具有动态端点的 IPsec 隧道

远程（动态对等方）发起与本地（瞻博网络）路由器的协商。本地路由器使用默认 IKE 和 IPsec 策略来匹配远程对等方发送的提议，以协商安全关联 （SA） 值。隐式提议包含本地路由器期望从所有动态对等方获得的所有受支持转换的列表。

如果使用预共享密钥身份验证，则预共享密钥对于服务集是全局的。为对等方查找预共享密钥时，本地路由器会将对等方的源地址与该服务集中任何显式配置的预共享密钥进行匹配。如果未找到匹配项，本地路由器将使用全局预共享密钥进行身份验证。

身份验证的第 2 阶段将对等方发送的受保护主机和网络的 代理身份 与配置的代理身份列表进行匹配。接受的代理身份用于创建用于加密流量的动态规则。您可以通过在 IKE 访问配置文件中包含 allowed-proxy-pair 该语句来配置代理身份。如果没有匹配的条目，则拒绝协商。

如果未配置该 allowed-proxy-pair 语句，将应用默认值 ANY(0.0.0.0/0)-ANY ，并且本地路由器接受对等方发送的任何代理身份。IPv4 和 IPv6 地址都可以接受，但您必须手动配置所有 IPv6 地址。

第 2 阶段协商成功完成后，路由器将构建动态规则，并使用接受的代理身份将反向路由插入到路由表中。

与动态对等方成功协商后，密钥管理进程 （kmd） 会为接受的第 2 阶段代理创建动态规则，并将其应用到本地 AS 或多服务 PIC 上。源地址和目标地址由接受的代理指定。此规则用于对定向至第 2 阶段代理身份中其中一个终端主机的流量进行加密。

动态规则包括一个 ipsec-inside-interface 值，即分配给动态隧道的接口名称。 source-address 从代理 ID 中接受 and destination-address 值。此 match-direction 值适用于 input 下一跳样式服务集。

静态隧道的规则查找不受动态规则存在的影响;它将按配置的顺序执行。收到服务集的数据包时，始终首先匹配静态规则。

静态规则的规则匹配失败后，将匹配动态规则。

对不工作对等方检测 （DPD） hello 消息的响应方式与静态对等方相同。不支持从动态对等方发起 DPD hello 消息。

静态路由会自动插入到受远程隧道端点保护的网络和主机的路由表中。这些受保护的主机和网络被称为远程代理身份。

所有路由均会根据对等方发送的远程代理网络和掩码创建，并在第 1 阶段和第 2 阶段协商成功后插入到相关路由表中。

每个静态反向路由的路由优先级为 1。为了避免与路由协议进程 （rpd） 可能添加的类似路由发生冲突，需要使用此值。

如果接受的远程代理地址是默认值 （），0.0.0.0/0则不添加任何路由。在这种情况下，您可以在 IPsec 隧道上运行路由协议来了解路由，并为希望通过此隧道保护的流量添加静态路由。

对于下一跳样式的服务集，反向路由包括指向语句指定 inside-service-interface 位置的下一跳。

插入这些路由的路由表取决于位置的列出位置 inside-service-interface 。如果 VPN 路由和转发 （VRF） 实例中存在这些接口，则会将路由添加到相应的 VRF 表中;否则，路由将添加到 inet.0。

对于所有动态对等方，每个服务集只能配置一个隧道配置文件。配置文件中配置的预共享密钥用于对在该服务集中终止的所有动态对等方进行 IKE 身份验证。或者，您可以包含以下 ike-policy 语句来引用您使用特定标识值或通配符（选项 any-remote-id ）定义的 IKE 策略。您可以在层次结构级别配置 [edit services ipsec-vpn ike] IKE 策略。

IKE 隧道配置文件指定完成 IKE 协商所需的所有信息。每个协议在 client 语句中都有自己的语句层次结构，用于配置特定于协议的属性值对，但每个配置文件只允许一个客户端配置。以下是层次结构级别的 [edit access] 配置;有关访问配置文件的更多信息，请参阅路由 设备的 Junos OS 管理库。

以下语句构成 IKE 配置文件：

• allowed-proxy-pair— 在第 2 阶段 IKE 协商期间，远程对等方提供其网络地址 （remote） 及其对等方的网络地址 （local）。由于多个动态隧道通过同一机制进行身份验证，因此此语句必须包含可能的组合列表。如果动态对等方未提供有效组合，则第 2 阶段 IKE 协商将失败。

