1-20]sa string-key outbound esp asd

[fw-1-ipsec-policy-manual-policy1-20]sa spi inbound esp 65432

[fw-1-ipsec-policy-manual-policy1-20]sa string-key inbound esp dsa

[fw-1-ipsec-policy-manual-policy1-20]quit

[fw-1]int eth0/4

[fw-1-Ethernet0/4]ipsec policy policy1

Fw-2配置（H3C SecPath F100-C）

[fw-2]int eth0/0

[fw-2-Ethernet0/0]ip add 192.168.2.1 24

[fw-2-Ethernet0/0]loopback

[fw-2-Ethernet0/0]int eth0/4

[fw-2-Ethernet0/4]ip add 2.2.2.1 24

[fw-2]firewall zone untrust

[fw-2-zone-untrust]add interface eth0/4

[fw-2-zone-untrust]quit

[fw-2]ip route-static 0.0.0.0 0 2.2.2.2

[fw-2]acl number 3000 match-order auto

[fw-2-acl-adv-3000]rule10 permit ip source 192.168.2.0 0.0.0.255 destination 192.168.4.0 0.0.0.255

[fw-2-acl-adv-3000]rule 20 deny ip source any destination any

[fw-2-acl-adv-3000]rule 20 deny ip source any destination any

[fw-2-acl-adv-3000]quit

[fw-2-ipsec-proposal-tran1]encapsulation-mode tunnel

[fw-2-ipsec-proposal-tran1]transform esp

[fw-2-ipsec-proposal-tran1]esp authentication-algorithm md5

[fw-2-ipsec-proposal-tran1]esp encryption-algorithm des

[fw-2-ipsec-proposal-tran1]quit

[fw-2]ipsec policy policy1 10 manual

[fw-2-ipsec-policy-manual-policy1-10]sec acl 3000

[fw-2-ipsec-policy-manual-policy1-10]proposal tran1

[fw-2-ipsec-policy-manual-policy1-10]tunnel local 2.2.2.1

[fw-2-ipsec-policy-manual-policy1-10]tunnel remote 1.1.1.1

[fw-2-ipsec-policy-manual-policy1-10]sa spi outbound esp 54321

[fw-2-ipsec-policy-manual-policy1-10]sa string-key outbound esp cba

[fw-2-ipsec-policy-manual-policy1-10]sa spi inbound esp 12345

[fw-2-ipsec-policy-manual-policy1-10]sa string-key inbound esp abc

[fw-2-ipsec-policy-manual-policy1-10]quit

[fw-2]int eth0/4

[fw-2-Ethernet0/4]ipsec policy policy1

Fw-3配置（H3C SecPath F100-C）

[H3C]sysname fw-3

[fw-3]int eth0/0

[fw-3-Ethernet0/0]ip add 192.168.3.1 24

[fw-3-Ethernet0/0]loopback

[fw-3-Ethernet0/0]int eth0/4

[fw-3-Ethernet0/4]ip add 3.3.3.1 24

[fw-3-Ethernet0/4]quit

[fw-3]firewall zone untrust

[fw-3-zone-untrust]add interface eth0/4

[fw-3-zone-untrust]quit

[fw-3]ip route-static 0.0.0.0 0 3.3.3.2

[fw-3]acl number 3001 match-order auto

[fw-3-acl-adv-3001]rule10 permit ip source 192.168.3.0 0.0.0.255 destination 192.168.4.0 0.0.0.255

