Help us improve your experience.

Let us know what you think.

Do you have time for a two-minute survey?

 
本页内容
 

逻辑系统中的 VPN

VPN 是通过互联网从设备到网络的加密连接。加密连接有助于确保敏感数据的安全传输。VPN 可防止未经授权的访问窃取流量，并允许用户远程开展工作。有关更多信息，请参阅以下主题：

了解逻辑系统中基于路由的 VPN 隧道

VPN 连接可以保护通过 WAN 在逻辑系统和远程站点之间传输的流量。使用基于路由的 VPN，您可以在逻辑系统中配置一个或多个安全策略，以调节通过单个 IP 安全性 （IPsec） 隧道的流量。对于每个 IPsec 隧道，都有一组 IKE 和 IPsec 安全关联 （SA），主管理员必须在根级别配置这些关联。

注意：

在网关配置下配置的外部接口只能是根逻辑系统的一部分。
注意：

逻辑系统中仅支持基于路由的 VPN。不支持基于策略的 VPN。

除了为每个 VPN 配置 IKE 和 IPsec SA 外，主管理员还必须为用户逻辑系统分配安全隧道 （st0） 接口。一个 st0 接口只能分配给单个用户逻辑系统。但是，可以为多个用户逻辑系统分配自己的 st0 接口。

注意：

st0 单元 0 接口不应分配给逻辑系统，因为无法为此接口设置 SA。

用户逻辑系统管理员可以配置分配给用户逻辑系统的 st0 接口的 IP 地址和其他属性。用户逻辑系统管理员无法删除分配给其用户逻辑系统的 st0 接口。

对于基于路由的 VPN，安全策略指的是目标地址，而非特定的 VPN 隧道。若要将用户逻辑系统中的明文流量发送至 VPN 隧道进行封装，用户逻辑系统管理员必须进行以下配置：

  • 允许流量流向指定目标的安全性策略。

  • 到目标的静态路由，其中 st0 接口作为下一跃点。

当 Junos OS 在用户逻辑系统中查找路由以查找用于将流量发送到目标地址的接口时，它将通过 st0 接口查找静态路由。只要允许安全策略作，流量就会路由到 VPN 隧道。

注意：

逻辑系统中不支持流量选择器。

主逻辑系统和用户逻辑系统可以共享基于路由的 VPN 隧道。分配给用户逻辑系统的 st0 接口也可以由主逻辑系统使用。对于主逻辑系统，主管理员配置一个安全策略，允许流量到远程目标，以及到远程目标的静态路由，并将 st0 接口作为下一跃点。

VPN 监控由主逻辑系统中的主管理员配置。对于 VPN 监控源接口，主管理员必须指定 st0 接口;无法为用户逻辑系统指定物理接口。

也可以看看

示例：为 VPN 隧道配置 IKE 和 IPsec SA（仅限主管理员）

主管理员负责将 st0 接口分配给用户逻辑系统，并在根级别为每个 VPN 隧道配置 IKE 和 IPsec SA。此示例说明了如何将 st0 接口分配给用户逻辑系统以及配置 IKE 和 IPsec SA 参数。

要求

开始之前：

概述

在此示例中，您为 ls-product-design 用户逻辑系统配置 VPN 隧道。此示例配置了 表 1 中所述的 VPN 隧道参数。

表 1：逻辑系统 VPN 隧道配置

功能

姓名

配置参数

隧道接口

st0 单元 1

分配给 ls-product-design 逻辑系统

IKE 提议

IKE-phase1-提议

  • 预共享密钥身份验证

  • Diffie-Hellman 组 2

  • SHA1 身份验证算法

  • AES-128-CBC 加密算法

IKE 策略

  • 主模式

  • 参考资料 IKE 提议 ike-phase1-proposal

  • ASCII 预共享密钥 395psksecr3t

IKE 网关

IKE-GW

  • 外部接口 ge-0/0/3.0

  • 参考资料 IKE 策略 ike-phase1-policy

  • 地址 2.2.2.2

IPsec 提议

ipsec-phase2-提议

  • ESP 协议

  • HMAC-SHA1-96 身份验证算法

  • AES-128-CBC 加密算法

IPsec 策略

vpn-policy1

  • 参考资料 ipsec-phase2-proposal

  • 完全向前保密密钥组 2

VPN

IKE-VPN

  • 绑定接口 st0.1

  • 参考资料 IKE-GW 网关

  • 引用 vpn-policy1 策略

VPN 监控

对于 ike-vpn VPN：

  • 源接口 st0.1

  • 目标 IP 4.0.0.1

拓扑结构

图 1 显示了逻辑系统 VPN 隧道的拓扑。

图 1：逻辑系统 VPN 隧道 Network security setup with Trust Zone labeled Root Logical Systems at the top, Untrust Zone at the bottom, SRX Series Device connecting both, and a VPN Tunnel ensuring secure data transmission.

