【网络实战】IKE动态协商IPSec隧道：华为设备分支与总部安全互联

UID: 25503

【网络实战】IKE动态协商IPSec隧道：华为设备分支与总部安全互联

一、为什么需要IKE动态协商？

在实际企业网络中，分支机构和总部之间通过公网进行通信，数据安全是一个重要问题。IPSec隧道可以保护数据安全，但是手工配置IPSec隧道存在几个问题：
● 分支数量多时，配置工作量巨大
● 对端IP地址变化时需要手动修改
● SA（安全联盟）过期后需要手动维护

IKE（Internet Key Exchange，互联网密钥交换）动态协商方式可以自动完成IPSec隧道的建立、维护和密钥更新，大大简化了管理复杂度。

✅ IKE动态协商方式特点：
● 适合分支较多、IP地址动态变化的场景
● 自动协商密钥和SA参数
● 支持DPD（Dead Peer Detection）检测对端存活
● 配置简单，易于扩展

二、组网需求与场景描述

某企业总部（Headquarters）与分支（Branch）通过公网建立IPSec连接。需要考虑以下问题：
● 总部子网：10.1.0.0/24
● 分支子网：10.2.0.0/24
● 总部公网IP：191.2.1.1
● 分支公网IP：191.2.2.1

⚠️ 需要解决的安全问题：
● 如何检测IPSec对等体的存活情况？
● 如果一端SA被异常删除，另一端还在发送加密数据怎么办？
● 如何避免数据通信中断？

本方案通过配置DPD（Dead Peer Detection，死对等体检测）功能来解决以上问题。DPD可以实时检测对端是否存活，当检测到对端不可达时，会主动清除本端的IPSec SA，避免出现“半开隧道”导致的数据黑洞。

三、DPD技术原理解析

📖 DPD（Dead Peer Detection）工作原理：
● 按需检测（on-demand）：只有本端需要发送数据时，才会触发DPD检测。如果连续发送多个请求都没有收到响应，则认为对端已不可达。
● 周期性检测（periodic）：无论是否有数据发送，都会按照固定周期发送DPD检测报文。

当Branch上的链路断掉后，Headquarters如果向Branch发送数据，会发现数据无法加密发送，此时DPD功能会主动发起检测，确认对端不可达后，清除本端的IPSec SA，避免持续发送无效的加密数据。

四、配置思路

1. 配置接口IP地址及公网路由，确保公网可达
2. 配置ACL，定义需要IPSec保护的流量（两端互为镜像）
3. 配置IPSec安全提议（加密/认证算法）
4. 配置IKE安全提议（加密/认证/DH组）
5. 配置IKE对等体（对端地址、预共享密钥、DPD）
6. 配置IPSec安全策略并应用到公网接口
7. 配置私网路由，引导流量进入IPSec隧道

五、完整配置命令与逐条注释

1. Headquarters（总部）配置

1. 
   
2. # 配置设备名称
   
3. sysname Headquarters
   
4. 
   
5. # ==================== ACL：定义需要IPSec保护的流量 ====================
   
6. # 匹配从总部子网（10.1.0.0/24）到分支子网（10.2.0.0/24）的流量
   
7. acl number 3000
   
8. rule 0 permit ip source 10.1.0.0 0.0.0.255 destination 10.2.0.0 0.0.0.255
   
9. 
   
10. # ==================== IPSec安全提议 ====================
    
11. # 定义ESP协议的加密和认证算法（两端必须一致）
    
12. ipsec proposal def
    
13. esp authentication-algorithm sha2-256   # ESP认证算法
    
14. esp encryption-algorithm aes-192        # ESP加密算法（192位密钥）
    
15. 
    
16. # ==================== IKE安全提议 ====================
    
17. # 定义IKE协商使用的加密/认证算法和DH组
    
18. ike proposal 5
    
19. encryption-algorithm aes-cbc-128        # IKE加密算法（V200R008后改为aes-128）
    
20. dh group14                              # Diffie-Hellman组（group14安全性更高）
    
21. authentication-algorithm sha2-256       # IKE认证算法
    
22. 
    
23. # ==================== IKE对等体 ====================
    
24. # 配置与分支建立IKE协商的参数
    
25. ike peer Center v1                       # v1表示使用IKEv1版本
    
26. pre-shared-key cipher huawei            # 预共享密钥（两端必须一致）
    
27. remote-address 191.2.2.1                # 对端分支公网IP地址
    
28. dpd type on-demand                      # 配置DPD检测模式为按需检测
    
29. ike-proposal 5                          # 引用IKE安全提议
    
30. 
    
