Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
 

在运行 Junos OS 的设备上配置 VPN

本节介绍使用以下 IKE 身份验证方法在 Junos OS 设备上的 IPsec VPN 配置示例：

在运行 Junos OS 的设备上配置 VPN 概述

本节介绍使用以下 IKE 身份验证方法在 Junos OS 设备上的 IPsec VPN 配置示例：

图 1 说明了本节所述所有示例中使用的 VPN 拓扑。在这里，H0 和 H1 是主机 PC，R0 和 R2 是 IPsec VPN 隧道的两个端点，R1 是在两个不同网络之间路由流量的路由器。

注意：

路由器 R1 可以是基于 Linux 的路由器、瞻博网络设备或任何其他供应商路由器。
图 1：VPN 拓扑 VPN Topology

表 1 提供了支持的 IKE 协议、隧道模式、第 1 阶段协商模式、身份验证方法或算法、加密算法、IKE 身份验证和加密（第 1 阶段，IKE 建议）以及 IPsec 身份验证和加密（第 2 阶段，IPsec 建议）支持的 DH 组的完整列表。列出的协议、模式和算法是 22.2 R1 通用标准支持和必需的。

表 1：VPN 组合矩阵

IKE 协议

隧道模式

第 1 阶段协商模式

第 1 阶段提案（P1、IKE）

身份验证方法

身份验证算法

DH集团

加密算法

IKEv1

主要

路线

预共享密钥

SHA-256

组14

IKEv2

    

RSA 签名-2048

SHA-384

组19

AES-128-CBC
     

ECDSA 签名-256

  

组20

AES-128-GCM
     

ECDSA 签名-384

  

组24

AES-192-CBC
           

AES-256-CBC
           

AES-256-GCM
             

IKE 协议

隧道模式

第 1 阶段协商模式

第 2 阶段提议（P2、IPsec）

身份验证算法

卫生署集团

加密方法

加密算法

IKEv1

主要

路线

HMAC-SHA1-96

组14

Esp

3DES-CBC

IKEv2

    

HMAC-SHA-256-128

组19

  

AES-128-CBC
       

组20

  

AES-128-GCM
       

组24

  

AES-192-CBC
           

AES-192-GCM
           

AES-256-CBC
           

AES-256-GCM
注意：

以下部分提供了所选算法的 IKEv1 IPsec VPN 示例配置示例。可以在配置中替换身份验证和加密算法，以实现用户所需的配置。将命令用于 set security ike gateway <gw-name> version v2-only IKEv2 IPsec VPN。

使用用于 IKE 身份验证的预共享密钥配置 IPsec VPN

在本节中，您将使用预共享密钥作为 IKE 身份验证方法，配置运行 IPsec VPN Junos OS 的设备。IKE 或 IPsec 身份验证或加密中使用的算法如表 2 所示

表 2：IKE 或 IPsec 身份验证和加密

IKE 协议

隧道模式

第 1 阶段协商模式

第 1 阶段提案（P1、IKE）

身份验证方法

身份验证算法

DH集团

加密算法

IKEv1

主要

路线

预共享密钥

SHA-256

组14

AES-256-CBC

IKE 协议

隧道模式

第 1 阶段协商模式

第 2 阶段提议（P2、IPsec）

身份验证算法

卫生署集团

加密方法

加密算法

IKEv1

主要

路线

HMAC-SHA-256-128

组14

Esp

AES-256-CBC
注意：

运行 Junos OS 的设备使用基于证书的身份验证或预共享密钥来实现 IPsec。TOE 接受最多 255 个字符（及其二进制等效项）的 ASCII 预共享或基于位的密钥，这些密钥包含大写和小写字母、数字和特殊字符，例如 ！、@、#、$、%^、&、*、（ 和 ）。设备接受预共享文本密钥，并根据配置为 IKE 交换哈希算法的 RFC 2409 或 IKEv2 的 RFC 4306 将文本字符串转换为身份验证值。Junos OS 未对预共享密钥施加最低复杂性要求。因此，建议用户仔细选择足够复杂的长预共享密钥。

使用预共享密钥配置的 IPsec VPN 作为启动器上的 IKE 身份验证

要在启动器上使用预共享密钥 IKE 身份验证配置 IPsec VPN，请执行以下操作：

  1. 配置 IKE 提议。

    ike-proposal1下面是授权管理员提供的 IKE 提议名称。

  2. 配置 IKE 策略。

    此处是 ike-policy1 IKE 策略名称， ike-proposal1 也是授权管理员提供的 IKE 提议名称。 出现提示时，您必须输入并重新输入预共享密钥。例如，预共享密钥可以是 CertSqa@jnpr2014。

    也可以以十六进制格式输入预共享密钥。例如：

    在这里，十六进制预共享密钥可以是 cc2014bae9876543。

  3. 配置 IPsec 提议。

    ipsec-proposal1下面是授权管理员提供的 IPsec 提议名称。

  4. 配置 IPsec 策略。

    此处是 ipsec-policy1 IPsec 策略名称， ipsec-proposal1 也是授权管理员提供的 IPsec 提议名称。

  5. 配置 IKE。

    此处是 gw1 IKE 网关名称，是对等方 VPN 端点 IP，是本地 VPN 端点 IP， 192.0.2.8 192.0.2.5 ge-0/0/2 是作为 VPN 端点的本地出站接口。对于 IKEv2，还需要以下附加配置

