具有动态端点的 IPsec 隧道

远程（动态对等方）发起与本地（瞻博网络）路由器的协商。本地路由器使用默认 IKE 和 IPsec 策略来匹配远程对等方发送的提议，以协商安全关联 （SA） 值。隐式提议包含本地路由器期望从所有动态对等方获得的所有受支持转换的列表。

如果使用预共享密钥身份验证，则预共享密钥对于服务集是全局的。为对等方查找预共享密钥时，本地路由器会将对等方的源地址与该服务集中任何显式配置的预共享密钥进行匹配。如果未找到匹配项，本地路由器将使用全局预共享密钥进行身份验证。

身份验证的第 2 阶段根据配置的代理身份列表匹配对等方发送的受保护主机和网络的 代理身份 。接受的代理身份用于创建用于加密流量的动态规则。您可以通过将语句包含在 allowed-proxy-pair IKE 访问配置文件中来配置代理身份。如果没有条目匹配，协商将被拒绝。

如果未配置该 allowed-proxy-pair 语句，将应用默认值 ANY(0.0.0.0/0)-ANY ，并且本地路由器将接受对等方发送的任何代理身份。接受 IPv4 和 IPv6 地址，但必须手动配置所有 IPv6 地址。

第 2 阶段协商成功完成后，路由器将构建动态规则，并使用接受的代理身份将反向路由插入路由表。

与动态对等方成功协商后，密钥管理进程 （kmd） 将为接受的第 2 阶段代理创建动态规则，并将其应用于本地 AS 或多服务 PIC。源地址和目标地址由接受的代理指定。此规则用于对定向到第 2 阶段代理身份中的某个终端主机的流量进行加密。

动态规则包含一个 ipsec-inside-interface 值，该值是分配给动态隧道的接口名称。 source-address 从代理 ID 中接受和 destination-address 值。该 match-direction 值适用于 input 下一跃点样式的服务集。

静态隧道的规则查找不受动态规则存在的影响;按配置的顺序执行。当收到服务集的数据包时，静态规则总是首先匹配。

静态规则的规则匹配失败后，将匹配动态规则。

动态对等方检测 （DPD） hello 消息的响应方式与静态对等方相同。不支持从动态对等方发起 DPD hello 消息。

对于受远程隧道端点保护的网络和主机，静态路由会自动插入到路由表中。这些受保护的主机和网络称为远程代理身份。

每个路由都是基于对等方发送的远程代理网络和掩码创建的，并在第 1 阶段和第 2 阶段协商成功后插入到相关路由表中。

每个静态反向路由的路由优先级为 1。此值是必需的，以避免与路由协议进程 （rpd） 可能添加的类似路由发生冲突。

如果接受的远程代理地址是默认值 （0.0.0.0/0），则不会添加任何路由。在这种情况下，您可以通过 IPsec 隧道运行路由协议来学习路由，并为要通过此隧道保护的流量添加静态路由。

对于下一跃点样式的服务集，反向路由包括指向语 inside-service-interface 句指定位置的下一跃点。

要在其中插入这些路由的路由表取决于位置的 inside-service-interface 列出位置。如果 VPN 路由和转发 （VRF） 实例中存在这些接口，则路由会添加到相应的 VRF 表中;否则，路由将添加到 inet.0。

对于所有动态对等方，每个服务集只能配置一个隧道配置文件。配置文件中配置的预共享密钥用于对在该服务集中终止的所有动态对等方进行 IKE 身份验证。或者，您可以包含 ike-policy 语句以引用您使用特定标识值或通配符（选项） any-remote-id 定义的 IKE 策略。您可以在 [edit services ipsec-vpn ike] 层次结构级别配置 IKE 策略。

IKE 隧道配置文件指定完成 IKE 协商所需的所有信息。每个协议在客户端语句中都有自己的语句层次结构，用于配置特定于协议的属性值对，但每个配置文件只允许一个客户端配置。以下是层次结构级别的配置 [edit access] ;有关访问配置文件的详细信息，请参阅 路由设备的 Junos OS 管理库。

IKE 配置文件由以下语句组成：

• allowed-proxy-pair- 在第 2 阶段 IKE 协商期间，远程对等方提供其网络地址 （remote） 和对等方的网络地址 （local）。由于通过同一机制对多个动态隧道进行验证，因此此语句必须包含可能的组合列表。如果动态对等方未提供有效的组合，则第 2 阶段 IKE 协商将失败。