31. # ==================== IPSec安全策略 ====================
    
32. # isakmp表示使用IKE协商方式建立IPSec
    
33. ipsec policy center 1 isakmp
    
34. security acl 3000                       # 引用ACL，指定需要保护的流量
    
35. ike-peer Center                         # 引用IKE对等体
    
36. proposal def                            # 引用IPSec安全提议
    
37. 
    
38. # ==================== 接口配置 ====================
    
39. # 公网出接口：绑定IPSec安全策略
    
40. interface Ethernet1/0/0
    
41. ip address 191.2.1.1 255.255.255.0
    
42. ipsec policy center                     # 应用IPSec安全策略
    
43. 
    
44. # 私网接口：连接总部内网
    
45. interface Ethernet2/0/0
    
46. ip address 10.1.0.1 255.255.255.0
    
47. 
    
48. # ==================== 静态路由配置 ====================
    
49. # 目的地址是分支外网出口的静态路由（保证公网可达）
    
50. ip route-static 191.2.2.0 255.255.255.0 191.2.1.2
    
51. 
    
52. # 目的地址是分支内网的静态路由（引导私网流量进入IPSec隧道）
    
53. ip route-static 10.2.0.0 255.255.255.0 191.2.1.2
    
54. 
    
55. return
    

复制代码

2. Branch（分支）配置

1. 
   
2. # 配置设备名称
   
3. sysname Branch
   
4. 
   
5. # ==================== ACL：定义需要IPSec保护的流量 ====================
   
6. # 匹配从分支子网（10.2.0.0/24）到总部子网（10.1.0.0/24）的流量
   
7. # 注意：ACL规则需要与总部互为镜像
   
8. acl number 3000
   
9. rule 0 permit ip source 10.2.0.0 0.0.0.255 destination 10.1.0.0 0.0.0.255
   
10. 
    
11. # ==================== IPSec安全提议 ====================
    
12. # 算法必须与总部保持一致
    
13. ipsec proposal def
    
14. esp authentication-algorithm sha2-256
    
15. esp encryption-algorithm aes-192
    
16. 
    
17. # ==================== IKE安全提议 ====================
    
18. ike proposal 5
    
19. encryption-algorithm aes-cbc-128
    
20. dh group14
    
21. authentication-algorithm sha2-256
    
22. 
    
23. # ==================== IKE对等体 ====================
    
24. # 配置与总部建立IKE协商的参数
    
25. ike peer Branch v1                       # v1表示使用IKEv1版本
    
26. pre-shared-key cipher huawei            # 预共享密钥必须与总部一致
    
27. remote-address 191.2.1.1                # 对端总部公网IP地址
    
28. dpd type on-demand                      # 配置DPD检测模式为按需检测
    
29. ike-proposal 5
    
30. 
    
31. # ==================== IPSec安全策略 ====================
    
32. ipsec policy branch 1 isakmp
    
33. security acl 3000
    
34. ike-peer Branch
    
35. proposal def
    
36. 
    
37. # ==================== 接口配置 ====================
    
38. # 公网出接口：绑定IPSec安全策略
    
39. interface Ethernet1/0/0
    
40. ip address 191.2.2.1 255.255.255.0
    
41. ipsec policy branch                     # 应用IPSec安全策略
    
42. 
    
43. # 私网接口：连接分支内网
    
44. interface Ethernet2/0/0
    
45. ip address 10.2.0.1 255.255.255.0
    
46. 
    
47. # ==================== 静态路由配置 ====================
    
48. # 目的地址是总部外网出口的静态路由
    
49. ip route-static 191.2.1.0 255.255.255.0 191.2.2.2
    
50. 
    
51. # 目的地址是总部内网的静态路由
    
52. ip route-static 10.1.0.0 255.255.255.0 191.2.2.2
    
53. 
    
54. return
    

复制代码

六、IKE动态协商关键参数对照表

IKE动态协商需要两端参数严格匹配，以下是总部和分支的对应关系：

参数项	Headquarters（总部）	Branch（分支）	匹配要求
IPSec安全提议	def	def	算法必须一致
IKE安全提议	5	5	算法/DH组必须一致
预共享密钥	huawei	huawei	必须完全相同
本端公网IP	191.2.1.1	191.2.2.1	配置各自的公网IP
对端公网IP	191.2.2.1	191.2.1.1	互指对端IP
DPD模式	on-demand	on-demand	建议保持一致
ACL	10.1.0.0 → 10.2.0.0	10.2.0.0 → 10.1.0.0	互为镜像

⚠️ 特别注意：
● ACL规则需要互为镜像，否则流量无法触发IPSec保护
● 预共享密钥（huawei）两端必须完全相同
● IKE提议中的加密/认证算法和DH组必须一致
● DPD模式建议两端配置相同

七、验证配置结果

验证命令：

1. 
   