配置

过程

CLI 快速配置

要快速配置此示例，请复制以下命令，将其粘贴到文本文件中，删除所有换行符，更改详细信息，以便与网络配置匹配，将命令复制并粘贴到层次结构级别的 [edit] CLI 中，然后从配置模式进入。commit

分步程序

下面的示例要求您在各个配置层级中进行导航。有关作说明，请参阅《Junos OS CLI 用户指南》中的在 配置模式下使用CLI编辑器 。

要将 VPN 隧道接口分配给用户逻辑系统并配置 IKE 和 IPsec SA，请执行以下作：

  1. 以主管理员身份登录到主逻辑系统并进入配置模式。

  2. 分配 VPN 隧道接口。

  3. 配置 IKE 提议。

  4. 配置 IKE 策略。

  5. 配置 IKE 网关。

  6. 配置 IPsec 提议。

  7. 配置 IPsec 策略。

  8. 配置 VPN。

  9. 配置 VPN 监控。

结果

在配置模式下，输入 show interfaces、 show security ike和 show security ipsec 命令以确认您的配置。如果输出未显示预期的配置，请重复此示例中的说明以更正配置。

如果完成设备配置，请从配置模式进入。commit

验证

要确认配置工作正常，请执行以下任务：

验证逻辑系统上的 IKE

目的

验证逻辑系统上是否支持 IKE。

行动

在作模式下，输入命令 show security ike sa detail 。

意义

输出显示有关 IKE 详细信息的摘要信息。

验证逻辑系统上的 IPsec

目的

验证逻辑系统上是否支持 IPsec SA。

行动

在作模式下，输入命令 show security ipsec sa detail 。

意义

输出显示有关 IPsec 详细信息的摘要信息。

也可以看看

示例：在用户逻辑系统中配置基于路由的 VPN 隧道

此示例说明如何在用户逻辑系统中配置基于路由的 VPN 隧道。

要求

开始之前：

概述

在此示例中，您将配置 ls-product-design 用户逻辑系统，如示例所示： 创建用户逻辑系统、其管理员、其用户和互连逻辑系统。

您可以配置 表 2 中所述的基于路由的 VPN 参数。

表 2：用户逻辑系统基于路由的 VPN 配置

功能

姓名

配置参数

隧道接口

st0 单元 1

  • IPv4 协议家族 （inet）

  • IP 地址 10.11.11.150/24

静态路由

  • 目标 192.168.168.0/24

  • 下一跳 st0.1

安全性策略

通过 VPN

允许以量：

  • 从区域：ls-product-design-trust

  • 到分区：ls-product-design-untrust

  • 源地址：任何

  • 目标地址：192.168.168.0/24

  • 应用：任何

配置

过程

CLI 快速配置

要快速配置此示例，请复制以下命令，将其粘贴到文本文件中，删除所有换行符，更改详细信息，以便与网络配置匹配，将命令复制并粘贴到层次结构级别的 [edit] CLI 中，然后从配置模式进入。commit

分步程序

下面的示例要求您在各个配置层级中进行导航。有关作说明，请参阅《Junos OS CLI 用户指南》中的在 配置模式下使用CLI编辑器 。

要在用户逻辑系统中配置基于路由的 VPN 隧道，请执行以下作：

  1. 以逻辑系统管理员身份登录到用户逻辑系统，进入配置模式。

  2. 配置 VPN 隧道接口。

  3. 创建到远程目标的静态路由。

  4. 配置安全策略以允许流量到远程目标。

结果

在配置模式下，输入 show interfaces st0、 show routing-options和 show security policies 命令以确认您的配置。如果输出未显示预期的配置，请重复此示例中的说明以更正配置。

如果完成设备配置，请从配置模式进入。commit

验证

确认配置工作正常。

注意：

开始验证流程之前，需要从用户逻辑系统中的主机向 192.168.168.0/24 网络中的主机发送流量。例如，从 ls-product-design 用户逻辑系统中 12.1.1.0/24 子网中的主机发起对主机 192.168.168.10 的 ping。

验证 IKE 第 1 阶段状态

目的

验证 IKE 第 1 阶段状态。

行动

在作模式下，输入命令 show security ike security-associations 。从命令获取索引号后，请使用命令 show security ike security-associations index index_number detail 。

有关示例输出和含义，请参阅 示例：配置基于路由的 VPN 中的“验证”部分。

验证 IPsec 第 2 阶段状态

目的

验证 IPsec 第 2 阶段状态。

行动

在作模式下，输入命令 show security ipsec security-associations 。从命令获取索引号后，请使用命令 show security ipsec security-associations index index_number detail 。

有关示例输出和含义，请参阅 示例：配置基于路由的 VPN 中的“验证”部分。

也可以看看

相关文档