  默认情况下， remote 0.0.0.0/0 local 0.0.0.0/0 如果未配置任何值，则使用。此配置支持 IPv4 和 IPv6 地址格式，但没有默认 IPv6 地址。您必须指定偶数 0::0/0。

• pre-shared-key— 在 IKE 第 1 阶段协商期间用于对动态对等方进行身份验证的密钥。通过带外安全机制，两端都知道该密钥。您可以配置该值 或 hexadecimal ascii-text 格式。这是一个强制性值。

• ike-policy— 定义与允许的动态对等方对应的远程识别值的策略;可以包含仅用于动态端点配置的通配符值 any-remote-id 。

• interface-id— 接口标识符，用于派生会话的逻辑服务接口信息的必填属性。

• ipsec-policy— 定义会话的 IPsec 策略信息的 IPsec 策略的名称。您可以在层次结构级别定义 [edit services ipsec-vpn ipsec policy policy-name] IPsec 策略。如果未设置策略，则接受动态对等方提议的任何策略。

要完成配置，需要引用在层次结构级别配置[edit access]的 IKE 访问配置文件。为此，请在[edit services service-set name ipsec-vpn-options]层次结构级别包含该ike-access-profile语句：

该ike-access-profile语句引用的名称必须与您在层次结构级别上[edit access]为 IKE 访问配置的profile语句相同的名称。在每个服务集中只能引用一个访问配置文件。此配置文件仅用于与动态对等方协商 IKE 和 IPsec 安全关联。

该语句在服务集中引用 inside-service-interface 的所有接口都必须属于同一个 VRF 实例。

您可以为一组动态对等方配置一个接口标识符，用于指定哪些自适应服务逻辑接口参与动态 IPsec 协商。通过将同一接口标识符分配给多个逻辑接口，您可以为此目的创建一个接口池。要配置接口标识符，请在层次结构级别包括ipsec-interface-id[edit interfaces interface-name unit logical-unit-number dial-options]语句和 dedicated or shared 语句：

在语句中 dial-options 指定接口标识符会使此逻辑接口成为由语句标识的 ipsec-interface-id 池的一部分。

如果配置shared模式，则允许在多个隧道之间共享一个逻辑接口。该dedicated语句指定在专用模式下使用逻辑接口，这在配置 IPsec 链路类型隧道时是必需的。指定ipsec-interface-id值时必须包含该dedicated语句。

软件包括隐式默认 IKE 和 IPsec 提议，以匹配动态对等方发送的提议。这些值如 表 1 所示;如果显示多个值，则第一个值为默认值。

从 Junos OS 16.2R1 版开始，您可以在多个 MS-MIC 之间或 MS-MPC 的多个服务 PIC 之间分配带有动态端点的 IPsec 隧道。可以通过为每个服务 PIC 的多服务 （ms-） 接口配置下一跃点 IPsec 服务集来配置隧道分布。从 Junos OS 17.1R1 版开始，您还可以通过为每个 AMS 接口配置下一跃点 IPsec 服务集，在 MS-MIC 或 MS-MPC 的聚合多服务 （AMS） 接口之间分配带有动态端点的 IPsec 隧道。

稍后，您只需添加另一个服务集，即可将服务 PIC 硬件添加到 MX 系列路由器，并将服务 PIC 包含在隧道分布中，而无需更改 IPsec 对等方的配置。

要配置隧道分布，请在配置动态端点 IPsec 隧道时执行以下步骤：

• 为动态端点 IPsec 隧道使用的每个服务接口或 AMS 接口配置下一跃点 IPsec 服务集（请参阅引用 服务集中的 IKE 访问配置文件）。所有服务集都必须：

  • 使用相同类型的服务接口，可以是多服务 （MS-） 接口，也可以是 AMS （AMS-） 接口。

  • 语句中的 outside-service 接口与其他服务集中的接口位于同一 VPN 路由和转发 （VRF） 实例中。

  • 具有相同的 local-gateway IP 地址。

  • 具有相同的 ike-access-profile 名称。

• 配置接口标识符时（请参阅 配置接口标识符）， ipsec-interface-id identifier 必须配置：

  • 仅在服务集语句中 inside-service-set 出现的接口下。

  • dedicated用于所有接口或shared用于所有接口。

  • 在一个接口的不超过一个共享单元下。

  • 仅在配置了 service-domain inside的接口下。

  • 仅限在同一 VRF 中的接口下。