2. display ike sa verbose    # 查看IKE安全联盟详细信息
   
3. display ipsec sa          # 查看IPSec安全联盟
   
4. ping -a 10.1.0.1 10.2.0.1  # 测试私网连通性
   

复制代码

预期验证结果：

1. 查看IKE SA状态：

1. 
   
2. # 在Headquarters上执行
   
3. display ike sa verbose
   
4. 
   
5. IKE SA information:
   
6.   Conn-ID    Peer            VPN     Flag(s)   State      RemoteIP
   
7.   1          Branch          -       RD        Established 191.2.2.1
   
8. # Flag(s)字段为RD表示SA已建立成功
   

复制代码

2. 查看IPSec SA状态：

1. 
   
2. display ipsec sa
   
3. 
   
4. Interface: Ethernet1/0/0
   
5.   IPsec policy name: "center"
   
6.   Sequence number: 1
   
7.     Mode: ISAKMP
   
8.     Flow: (source 10.1.0.0/24, destination 10.2.0.0/24)
   
9.     SA established: Yes
   

复制代码

3. DPD功能验证：
● 当Branch上的链路断掉后，在Headquarters上执行Ping操作，可以看到Headquarters设备发出的DPD请求
● Headquarters会主动检测对端是否存活，确认不可达后清除本端IPSec SA

八、DPD功能详解与配置建议

📖 DPD两种模式对比：

模式	检测时机	适用场景
on-demand（按需检测）	本端有数据发送时	节省带宽，适合按需通信
periodic（周期性检测）	固定周期发送检测报文	需要快速感知对端状态

💡 配置建议：
● 分支数量多、流量不频繁 → 使用on-demand模式（本配置采用此模式）
● 对可靠性要求高、需要快速切换 → 使用periodic模式
● 两端DPD模式可以不一致，但建议配置相同以便排障

九、排障指南（新手常见问题）

故障现象	可能原因	解决方法
IKE SA协商失败	预共享密钥不一致或算法不匹配	检查两端密钥是否相同，IKE提议算法是否一致
IPSec SA协商失败	ACL不是互为镜像	检查两端ACL规则是否互为镜像
公网路由不可达	缺少静态路由	确保两端配置了指向对端公网IP的静态路由
DPD不生效	DPD未配置或模式不匹配	检查两端是否都配置了dpd命令，建议使用相同模式
版本命令差异	不同VRP版本命令不同	V200R008前使用"ike peer xxx v1"；V200R008后使用"ike peer xxx" + "version 1"

十、配置注意事项

⚠️ 关键点提醒：
● 分支的ACL需要与总部ACL互为镜像
● 总部和分支之间的外网地址必须路由可达
● 所有的IPSec策略都必须绑定在对应的外网出接口上
● IKE协商超时时间默认30秒，可根据网络质量调整
● 不同VRP版本的IKE对等体配置命令有差异，请注意版本适配

十一、IKE动态协商 vs 手工方式对比

对比项	IKE动态协商	手工方式
配置复杂度	低	中
密钥管理	自动协商、定期更新	手动配置、永久有效
扩展性	好，适合多分支	差，适合小规模
对端IP变化	自动适应	需要手动修改
SA生命周期	可配置超时自动更新	永久有效
资源占用	较高（需要协商）	低

十二、总结

本文通过IKE动态协商方式建立IPSec隧道，实现了分支与总部之间的安全加密通信，并配置了DPD死对等体检测功能来解决链路故障时的“半开隧道”问题。

核心配置要点：ACL定义流量 → IPSec安全提议 → IKE安全提议 → IKE对等体 → IPSec安全策略 → 接口绑定 → 静态路由，两端参数严格匹配即可自动建立隧道。

相比手工方式，IKE动态协商更适合分支较多、IP地址动态变化的场景，同时DPD功能可以有效提升IPSec隧道的可靠性。

互动提问

各位坛友，你在配置IKE动态协商IPSec隧道时，遇到过DPD配置不当导致隧道频繁抖动的问题吗？欢迎留言分享你的排障经验！

--- 鸿鹄论坛，一路同行 ---

UID: 714878

游客，如果您要查看本帖隐藏内容请登录