【案例分享】企业常用IPSec VPN实现

企业通过IPSec VPN实现分支与总部安全通信的案例中，采用手工方式建立IPSec隧道，核心步骤包括组网规划、设备配置、策略匹配及验证，具体实现如下：

• 场景：企业分支（RouterA）与总部（RouterB）通过公网通信，需保护分支子网（10.1.1.0/24）与总部子网（10.1.2.0/24）间的流量安全。
• 解决方案：在RouterA与RouterB间建立IPSec隧道，采用手工方式配置，适用于维护网关较少的场景。
• 拓扑图：
  

• 命名与ACL配置：sysname RouterAacl number 3101 # 匹配分支到总部的流量 rule 5 permit ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255
• IPSec安全提议：ipsec proposal tran1 esp authentication-algorithm sha2-256 # 认证算法 esp encryption-algorithm aes-128 # 加密算法
• 手动安全策略：ipsec policy map1 10 manual security acl 3101 proposal tran1 tunnel local 1.1.1.1 # 分支外网IP tunnel remote 2.1.1.1 # 总部外网IP sa spi inbound esp 54321 # 入方向SPI sa string-key inbound esp cipher %^%#... # 入方向密钥（示例密钥） sa spi outbound esp 12345 # 出方向SPI sa string-key outbound esp cipher %^%#... # 出方向密钥（示例密钥）
• 接口与路由配置：interface GigabitEthernet1/0/0 ip address 1.1.1.1 255.255.255.0 ipsec policy map1 # 绑定IPSec策略interface GigabitEthernet2/0/0 ip address 10.1.1.1 255.255.255.0ip route-static 2.1.1.0 255.255.255.0 1.1.1.2 # 总部外网路由ip route-static 10.1.2.0 255.255.255.0 1.1.1.2 # 总部内网路由

• 命名与ACL配置：sysname RouterBacl number 3101 # 匹配总部到分支的流量（与分支ACL镜像） rule 5 permit ip source 10.1.2.0 0.0.0.255 destination 10.1.1.0 0.0.0.255
• IPSec安全提议（与分支一致）：ipsec proposal tran1 esp authentication-algorithm sha2-256 esp encryption-algorithm aes-128
• 手动安全策略：ipsec policy use1 10 manual security acl 3101 proposal tran1 tunnel local 2.1.1.1 # 总部外网IP tunnel remote 1.1.1.1 # 分支外网IP sa spi inbound esp 12345 # 入方向SPI（与分支出方向匹配） sa string-key inbound esp cipher %^%#... # 入方向密钥 sa spi outbound esp 54321 # 出方向SPI（与分支入方向匹配） sa string-key outbound esp cipher %^%#... # 出方向密钥
• 接口与路由配置：interface GigabitEthernet1/0/0 ip address 2.1.1.1 255.255.255.0 ipsec policy use1 # 绑定IPSec策略interface GigabitEthernet2/0/0 ip address 10.1.2.1 255.255.255.0ip route-static 1.1.1.0 255.255.255.0 2.1.1.2 # 分支外网路由ip route-static 10.1.1.0 255.255.255.0 2.1.1.2 # 分支内网路由

• 命令：在RouterA上执行display ipsec sa，查看IPSec隧道状态及参数（如SPI、加密算法、密钥等）。
• 预期结果：隧道状态为“Active”，且参数与配置一致，表明流量已通过IPSec加密传输。

1. ACL镜像匹配：分支与总部的ACL需互为镜像，确保双向流量均被匹配。
2. 路由可达性：总部与分支的外网地址需通过公网路由可达。
3. 策略绑定接口：IPSec策略必须绑定至外网出接口（如GigabitEthernet1/0/0）。
4. 预共享密钥一致：所有分支与总部间需使用相同的预共享密钥（如示例中的YsHsjx_202206）。
5. SPI唯一性：入方向与出方向的SPI需在两端设备上对应匹配（如分支出方向SPI 12345对应总部入方向SPI 12345）。

• 步骤1：定义ACL匹配流量方向。
• 步骤2：配置IPSec安全提议（算法、协议）。
• 步骤3：创建手动安全策略，指定隧道两端IP、SPI及密钥。
• 步骤4：将策略绑定至外网接口，并配置静态路由确保可达性。

总结：该案例通过手工配置IPSec隧道，实现了分支与总部内网流量的加密传输，核心在于ACL镜像、SPI/密钥匹配及路由配置。适用于小型企业或网关数量较少的场景，需严格遵循参数一致性原则以确保隧道正常建立。