MSR系列路由器中心单IKE Peer、单IPSec策略及序号、多分支功能的配置.doc

MSR 系列路由器中心单 IKE Peer、单 IPSec 策略及序号、多分支功能的配置关键字：MSR; IPSec; IKE; 单策略序号; 多分支一、组网需求：3 台 MSR 连接在同一个二层链路上，RT1 作为 IPSec 响应方模拟总部；RT2和 RT4 作为 IPSec 发起方模拟分支；要求 RT1 只配置一个 IKE Peer、一个IPSec 策略序号设备清单：MSR 系列路由器 3 台二、组网图：三、配置步骤：RT1配置#//配置总部IKE Peer，注意不需要配置remote-address和remote-nameike peer branchpre-shared-key h3clocal-address 1.1.1.1#ipsec proposal def#//IPSec策略模板配置ipsec policy-template branch 1ike-peer branchproposal def#//IPSec策略配置ipsec policy hk 1 isakmp template branch#interface GigabitEthernet0/0port link-mode route//互联接口主地址，用于建立IKE连接和隧道封装外层IP地址ip address 1.1.1.1 255.255.255.0//接口下绑定IPSec策略ipsec policy hk#interface GigabitEthernet0/1port link-mode route//连接业务网段接口1ip address 10.1.1.1 255.255.255.0#interface GigabitEthernet1/0port link-mode route//连接业务网段接口2ip address 20.1.1.1 255.255.255.0#//默认路由，使流量进入G0/0ip route-static 0.0.0.0 0.0.0.0 1.1.1.254#RT2配置#//分支IKE Peer配置，必须要配置remoted-addressike peer centerpre-shared-key h3cremote-address 1.1.1.1local-address 1.1.1.2#ipsec proposal def#//IPSec策略配置，根据ACL3000定义的两条流建立两对IPSec SA（即IPSec隧道）ipsec policy hk 1 isakmpsecurity acl 3000ike-peer centerproposal def#//ACL 3000配置，定义了两条数据流acl number 3000rule 0 permit ip source 10.2.2.0 0.0.0.255 destination 10.1.1.0 0.0.0.255rule 5 permit ip source 20.2.2.0 0.0.0.255 destination 20.1.1.0 0.0.0.255#interface GigabitEthernet0/0port link-mode route//主地址，用于建立IKE和IPSec隧道外层封装IP地址ip address 1.1.1.2 255.255.255.0//接口绑定IPSec策略ipsec policy hk#interface GigabitEthernet0/1port link-mode route//连接业务网段接口1ip address 10.2.2.1 255.255.255.0#interface GigabitEthernet1/0port link-mode route//连接业务网段接口2ip address 20.2.2.1 255.255.255.0#//默认路由，使流量进入G0/0ip route-static 0.0.0.0 0.0.0.0 1.1.1.254#RT4配置#//分支IKE Peer配置，必须要配置remoted-addressike peer centerpre-shared-key h3cremote-address 1.1.1.1local-address 1.1.1.4#ipsec proposal def#//IPSec策略配置，根据ACL3000定义的两条流建立两对IPSec SA（即IPSec隧道）ipsec policy hk 1 isakmpsecurity acl 3000 ike-peer centerproposal def#//ACL 3000配置，定义了两条数据流acl number 3000rule 0 permit ip source 10.4.4.0 0.0.0.255 destination 10.1.1.0 0.0.0.255rule 5 permit ip source 20.4.4.0 0.0.0.255 destination 20.1.1.0 0.0.0.255#interface GigabitEthernet0/0port link-mode route//主地址，用于建立IKE和IPSec隧道外层封装IP地址ip address 1.1.1.4 255.255.255.0//接口绑定IPSec策略ipsec policy hk#interface GigabitEthernet0/1port link-mode route//连接业务网段接口1ip address 10.4.4.1 255.255.255.0#interface GigabitEthernet1/0port link-mode route//连接业务网段接口2ip address 20.4.4.1 255.255.255.0#//默认路由，使流量进入G0/0ip route-static 0.0.0.0 0.0.0.0 1.1.1.254#四、配置关键点：1) 总部采用模板方式建立 IPSec，在 IKE Peer 的配置中不要指定 Remote-address 和 Remote-Name；2) 总部和各个分支之间都采用相同的 Preshare-key。