  6. 配置 VPN。

    vpn1下面是授权管理员提供的 VPN 隧道名称。

  7. 配置出站流策略。

    此处和 trustZone untrustZone 是预配置的安全区域和 trustLan 预 untrustLan 配置的网络地址。

  8. 配置入站流策略。

    此处和 trustZone untrustZone 是预配置的安全区域和 trustLan 预 untrustLan 配置的网络地址。

  9. 提交配置。

使用预共享密钥配置IPsec VPN 作为响应程序上的 IKE 身份验证

要在响应程序上使用预共享密钥 IKE 身份验证配置 IPsec VPN，请执行以下操作：

  1. 配置 IKE 提议。

    注意：

    ike-proposal1下面是授权管理员提供的 IKE 提议名称。

  2. 配置 IKE 策略。

    注意：

    此处是 ike-policy1 IKE 策略名称， ike-proposal1 也是授权管理员提供的 IKE 提议名称。
    注意：

    出现提示时，您必须输入并重新输入预共享密钥。例如，预共享密钥可以是 CertSqa@jnpr2014。
    注意：

    也可以以十六进制格式输入预共享密钥。例如，

    在这里，十六进制预共享密钥可以是 cc2014bae9876543。

  3. 配置 IPsec 提议。

    注意：

    ipsec-proposal1下面是授权管理员提供的 IPsec 提议名称。

  4. 配置 IPsec 策略。

    注意：

    此处是 ipsec-policy1 IPsec 策略名称， ipsec-proposal1 也是授权管理员提供的 IPsec 提议名称。

  5. 配置 IKE。

    注意：

    此处是 gw1 IKE 网关名称，是对等方 VPN 端点 IP，是本地 VPN 端点 IP， 192.0.2.5 192.0.2.8 ge-0/0/2 是作为 VPN 端点的本地出站接口。对于 IKEv2，还需要以下附加配置。

  6. 配置 VPN。

    注意：

    vpn1下面是授权管理员提供的 VPN 隧道名称。

  7. 配置出站流策略。

    注意：

    此处和 trustZone untrustZone 是预配置的安全区域和 trustLan 预 untrustLan 配置的网络地址。

  8. 配置入站流策略。

    注意：

    此处和 trustZone untrustZone 是预配置的安全区域和 trustLan 预 untrustLan 配置的网络地址。

  9. 提交配置。

使用 RSA 签名配置 IPsec VPN 以进行 IKE 身份验证

以下部分提供了使用 RSA 签名作为 IKE 身份验证方法为 IPsec VPN 配置 Junos OS 设备的示例，而 IKE/IPsec 身份验证/加密中使用的算法如下表所示。在本节中，您将使用 RSA 签名作为 IKE 身份验证方法，配置运行 Junos OS 的 IPsec VPN 的设备。IKE 或 IPsec 身份验证或加密中使用的算法如 表 3 所示。

表 3：IKE/IPsec 身份验证和加密

IKE 协议

隧道模式

第 1 阶段协商模式

第 1 阶段提案（P1、IKE）

身份验证方法

身份验证算法

DH集团

加密算法

IKEv1

主要

路线

RSA 签名-2048

SHA-256

组19

AES-128-CBC

IKE 协议

隧道模式

第 1 阶段协商模式

第 2 阶段提议（P2、IPsec）

身份验证算法

卫生署集团

加密方法

加密算法

IKEv1

主要

路线

HMAC-SHA-256-128

组19

Esp

AES-128-CBC

将带有 RSA 签名的 IPsec VPN 配置为发起方或响应方上的 IKE 身份验证

要在启动器上使用 RSA 签名 IKE 身份验证配置 IPsec VPN，请执行以下操作：

  1. 配置 PKI。请参阅 示例：配置 PKI。

  2. 生成 RSA 密钥对。请参阅 示例：生成公钥-私钥对。

  3. 生成并加载 CA 证书。请参阅 示例：手动加载 CA 和本地证书。

  4. 加载 CRL。请参阅 示例：手动将 CRL 加载到设备上 。

  5. 生成并加载本地证书。请参阅 示例：手动加载 CA 和本地证书。

  6. 配置 IKE 提议。

    注意：

    此处是 ike-proposal1 授权管理员提供的名称。

  7. 配置 IKE 策略。

    注意：

    此处为 ike-policy1 授权管理员提供的 IKE 策略名称。

  8. 配置 IPsec 提议。

    注意：

    此处是 ipsec-proposal1 授权管理员提供的名称。

  9. 配置 IPsec 策略。

    注意：

    此处是 ipsec-policy1 授权管理员提供的名称。

  10. 配置 IKE。

    注意：

    此处为 192.0.2.8 对等方 VPN 端点 IP、 192.0.2.5 本地 VPN 端点 IP， fe-0/0/1 以及作为 VPN 端点的本地出站接口。IKEv2 也需要以下配置。