[fw-3-acl-adv-3001]rule 20 deny ip source any destination any

[fw-3-ipsec-proposal-tran2]encapsulation-mode tunnel

[fw-3-ipsec-proposal-tran2]transform esp

[fw-3-ipsec-proposal-tran2]esp authentication-algorithm md5

[fw-3-ipsec-proposal-tran2]esp encryption-algorithm des

[fw-3-ipsec-proposal-tran2]quit

[fw-3]ipsec policy policy1 20 manual

[fw-3-ipsec-policy-manual-policy1-20]security acl 3001

[fw-3-ipsec-policy-manual-policy1-20]proposal tran2

[fw-3-ipsec-policy-manual-policy1-20]quit

[fw-3-ipsec-policy-manual-policy1-20]tunnel local 3.3.3.1

[fw-3-ipsec-policy-manual-policy1-20]tunnel remote 1.1.1.1

[fw-3-ipsec-policy-manual-policy1-20]sa spi outbound esp 65432

[fw-3-ipsec-policy-manual-policy1-20]sa string-key outbound esp dsa

[fw-3-ipsec-policy-manual-policy1-20]sa spi inbound esp 23456

[fw-3-ipsec-policy-manual-policy1-20]sa string-key inbound esp asd

[fw-3-ipsec-policy-manual-policy1-20]quit

[fw-3]int eth0/4

[fw-3-Ethernet0/4]ipsec policy policy1

交换机配置（quidway s3526）

[Quidway]vlan 10

[Quidway-vlan10]port e0/10

[Quidway-vlan10]vlan 20

[Quidway-vlan20]port e0/20

[Quidway-vlan20]vlan 30

[Quidway-vlan30]port e0/24

[Quidway-vlan30]quit

[Quidway]int v

[Quidway]int Vlan-interface 10

[Quidway-Vlan-interface10]ip address 1.1.1.2 255.255.255.0

[Quidway-Vlan-interface20]ip add 2.2.2.2 255.255.255.0

[Quidway-Vlan-interface30]ip add 3.3.3.2 255.255.255.0

采用IKE协商方式创建安全联盟

Fw-1配置（H3C SecPath F100-C）

[H3C]sysname fw-1

[fw-1]int eth0/0

[fw-1-Ethernet0/0]ip add 192.168.4.1 24

[fw-1-Ethernet0/0]int eth0/4

[fw-1-Ethernet0/4]ip add 1.1.1.1 24

[fw-1]firewall zone untrust

[fw-1-zone-untrust]add in

[fw-1-zone-untrust]add interface eth0/4

[fw-1]ip route-static 0.0.0.0 0  1.1.1.2

[fw-1]acl number 3000 match-order auto

[fw-1-acl-adv-3000]rule10 permit ip source 192.168.4.0 0.0.0.255 destination 192.168.2.0 0.0.0.255

[fw-1-acl-adv-3000]rule 20 deny ip source any destination any

[fw-1-acl-adv-3000]quit

[fw-1]ipsec proposal tran1

[fw-1-ipsec-proposal-tran1]encapsulation-mode tunnel

[fw-1-ipsec-proposal-tran1]transform esp

[fw-1-ipsec-proposal-tran1]esp authentication-algorithm md5

[fw-1-ipsec-proposal-tran1]esp encryption-algorithm des

[fw-1]ike peer fw-2

[fw-1-ike-peer-fw-1]local-address 1.1.1.1

[fw-1-ike-peer-fw-1]remote-address 2.2.2.1

[fw-1-ike-peer-fw-1]pre-shared-key 123456

[fw-1-ike-peer-fw-1]quit

[fw-1]ipsec policy policy1 10 isakmp

[fw-1-ipsec-policy-isakmp-policy1-10]security acl 3000

[fw-1-ipsec-policy-isakmp-policy1-10]proposal tran1

[fw-1-ipsec-policy-isakmp-policy1-10]ike-peer fw-2

[fw-1-ipsec-policy-isakmp-policy1-10]quit

[fw-1]int eth0/4

[fw-1-Ethernet0/4]ipsec policy policy1

[fw-1] acl number 3001 match-order auto

[fw-1-acl-adv-3001]rule 10 permit ip source 192.168.4.0 0.0.0.255 destination                             192.168.3.0 0.0.0.255

[fw-1]ipsec proposal tran2

[fw-1-ipsec-proposal-tran2]encapsulation-mode tunnel

[fw-1-ipsec-proposal-tran2]transform esp

[fw-1-ipsec-proposal-tran2]esp authentication-algorithm md5

[fw-1-ipsec-proposal-tran2]esp encryption-algorithm des

[fw-1]ike peer fw-3

[fw-1-ike-peer-fw-1]local-address 1.1.1.1

[fw-1-ike-peer-fw-1]remote-address 3.3.3.1

[fw-1-ike-peer-fw-1]pre-shared-key 12345

[fw-1-ike-peer-fw-1]quit

[fw-1]ipsec policy policy1 10 isakmp

[fw-1-ipsec-policy-isakmp-policy1-10]security acl 3001

[fw-1-ipsec-policy-isakmp-policy1-10]proposal tran2

[fw-1-ipsec-policy-isakmp-policy1-10]ike-peer fw-3

[fw-1-ipsec-policy-isakmp-policy1-10]quit

[fw-1]int eth0/4

[fw-1-Ethernet0/4]ipsec policy policy1

Fw-2配置（H3C SecPath F100-C）

[fw-2]int eth0/0

[fw-2-Ethernet0/0]ip add 192.168.2.1 24

[fw-2-Ethernet0/0]loopback

[fw-2-Ethernet0/0]int eth0/4

[fw-2-Ethernet0/4]ip add 2.2.2.1 24

[fw-2]firewall zone untrust

[fw-2-zone-untrust]add interface eth0/4

[fw-2-zone-untrust]quit

[fw-2]ip route-static 0.0.0.0 0 2.2.2.2

[fw-2]acl number 3000 match-order auto

[fw-2-acl-adv-3000]rule10 permit ip source 192.168.2.0 0.0.0.255 destination 192.168.4.0 0.0.0.255

