IPsec小实验：手工方式建立保护IPv4报文的IPsec-ESP隧道

红太狼 2023-01-23 11:56 12阅读 0赞

前面用VXLAN和EVPN介绍了跨广域网大二层网络互通的方案，但是我们也发现这种新技术对设备的能力有要求，成本可能会提升。那能不能用简单一点的方案呢？相信机智的小伙伴已经发现我前几天的IPsec的RFC文档，那么今天就用IPsec来操练一下吧。

实验原型借鉴H3C典型配置“采用手工方式建立保护IPv4报文的IPsec隧道”，[https://www.h3c.com/cn/d\_202103/1390179\_30005\_0.htm\#\_Toc65521983][https_www.h3c.com_cn_d_202103_1390179_30005_0.htm_Toc65521983]。

# 组网需求 #

在RT1和RT2之间建立一条IPsec隧道，对PCA所在的子网（192.168.1.0/24）与PCB所在的子网（192.168.2.0/24）之间的数据流进行安全保护。具体要求如下：

封装形式为隧道模式。

安全协议采用ESP协议。

加密算法采用128位的AES，认证算法采用HMAC-SHA1。

手工方式建立IPsec SA。

# 组网图 #

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70][]

# 设备配置 #

IPsec是一个基础实验，结合配置任务和RFC2401的要求我们可以发现，IPsec的主要配置任务包括以下几点：

1、配置IPsec保护的数据流量。一般也称为感兴趣流，用ACL来进行匹配；

2、配置IPsec安全提议。指定对IP报文的封装形式为传输模式或隧道模式，选择安全协议为AH或ESP、并配置加密算法及认证算法。

3、配置IPsec安全策略。包含配置应用感兴趣流，应用IPsec安全提议，指定IPsec隧道地址，配置安全协议的SPI（Security Parameter Index，安全参数索引）和SA（Security Association，安全联盟）密钥。

4、在接口上应用IPsec安全策略。

上面流程了解之后，直接贴出设备配置。

## RT1 ##

\#

interface GigabitEthernet0/0

ip address 192.168.1.1 255.255.255.0

\#

interface GigabitEthernet0/1

ip address 12.1.1.1 255.255.255.0

nat outbound 3401

ipsec apply policy ipsec

\#

ip route-static 23.1.1.0 24 12.1.1.2

ip route-static 192.168.2.0 24 12.1.1.2

\#

acl advanced 3400

rule 0 permit ip source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255

\#

acl advanced 3401

rule 0 deny ip source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255

rule 5 permit ip

\#

ipsec transform-set tran1

esp encryption-algorithm aes-cbc-128

esp authentication-algorithm sha1

\#

ipsec policy ipsec 10 manual

transform-set tran1

security acl 3400

remote-address 23.1.1.3

sa spi inbound esp 123456

sa string-key inbound esp simple qwer

sa spi outbound esp 654321

sa string-key outbound esp simple asdf

## RT2 ##

\#

interface GigabitEthernet0/0

ip address 192.168.2.1 255.255.255.0

\#

interface GigabitEthernet0/1

ip address 23.1.1.3 255.255.255.0

nat outbound 3401

ipsec apply policy ipsec

\#

ip route-static 12.1.1.0 24 23.1.1.2

ip route-static 192.168.1.0 24 23.1.1.2

\#

acl advanced 3400

rule 0 permit ip source 192.168.2.0 0.0.0.255 destination 192.168.1.0 0.0.0.255

\#

acl advanced 3401

rule 0 deny ip source 192.168.2.0 0.0.0.255 destination 192.168.1.0 0.0.0.255

rule 5 permit ip

\#

ipsec transform-set tran1

esp encryption-algorithm aes-cbc-128

esp authentication-algorithm sha1

\#

ipsec policy ipsec 10 manual

transform-set tran1

security acl 3400

remote-address 12.1.1.1

sa spi inbound esp 654321

sa string-key inbound esp simple asdf

sa spi outbound esp 123456

sa string-key outbound esp simple qwer

## RT-ISP ##

\#

interface GigabitEthernet0/0

ip address 12.1.1.2 255.255.255.0

\#

interface GigabitEthernet0/1

ip address 23.1.1.2 255.255.255.0

# 验证配置 #

## 验证设备 ##

查看RT1上IPsec安全策略的信息

display ipsec policy

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 1][]

