使用证书配置基于策略的 IPsec VPN

分步程序

下面的示例要求您在各个配置层级中进行导航。有关操作说明，请参阅《Junos OS CLI 用户指南》中的在配置模式下使用CLI编辑器。

要配置 PKI：

1. 在千兆以太网接口上配置 IP 地址和协议家族。

2. 配置到互联网下一跃点的默认路由。

3. 设置系统时间和日期。

   完成配置后，使用 show system uptime 命令验证时钟设置。

4. 设置 NTP 服务器地址。

5. 设置 DNS 配置。

分步程序

1. 创建受信任的 CA 证书颁发机构配置文件。

2. 创建吊销检查以指定检查证书吊销的方法。

   设置刷新间隔（以小时为单位）以指定更新 CRL 的频率。默认值为 CRL 中的下一次更新时间，如果未指定下一次更新时间，则为 1 周。

   在配置语句中 revocation-check ，您可以使用禁用 disable 撤销检查的选项，也可以选择配置 crl CRL 属性的选项。当 证书颁发机构 配置文件的 CRL 下载失败时，您可以选择 disable on-download-failure 允许与 证书颁发机构 配置文件匹配的会话的选项。仅当同一证书颁发机构档案中不存在旧 CRL 时，才允许这些会话。

3. 指定要检索 CRL（HTTP 或 LDAP）的位置 （URL）。默认情况下，URL 为空，并使用 CA 证书中嵌入的 CDP 证书颁发机构信息。

   目前只能配置一个 URL。不支持备份 URL 配置。

4. 指定电子邮件地址以将证书请求直接发送给证书颁发机构管理员。

5. 提交配置：

分步程序

配置证书颁发机构配置文件后，下一步是在瞻博网络设备上生成密钥对。要生成私钥和公钥对：

1. 创建证书密钥对。

结果

生成公钥-私钥对后，瞻博网络设备将显示以下内容：

分步程序

1. 以 PKCS-10 格式生成本地数字证书请求。请参阅 请求安全 pki generate-certificate-request。

   在 PKCS10 证书的示例中，请求以 BEGIN CERTIFICATE REQUEST 行开头并包含 BEGIN CERTIFICATE REQUEST 行，并以 END CERTIFICATE REQUEST 行结尾。此部分可以复制并粘贴到您的证书颁发机构进行注册。或者，还可以卸载 ms-cert-req 文件并将其发送到证书颁发机构。

2. 将证书请求提交给证书颁发机构，并检索证书。

分步程序

1. 加载本地证书、证书颁发机构证书和 CRL。

   您可以使用命令 file list验证是否已上传所有文件。

2. 将证书从指定的外部文件加载到本地存储中。

   还必须指定证书 ID 以保持与私有密钥或公钥对的正确链接。此步骤将证书加载到 PKI 模块的 RAM 缓存存储中，检查关联的私钥并验证签名操作。

3. 从指定的外部文件加载 CA 证书颁发机构证书。

   您必须指定 证书颁发机构 配置文件，以便将 证书颁发机构 证书关联到配置的配置文件。

4. 将 CRL 加载到本地存储中。

   CRL 的最大大小为 5 MB。您必须在命令中指定关联的 证书颁发机构配置文件。

结果

验证是否已加载所有本地证书。

您可以通过在命令行中指定 certificate-ID 来显示单个证书详细信息。

验证所有证书颁发机构证书或单个证书颁发机构配置文件（指定）的证书颁发机构证书。

验证所有加载的 CRL 或指定单个证书颁发机构配置文件的 CRL。

验证本地证书和 证书颁发机构证书的证书路径。

分步程序

要使用证书配置 IPsec VPN，请参阅图 1 中所示的网络图

1. 配置安全区域并为这些区域分配接口。

   在此示例中，数据包通过 传入 ge-0/0/0，入口区域即为信任区域。

2. 为每个区域配置主机入站服务。

   主机入站服务适用于发往瞻博网络设备的流量。这些设置包括但不限于 FTP、HTTP、HTTPS、IKE、ping、rlogin、RSH、SNMP、SSH、Telnet、TFTP 和 traceroute。

3. 为每个区域配置地址簿条目。

4. 将 IKE（第 1 阶段）提议配置为使用 RSA 加密。

5. 配置 IKE 策略。

   第 1 阶段交换可以在主模式或积极模式下进行。

6. 配置 IKE 网关。

   在此示例中，对等方由 FQDN（主机名）标识。因此，网关 IKE ID 应为远程对等方域名。您必须指定正确的外部接口或对等方 ID，以便在第 1 阶段设置期间正确识别 IKE 网关。

7. 配置 IPsec 策略。

   此示例使用标准提议集，其中包括 esp-group2-3des-sha1 和 esp-group2- aes128-sha1 提议。但是，您可以创建唯一的提议，然后根据需要在 IPsec 策略中指定。

8. 使用 IKE 网关和 IPsec 策略配置 IPsec VPN。

   在此示例中，必须在隧道策略中引用 ike-vpn VPN 名称才能创建安全关联。此外，如果需要，如果空闲时间和代理 ID 与隧道策略地址不同，则可以指定它们。

9. 为 VPN 流量配置双向隧道策略。

   在此示例中，从主机LAN到远程办公室LAN的流量需要从区域信任到区域不信任隧道策略。但是，如果会话需要从远程 LAN 发起到主机 LAN，则还需要从“从”区域不信任“到”区域信任“相反方向的隧道策略。当您以与对策略相反的方向指定策略时，VPN 将变为双向。请注意，除了允许操作外，还需要指定要使用的 IPsec 配置文件。请注意，对于隧道策略，操作始终为允许。事实上，如果使用拒绝操作配置策略，则不会看到用于指定隧道的选项。