  默认情况下，如果未配置任何值， remote 0.0.0.0/0 local 0.0.0.0/0 则使用。此配置支持 IPv4 和 IPv6 地址格式，但没有默认的 IPv6 地址。您甚至 0::0/0必须指定 。

• pre-shared-key- 用于在 IKE 第 1 阶段协商期间对动态对等方进行身份验证的密钥。通过带外安全机制，两端都知道此密钥。您可以在 或 hexadecimal ascii-text format 中配置值。它是一个强制性值。

• ike-policy—定义与允许的动态对等方对应的远程识别值的策略;可以包含仅在动态端点配置中使用的通配符值 any-remote-id 。

• interface-id接口标识符，用于派生会话逻辑服务接口信息的必需属性。

• ipsec-policy- 定义会话的 IPsec 策略信息的 IPsec 策略的名称。在 [edit services ipsec-vpn ipsec policy policy-name] 层次结构级别定义 IPsec 策略。如果未设置策略，则接受动态对等方提出的任何策略。

要完成配置，您需要引用在[edit access]层次结构级别上配置的 IKE 访问配置文件。为此，请在[edit services service-set name ipsec-vpn-options]层次结构级别包含语ike-access-profile句：

语 ike-access-profile 句引用的名称必须与您 profile 在 [edit access] 层次结构级别上为 IKE 访问配置的语句同名。每个服务集中只能引用一个访问配置文件。此配置文件仅用于与动态对等方协商 IKE 和 IPsec 安全关联。

服务集中语 inside-service-interface 句引用的所有接口都必须属于同一个 VRF 实例。

您可以为一组动态对等方配置接口标识符，用于指定参与动态 IPsec 协商的自适应服务逻辑接口。通过将相同的接口标识符分配给多个逻辑接口，您可以为此目的创建接口池。要配置接口标识符，请在[edit interfaces interface-name unit logical-unit-number dial-options]层次结构级别包含ipsec-interface-id语句和dedicated或 shared 语句：

在语句中 dial-options 指定接口标识符会使此逻辑接口成为语 ipsec-interface-id 句标识的池的一部分。

如果配置shared模式，它将允许跨多个隧道共享一个逻辑接口。该dedicated语句指定在专用模式下使用逻辑接口，这在配置 IPsec 链路类型隧道时是必需的。指定ipsec-interface-id值时必须包含dedicated语句。

该软件包含隐式默认 IKE 和 IPsec 提议，以匹配动态对等方发送的提议。这些值如 表 1 所示;如果显示多个值，则第一个值为默认值。

从 Junos OS 16.2R1 版开始，您可以在多个 MS-MIC 之间或 MS-MPC 的多个服务 PIC 之间分配带有动态端点的 IPsec 隧道。您可以通过为每个服务 PIC 的多服务 （ms-） 接口配置下一跃点 IPsec 服务集来配置隧道分布。从 Junos OS 17.1R1 版开始，您还可以通过为每个 AMS 接口配置下一跃点 IPsec 服务集，在 MS-MIC 或 MS-MPC 的聚合多服务 （AMS） 接口之间分配带有动态端点的 IPsec 隧道。

您以后可以将服务 PIC 硬件添加到 MX 系列路由器，并将服务 PIC 包含在隧道分布中，只需添加另一个服务集，而无需更改 IPsec 对等方的配置。

要配置隧道分布，请在配置动态端点 IPsec 隧道时执行以下步骤：

• 为动态端点 IPsec 隧道使用的每个服务接口或 AMS 接口配置下一跃点 IPsec 服务集（请参阅 引用服务集中的 IKE 访问配置文件）。所有服务集都必须：

  • 使用相同类型的服务接口 — 多服务 （ms-） 接口或 AMS （ams-） 接口。

  • 语句中的 outside-service 接口与其他服务集中的接口位于同一 VPN 路由和转发 （VRF） 实例中。

  • 具有相同的 local-gateway IP 地址。

  • 具有相同的 ike-access-profile 名称。

• 配置接口标识符时（请参阅 配置接口标识符）， ipsec-interface-id identifier 必须配置：

  • 仅在服务集语句中 inside-service-set 显示的接口下。

  • 对于 dedicated 所有接口，或对于所有接口，都使用 shared with。

  • 在一个接口的不超过一个共享单元下。

  • 仅在使用 配置 service-domain inside的接口下。

  • 仅在同一 VRF 中的接口下。