查看RT1上IPsec SA的相关信息

display ipsec sa

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 2][]

查看RT1上IPsec安全提议的信息

display ipsec transform-set

![20210714203133306.png][]

查看RT1上IPsec隧道的信息

display ipsec tunnel

![20210714203138793.png][]

## 验证主机 ##

从PC1向PC2发起ping从测试，可以连通。观察TTL值为253，表明中间经过了两跳设备，应该就是IPsec隧道两端的RT1和RT2，中间的互联网无感知。但是使用tracert探测路径，则无法看到网络转发路径。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 3][]

通过抓包可以发现，RT2没有回应TTL超时的ICMP错误消息，应该是没有接口响应吧。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 4][]

查看IPsec SA信息时，隧道下有一行Path MTU: 1428的信息，那就来验证一下MTU的大小吧。

![2021071420315542.png][]

测试发现实际最大能通过的报文大小为1400字节，1401字节及更大的报文无法通过。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 5][]

抓包发现IPsec设备发出的报文大小为1510字节，其中包含14字节的以太网报文头封装，内部数据长度为1496字节。还可以看到DF标志、隧道的源目地址以及ESP SPI等信息。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 6][]

安全协议数据封装格式如下表。我们采用的是ESP-Tunnel的方式，所以数据封装格式为：\[OUTER-IP\]\[ESP\]\[INNER-IP\]\[DATA\]\[ESP-T\]

![20210714203210759.png][]

再次对比数据包长度，减掉20字节的外部报文头，得到\[ESP\]\[INNER-IP\]\[DATA\]\[ESP-T\]部分长度为1476字节。再减掉ESP封装的SPI和序列号的8字节，还有1468字节。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 7][]

我们再反着考虑一下，这个1428字节是隧道的MTU，IPsec网关路由器接收到的报文是多大呢？

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 8][]

数据长度为1400字节，ICMP报文标志位长度为8字节，再加上IP报文头的20字节，长度正好是1428字节，也就是\[INNER-IP\]\[DATA\]的长度为1428字节。外层的14字节的以太网封装，进入设备之后就脱掉了，但是依然可以看到最外层封装的源MAC地址为PCA的MAC地址，目的MAC地址为网关设备的MAC地址。

再计算一下，\[ESP-T\]这段的长度应该是40字节吧？

# 总结 #

1、IPsec网关设备应用NAT时，要将IPsec保护的数据流量排除掉。因为接口下NAT优先级高于IPsec，会导致互访流量的源地址被转换为无法进入IPsec隧道；

2、ESP + Tunnel模式下，数据的封装格式为：\[OUTER-IP\]\[ESP\]\[INNER-IP\]\[DATA\]\[ESP-T\]。其中\[INNER-IP\]\[DATA\]长度受隧道MTU限制，报文的整体长度受IPsec网关设备出接口MTU限制。

3、ESP配置中的SPI和SA在两台IPsec网关设备的出入方向相反，需要注意。

4、如果感兴趣，可以看一下课后练习题巩固一下。

[https_www.h3c.com_cn_d_202103_1390179_30005_0.htm_Toc65521983]: https://www.h3c.com/cn/d_202103/1390179_30005_0.htm#_Toc65521983
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70]: /images/20221004/34d1ac46892846468c478c3f6e499296.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 1]: /images/20221004/f4058a2359124af58736e71bfa4c1f2a.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 2]: /images/20221004/030dcc0320f34609a33e2cefb5d2b708.png
[20210714203133306.png]: /images/20221004/c51d7600d76e4e6a994e4349c7a23ebc.png
[20210714203138793.png]: /images/20221004/ee3b23c8e58040c78612672c80bb00eb.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 3]: /images/20221004/eb5f4a8180174f718c69399ea1ea3972.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 4]: /images/20221004/8408bfba5fbe4fdea935accc1e881e1e.png
[2021071420315542.png]: /images/20221004/4edb79c8d0084b90a84cbee4c63b25e3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 5]: /images/20221004/5bf30ba17b744dbeb2f9b50ae6ac8745.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 6]: /images/20221004/4e10e4995d964d6e88c01f117b321df2.png
[20210714203210759.png]: /images/20221004/75ca247b6f9f48869a39a31870504bba.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 7]: /images/20221004/888b3a5c913b4d829d691244004deebc.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 8]: /images/20221004/41dddd3ca45d4ab895865e834cf4fb06.png

