2024年3月29日发(作者：)

1. 组网需求

在Router A和Router B之间建立一个安全隧道，对Host A所在的子网（10.1.1.0/24）与

Host B所在的子网（10.1.2.0/24）之间的数据流进行安全保护。



安全协议采用ESP协议，加密算法采用DES，认证算法采用SHA1-HMAC-96。



2. 组网图

图1-7 IPsec配置组网图

3. 配置步骤

(1) 配置Router A

# 配置一个访问控制列表，定义由子网10.1.1.0/24去子网10.1.2.0/24的数据流。

system-view

[RouterA] acl number 3101

[RouterA-acl-adv-3101] rule permit ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255

[RouterA-acl-adv-3101] quit

# 配置到Host B的静态路由。

[RouterA] ip route-static 10.1.2.0 255.255.255.0 serial 2/1

# 创建名为tran1的安全提议。

[RouterA] ipsec proposal tran1

# 报文封装形式采用隧道模式。

[RouterA-ipsec-proposal-tran1] encapsulation-mode tunnel

# 安全协议采用ESP协议。

[RouterA-ipsec-proposal-tran1] transform esp

# 选择算法。

[RouterA-ipsec-proposal-tran1] esp encryption-algorithm des

[RouterA-ipsec-proposal-tran1] esp authentication-algorithm sha1

[RouterA-ipsec-proposal-tran1] quit

# 创建一条安全策略，协商方式为manual。

[RouterA] ipsec policy map1 10 manual

# 引用访问控制列表。

[RouterA-ipsec-policy-manual-map1-10] security acl 3101

# 引用安全提议。

[RouterA-ipsec-policy-manual-map1-10] proposal tran1

# 配置对端地址。

[RouterA-ipsec-policy-manual-map1-10] tunnel remote 2.2.3.1

# 配置本端地址。

[RouterA-ipsec-policy-manual-map1-10] tunnel local 2.2.2.1

# 配置SPI。

[RouterA-ipsec-policy-manual-map1-10] sa spi outbound esp 12345

[RouterA-ipsec-policy-manual-map1-10] sa spi inbound esp 54321

# 配置密钥。

[RouterA-ipsec-policy-manual-map1-10] sa string-key outbound esp abcdefg

[RouterA-ipsec-policy-manual-map1-10] sa string-key inbound esp gfedcba

[RouterA-ipsec-policy-manual-map1-10] quit

# 配置串口的IP地址。

[RouterA] interface serial 2/1

[RouterA-Serial2/1] ip address 2.2.2.1 255.255.255.0

# 在串口上应用安全策略组。

[RouterA-Serial2/1] ipsec policy map1

(2) 配置Router B

# 配置一个访问控制列表，定义由子网10.1.2.0/24去子网10.1.1.0/24的数据流。

system-view

[RouterB] acl number 3101

[RouterB-acl-adv-3101] rule permit ip source 10.1.2.0 0.0.0.255 destination

10.1.1.0 0.0.0.255

[RouterB-acl-adv-3101] quit

# 配置到HostA的静态路由。

[RouterB] ip route-static 10.1.1.0 255.255.255.0 serial 2/2

# 创建名为tran1的安全提议。

[RouterB] ipsec proposal tran1

# 报文封装形式采用隧道模式。

[RouterB-ipsec-proposal-tran1] encapsulation-mode tunnel

# 安全协议采用ESP协议。

[RouterB-ipsec-proposal-tran1] transform esp

# 选择算法。

[RouterB-ipsec-proposal-tran1] esp encryption-algorithm des

[RouterB-ipsec-proposal-tran1] esp authentication-algorithm sha1

[RouterB-ipsec-proposal-tran1] quit

# 创建一条安全策略，协商方式为manual。

[RouterB] ipsec policy use1 10 manual

# 引用访问控制列表。

[RouterB-ipsec-policy-manual-use1-10] security acl 3101

# 引用安全提议。

[RouterB-ipsec-policy-manual-use1-10] proposal tran1

# 配置对端地址。

[RouterB-ipsec-policy-manual-use1-10] tunnel remote 2.2.2.1

# 配置本端地址。

[RouterB-ipsec-policy-manual-use1-10] tunnel local 2.2.3.1

# 配置SPI。

[RouterB-ipsec-policy-manual-use1-10] sa spi outbound esp 54321

[RouterB-ipsec-policy-manual-use1-10] sa spi inbound esp 12345

# 配置密钥。

[RouterB-ipsec-policy-manual-use1-10] sa string-key outbound esp

gfedcba

[RouterB-ipsec-policy-manual-use1-10] sa string-key inbound esp abcdefg

[RouterB-ipsec-policy-manual-use1-10] quit

# 配置串口的IP地址。

[RouterB] interface serial 2/2

[RouterB-Serial2/2] ip address 2.2.3.1 255.255.255.0

# 在串口上应用安全策略组。

[RouterB-Serial2/2] ipsec policy use1

4. 验证配置结果

以上配置完成后，Router A和Router B之间的安全隧道就建立好了，子网10.1.1.0/24与子网

10.1.2.0/24之间的数据流将被加密传输。