日期： (2012-05-22 11:17:28)

1年多没玩华为的设备了，将华为的IPsec ×××配置复习下:主模式、隧道、ESP封装

# 配置一个访问控制列表，定义由子网10.1.1.0/24 去子网10.1.2.0/24 的数据流。
<RouterA> system-view
[RouterA] acl number 3101
[RouterA-acl-adv-3101] rule permit ip source 10.1.1.0 0.0.0.255destination 10.1.2.0
0.0.0.255
[RouterA-acl-adv-3101] quit

# 创建名为tran1 的安全提议。
[RouterA] ipsec proposal tran1
# 报文封装形式采用隧道模式。
[RouterA-ipsec-proposal-tran1] encapsulation-mode tunnel
# 安全协议采用ESP 协议。
[RouterA-ipsec-proposal-tran1] transform esp
# 选择算法。
[RouterA-ipsec-proposal-tran1] esp encryption-algorithm 3des
[RouterA-ipsec-proposal-tran1] esp authentication-algorithm sha
[RouterA-ipsec-proposal-tran1] quit
#配置IKE 安全提议
[RouterA] ike proposal 10
# 配置使用pre-shared-key 验证方法。
[RouterA-ike-proposal-10] authentication-method pre-share
# 配置使用sha1验证算法、3des的加密算法。
[RouterA-ike-proposal-10] authentication-algorithm sha

[RouterA-ike-proposal-10] encryption-algorithm 3des-cbc

# 配置ISAKMP SA 的生存周期为5000 秒。
[RouterA-ike-proposal-10] sa duration 5000
# 退回系统视图。
[RouterA-ike-proposal-10] quit
# 配置IKE 对等体。(主模式)
[RouterA] ike peer peer
[RouterA-ike-peer-peer] ike-proposal 10
[RouterA-ike-peer-peer] pre-share-key abcde
[RouterA-ike-peer-peer] remote-address 2.2.3.1
[RouterA-ike-peer-peer] quit
# 创建一条安全策略，协商方式为isakmp。
[RouterA] ipsec policy map110 isakmp
# 引用安全提议。
[RouterA-ipsec-policy-isakmp-map1-10] proposal tran1
# 引用访问控制列表。
[RouterA-ipsec-policy-isakmp-map1-10] security acl 3101
# 引用IKE 对等体。
[RouterA-ipsec-policy-isakmp-map1-10] ike-peer peer
[RouterA-ipsec-policy-isakmp-map1-10] quit
# 配置串口的IP 地址。
[RouterA] interface serial 2/1
[RouterA-Serial2/1] ip address 2.2.2.1 255.255.255.0
# 在串口上应用安全策略组。
[RouterA-Serial2/1] ipsec policy map1