发表评论取消回复

表情：

评论列表（有 0 条评论，12人围观）

还没有评论，来说两句吧...

相关阅读

相关网络协议 — IPSec 安全隧道协议族

目录文章目录目录 IPSec 安全隧道协议族封装协议 Authentication Header 协议 Encap

电玩女神/ 2023年10月10日 22:11/ 0 赞/ 60 阅读

相关 IPv6进阶：IPv6 过渡技术之 6to4 自动隧道

实验拓扑 ![38031f035b786ab8fbb21c35123f77e8.png][] R1-R3-R2之间的网络为IPv4公网； PC1及PC2处于

迷南。/ 2023年10月07日 21:38/ 0 赞/ 35 阅读

相关 IPv4/IPv6协议分析实验报告

实验名称： IPv4/IPv6协议分析实验一、实验预习 1、实验目的利用抓包工具（Wireshark/Windump/Sniffer）抓取IPv4/IPv6

一时失言乱红尘/ 2023年09月26日 17:15/ 0 赞/ 144 阅读

相关 IPsec小实验：手工方式建立保护IPv4报文的IPsec-ESP隧道

前面用VXLAN和EVPN介绍了跨广域网大二层网络互通的方案，但是我们也发现这种新技术对设备的能力有要求，成本可能会提升。那能不能用简单一点的方案呢？相信机智的小伙伴已经发现我

红太狼/ 2023年01月23日 11:56/ 0 赞/ 13 阅读

相关 VXLAN小实验：静态方式手工建立隧道

前段时间刚部署好了eNSP，紧接着又看了VXLAN的文档，现在我们大概已经知道VXLAN隧道的建立方式分为手工创建和自动创建，放在华为设备上，配置方式可以分为静态方式和EVPN

「爱情、让人受尽委屈。」/ 2022年10月13日 01:52/ 0 赞/ 305 阅读

相关深入理解Linux网络技术内幕——IPv4 报文的传输发送

报文传输，指的是报文离开本机，发往其他系统的过程。传输可以由L4层协议发起，也可以由报文转发发起。在[深入理解Linux网络技术内幕——IPv4 报文的接收（转发与本地

旧城等待，/ 2022年08月08日 09:18/ 0 赞/ 233 阅读

相关华为 Router配置采用手工方式建立IPSec隧道

一、组网需求 1、如图所示，RouterA为企业分支网关，RouterB为企业总部网关，分支与总部通过公网建立通信。分支子网为10.1.1.0/24，总部子网为10.1.2.

超、凢脫俗/ 2022年05月22日 08:13/ 0 赞/ 196 阅读

相关使用setkey手工配置IPSec

需要在两个节点之间配置IPSec，由于对端A节点将IPSec命令封装了，所以本端B节点没有使用racoon自动协商生成IPsec SA，而采用setkey手工配置SA。如果两端

以你之姓@/ 2022年05月01日 12:30/ 0 赞/ 198 阅读

相关 IPv6 to IPv4 GRE隧道实验

实验拓扑 ![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV

爱被打了一巴掌/ 2022年03月10日 13:27/ 0 赞/ 420 阅读

相关华为USG5300 采用IKE安全策略方式建立IPSec隧道

组网需求：如图所示，网络A和网络B分别通过USG5300 A和USG5300 B与Internet相连。网络环境描述如下：网络A属于10.1.1.0/24子网，通

Myth丶恋晨/ 2022年03月07日 15:08/ 0 赞/ 459 阅读