eNSP之IPsec 虚拟专用网配置

原创

已于 2025-01-10 16:21:08 修改 · 1.4w 阅读

157

标签

#ipsec #华为 #网络

于 2020-11-11 17:03:48 首次发布

本文介绍如何配置IPsec虚拟专用网，以确保数据传输安全。包括选择加密算法（如AES）、认证算法（如SHA1），配置IKE提议及对等体，设置访问控制列表，创建IPSec策略等关键步骤。

eNSP之IPsec 虚拟专用网配置

VPN的定义

1、互联网存在各种安全隐患

	— 网上传输的数据有被窃听的风险
	— 网上传输的数据有被篡改的危险
	— 通信双方有被冒充的风险

2、VPN (Virtual Private Network，虚拟专用网)

3、VPN建立“保护”网络实体之间的通信

	— 使用加密技术防止数据被窃听
	— 数据完整性验证防止数据被破坏、篡改
	— 通过认证机制确认身份，防止冒充

在这里插入图片描述

VPN类型

1、站点到站点

在这里插入图片描述

2、远程访问VPN

在这里插入图片描述

站点到站点的VPN配置——IPsec VPN

拓扑

在这里插入图片描述

需求

不允许研发小组与研发服务器通过互联网传输数据。
通过建立IPsec VPN使得异地的研发小组与研发服务器传输数据。

配置步骤

1、基础IP信息配置

（基础配置大家小学就学过了，这里不做演示。）

2、配置路由

[R1]ip route-static 0.0.0.0 0 100.0.0.2
[R2]ip route-static 0.0.0.0 0 200.0.0.2

3、IPSec VPN配置

1）加密、认证算法介绍

	· 加密与解密
		- 加密：明文数据 ‘m’ --> 密文数据 ‘c’
		- 解密：密文数据 ‘c’ --> 明文数据 ‘m’
		
 	· 加密算法分类
 		- 对称加密算法
 			对称加密算法使用同一个共享密钥参与加密与解密的计算，计算速度快，但这种方法安全性较低。
 	如下图，加密时，使用加密函数 E(共享密钥‘k’，明文‘m’)生成密文 ‘c’，解密时使用解密函数 D(共享密钥‘k’，密文‘c’) 生成明文‘m’。

在这里插入图片描述

 			> DES（Data Encryption Standard，数据加密标准）
 			> 3DES
 			> AES（Advanced Encryption Standard，高级加密标准）
 		- 非对称加密算法
 			非对称加密算法有公钥与私钥之分，公钥可以公开，用于对数据加密，私钥只有自己知道，用于对数据解密。
 			比如，A要发送数据给B，A就用B的公钥对数据进行加密再发给B，B收到后用自己的私钥对其进行解密。
 			即使传输过程中数据被窃取，没有私钥也不能知道数据里的具体信息。
 			并且，公钥与私钥相互不能通过计算推导出来，这就很大程度上保证了数据的安全性。
 			缺点：计算效率比对称加密算法低很多，大约要慢1500倍左右。
 			>	RSA（三位数学家名字的首字母）

在这里插入图片描述

 · 认证算法
 	- 哈希（HASH）
 		> MD5算法
 			MD5 (Message-digest Algorithm 5，信息-摘要算法)
 			创建了一个128位（16字节)的签名，很多协议都使用该算法做验证
 			目前，已有人证明不同的输入数值通过MD5计算可以得到相同的数字签名，
 			说明MD5的签名可能具有一定程度的虚假性
			MD5执行速度较快，但其安全性相对SHA稍差一点
		> SHA算法
			SHA (Secure Hash Algorithm，安全散列算法)
			已成为美国国家标准，它可以产生160位的签名(20字节的长度)
			为了更加安全，现在已经开发了SHA-256和SHA-512等
		> DH算法
			DH (Diffie-Hellman，迪菲-赫尔曼)
				— 一般被用来实现IPSec中的Internet密钥交换
				—  DH算法将对称加密算法和非对称加密算法综合在一起
			DH算法支持可变的密钥长度
				— 其中DH组1为768，DH组2为1024，DH组5为1536，DH组14为2048
				— 密钥的有效长度越长，安全性也就越强，同时CPU的资源占用率也就越高

 	- 校验文件
 		> 网站下载的文件（例如www.kali.org）