[fw-2-acl-adv-3000]rule 20 deny ip source any destination any

[fw-2-acl-adv-3000]rule 20 deny ip source any destination any

[fw-2-acl-adv-3000]quit

[fw-2-ipsec-proposal-tran1]encapsulation-mode tunnel

[fw-2-ipsec-proposal-tran1]transform esp

[fw-2-ipsec-proposal-tran1]esp authentication-algorithm md5

[fw-2-ipsec-proposal-tran1]esp encryption-algorithm des

[fw-2-ipsec-proposal-tran1]quit

[fw-2]ike peer fw-1

[fw-2-ike-peer-fw-1]local-address 2.2.2.1

[fw-2-ike-peer-fw-1]remote-address 1.1.1.1

[fw-2-ike-peer-fw-1]pre-shared-key 123456

[fw-2-ike-peer-fw-1]quit

[fw-2]ipsec policy policy1 10 isakmp

[fw-2-ipsec-policy-isakmp-policy1-10]security acl 3000

[fw-2-ipsec-policy-isakmp-policy1-10]proposal tran1

[fw-2-ipsec-policy-isakmp-policy1-10]ike-peer fw-1

[fw-2-ipsec-policy-isakmp-policy1-10]quit

[fw-2]int eth0/4

[fw-2-Ethernet0/4]ipsec policy policy1

Fw-3配置（H3C SecPath F100-C）

[H3C]sysname fw-3

[fw-3]int eth0/0

[fw-3-Ethernet0/0]ip add 192.168.3.1 24

[fw-3-Ethernet0/0]loopback

[fw-3-Ethernet0/0]int eth0/4

[fw-3-Ethernet0/4]ip add 3.3.3.1 24

[fw-3-Ethernet0/4]quit

[fw-3]firewall zone untrust

[fw-3-zone-untrust]add interface eth0/4

[fw-3-zone-untrust]quit

[fw-3]ip route-static 0.0.0.0 0 3.3.3.2

[fw-3]acl number 3001 match-order auto

[fw-3-acl-adv-3001]rule10 permit ip source 192.168.3.0 0.0.0.255 destination 192.168.4.0 0.0.0.255

[fw-3-acl-adv-3001]rule 20 deny ip source any destination any

[fw-3-ipsec-proposal-tran2]encapsulation-mode tunnel

[fw-3-ipsec-proposal-tran2]transform esp

[fw-3-ipsec-proposal-tran2]esp authentication-algorithm md5

[fw-3-ipsec-proposal-tran2]esp encryption-algorithm des

[fw-3-ipsec-proposal-tran2]quit

[fw-3]ike peer fw-1

[fw-3-ike-peer-fw-1]local-address 3.3.3.1

[fw-3-ike-peer-fw-1]remote-address 1.1.1.1

[fw-3-ike-peer-fw-1]pre-shared-key 12345

[fw-3-ike-peer-fw-1]quit

[fw-3]ipsec policy policy1 10 isakmp

[fw-3-ipsec-policy-isakmp-policy1-10]security acl 3001

[fw-3-ipsec-policy-isakmp-policy1-10]proposal tran2

[fw-3-ipsec-policy-isakmp-policy1-10]ike-peer fw-1

[fw-3-ipsec-policy-isakmp-policy1-10]quit

[fw-3]int eth0/4

[fw-3-Ethernet0/4]ipsec policy policy1

交换机配置（quidway s3526）

[Quidway]vlan 10

[Quidway-vlan10]port e0/10

[Quidway-vlan10]vlan 20

[Quidway-vlan20]port e0/20

[Quidway-vlan20]vlan 30

[Quidway-vlan30]port e0/24

[Quidway-vlan30]quit

[Quidway]int v

[Quidway]int Vlan-interface 10

[Quidway-Vlan-interface10]ip address 1.1.1.2 255.255.255.0

[Quidway-Vlan-interface20]ip add 2.2.2.2 255.255.255.0

[Quidway-Vlan-interface30]ip add 3.3.3.2 255.255.255.0

5、实验结果