  11. 配置 VPN。

    注意：

    vpn1下面是授权管理员提供的 VPN 隧道名称。

  12. 配置出站流策略。

    注意：

    此处和 trustZone untrustZone是预配置的安全区域和和trustLanuntrustLan是预配置的网络地址。

  13. 配置入站流策略。

    注意：

    此处和 trustZone untrustZone 是预配置的安全区域和 trustLan 预 untrustLan 配置的网络地址。

  14. 提交配置。

使用 ECDSA 签名配置 IPsec VPN 以进行 IKE 身份验证

在本节中，您将使用 ECDSA 签名作为 IKE 身份验证方法，配置运行 Junos OS 的 IPsec VPN 的设备。IKE 或 IPsec 身份验证或加密中使用的算法如 表 4 所示。

表 4：IKE 或 IPsec 身份验证和加密

IKE 协议

隧道模式

第 1 阶段协商模式

第 1 阶段提案（P1、IKE）

身份验证方法

身份验证算法

DH集团

加密算法

IKEv1

主要

路线

ECDSA 签名-256

SHA-384

组14

AES-256-CBC

IKE 协议

隧道模式

第 1 阶段协商模式

第 2 阶段提议（P2、IPsec）

身份验证算法

卫生署集团

加密方法

加密算法

IKEv1

主要

路线

无算法

组14

Esp

AES-256-GCM

在启动器上使用 ECDSA 签名 IKE 身份验证配置 IPsec VPN

要在启动器上使用 ECDSA 签名 IKE 身份验证配置 IPsec VPN，请执行以下操作：

  1. 配置 PKI。请参阅 示例：配置 PKI。

  2. 生成 RSA 密钥对。请参阅 示例：生成公钥-私钥对。

  3. 生成并加载 CA 证书。请参阅 示例：手动加载 CA 和本地证书。

  4. 加载 CRL。请参阅 示例：手动将 CRL 加载到设备上 。

  5. 生成并加载本地证书。请参阅 示例：手动加载 CA 和本地证书。

  6. 配置 IKE 提议。

    注意：

    ike-proposal1下面是授权管理员提供的 IKE 提议名称。

  7. 配置 IKE 策略。

  8. 配置 IPsec 提议。

    注意：

    ipsec-proposal1下面是授权管理员提供的 IPsec 提议名称。

  9. 配置 IPsec 策略。

    注意：

    此处是 ipsec-policy1 IPsec 策略名称， ipsec-proposal1 也是授权管理员提供的 IPsec 提议名称。

  10. 配置 IKE。

    注意：

    此处是 gw1 IKE 网关名称，是对等方 VPN 端点 IP，是本地 VPN 端点 IP， 192.0.2.8 192.0.2.5 ge-0/0/2 是作为 VPN 端点的本地出站接口。IKEv2 也需要以下配置。

  11. 配置 VPN。

    注意：

    vpn1下面是授权管理员提供的 VPN 隧道名称。

  12. 配置出站流策略。

    注意：

    此处和 trustZone untrustZone 是预配置的安全区域和 trustLan 预 untrustLan 配置的网络地址。

  13. 配置入站流策略。

    注意：

    此处和 trustZone untrustZone 是预配置的安全区域和 trustLan 预 untrustLan 配置的网络地址。

  14. 提交配置。

在响应程序上使用 ECDSA 签名 IKE 身份验证配置 IPsec VPN

要在响应方上使用 ECDSA 签名 IKE 身份验证配置 IPsec VPN，请执行以下操作：

  1. 配置 PKI。请参阅 示例：配置 PKI。

  2. 生成 ECDSA 密钥对。请参阅 示例：生成公钥-私钥对。

  3. 生成并加载 CA 证书。请参阅 示例：手动加载 CA 和本地证书。

  4. 加载 CRL。请参阅 示例：手动将 CRL 加载到设备上 。

  5. 配置 IKE 提议。

    注意：

    ike-proposal1下面是授权管理员提供的 IKE 提议名称。

  6. 配置 IKE 策略。

  7. 配置 IPsec 提议。

    注意：

    ipsec-proposal1下面是授权管理员提供的 IPsec 提议名称。

  8. 配置 IPsec 策略。

    注意：

    此处是 ipsec-policy1 IPsec 策略名称， ipsec-proposal1 也是授权管理员提供的 IPsec 提议名称。

  9. 配置 IKE。

    注意：

    此处是 gw1 IKE 网关名称，是对等方 VPN 端点 IP，是本地 VPN 端点 IP， 192.0.2.5 192.0.2.8 ge-0/0/1 是作为 VPN 端点的本地出站接口。IKEv2 也需要以下配置。

  10. 配置 VPN。

    注意：

    vpn1下面是授权管理员提供的 VPN 隧道名称。

  11. 配置出站流策略。

    注意：

    此处和 trustZone untrustZone 是预配置的安全区域和 trustLan 预 untrustLan 配置的网络地址。

  12. 配置入站流策略。

    注意：

    此处和 trustZone untrustZone 是预配置的安全区域和 trustLan 预 untrustLan 配置的网络地址。

  13. 提交配置。

参见