10. 为 Internet 流量配置源 NAT 规则和安全策略。

    设备使用指定的源 NAT 接口，并转换传出流量的源 IP 地址和端口，将出口接口的 IP 地址用作源 IP 地址，并将源端口的随机更高端口用作源端口。如果需要，可以创建更精细的策略来允许或拒绝特定流量。

11. 将隧道策略移至“任意许可”策略之上。

    安全策略应位于层次结构中的隧道策略之下，因为策略列表是从上到下读取的。如果此策略高于隧道策略，则流量将始终与此策略匹配，并且不会继续到下一个策略。因此，不会加密任何用户流量。

12. 为通过隧道的 TCP 流量配置 tcp-mss 设置。

    TCP-MSS 作为 TCP 三次握手的一部分进行协商。它限制 TCP 分段的最大大小，以适应网络上的 MTU 限制。这对于 VPN 流量非常重要，因为 IPsec 封装开销以及 IP 和帧开销会导致生成的 ESP 数据包超过物理接口的 MTU，从而导致分段。因为分段会增加带宽和设备资源的使用，因此通常应避免。

    对于大多数基于以太网且 MTU 为 1500 或更高的网络，用于 tcp-mss 的建议值为 1350。如果路径中任何设备的 MTU 值较低，或者存在任何额外的开销（如 PPP、帧中继等），则可能需要更改此值。通常，您可能需要试验不同的 tcp-mss 值才能获得最佳性能。

目的

通过检查任何 IKE 第 1 阶段安全关联状态来确认 VPN 状态。

与 IPsec 隧道相关的 PKI 在第 1 阶段设置期间形成。完成第 1 阶段表明 PKI 成功。

行动

在操作模式下，输入命令 show security ike security-associations 。

意义

输出表明：

• 远程对等方为 10.2.2.2，状态为 UP，表示第 1 阶段建立关联成功。

• 远程对等方 IKE ID、IKE 策略和外部接口均正确无误。

• 索引 20 是每个 IKE 安全关联的唯一值。您可以使用此输出详细信息获取有关每个安全关联的更多详细信息。请参阅 获取有关单个安全性关联的详细信息。

不正确的输出将表明：

• 远程对等方状态为“关闭”。

• 没有 IKE 安全关联。

• 存在 IKE 策略参数，例如错误的模式类型（聚合或主）、PKI 问题或第 1 阶段提议（所有这些都必须在两个对等方上匹配）。有关更多信息，请参阅 排除 IKE、PKI 和 IPsec 问题。

• 外部接口无法接收 IKE 数据包。检查配置中是否存在与 PKI 相关的问题，检查密钥管理守护程序 （kmd） 日志中是否存在任何其他错误，或运行跟踪选项以查找不匹配项。有关更多信息，请参阅 排除 IKE、PKI 和 IPsec 问题。

目的

获取有关单个 IKE 的详细信息。

行动

在操作模式下，输入命令 show security ike security-associations index 20 detail 。

意义

输出显示各个 IKE SA 的详细信息，例如角色（发起方或响应方）、状态、交换类型、身份验证方法、加密算法、流量统计信息、第 2 阶段协商状态等。

您可以使用输出数据：

• 了解 IKE SA 的作用。当对等方具有响应方角色时，故障排除会更容易。

• 获取流量统计信息以验证两个方向的流量。

• 获取已创建或正在进行的 IPsec 安全关联数。

• 获取所有已完成的第 2 阶段协商的状态。

目的

查看 IPsec（第 2 阶段）安全关联。

确认 IKE 第 1 阶段后，查看 IPsec（第 2 阶段）安全关联。

行动

在操作模式下，输入命令 show security ipsec security-associations 。

意义

输出表明：

• 有一个配置的 IPsec SA 对可用 。端口号 500 表示使用的是标准 IKE 端口。否则，则为网络地址转换遍历 （NAT-T）、4500 或随机高端口。

• 安全参数索引 （SPI） 用于两个方向。SA 的生存期或使用限制以秒或千字节表示。在输出中，1676/unlim表示第2阶段生存期设置为在1676秒后过期，并且没有指定的生存期大小。

• ID 号显示每个 IPsec SA 的唯一索引值。

• Mon 列中的连字符 （-） 表示未为此 SA 启用 VPN 监控。

• 虚拟系统 （vsys） 为零，这是默认值。

第 2 阶段生存期可以不同于第 1 阶段生存期，因为建立 VPN 后，第 2 阶段不依赖于第 1 阶段。

目的

显示由索引号标识的各个 IPsec SA 详细信息。

行动

在操作模式下，输入命令 show security ipsec security-associations index 2 detail 。

意义

输出显示本地身份和远程身份。

请注意，代理 ID 不匹配可能会导致第 2 阶段完成失败。代理 ID 派生自隧道策略（对于基于策略的 VPN）。本地地址和远程地址派生自通讯簿条目，服务派生自为策略配置的应用程序。

如果第 2 阶段由于代理 ID 不匹配而失败，请验证策略中配置了哪些通讯簿条目，并确保发送的地址正确。还要确保端口匹配。仔细检查服务，确保端口与远程服务器和本地服务器匹配。

如果在隧道策略中为源地址、目标地址或应用程序配置了多个对象，则该参数生成的代理 ID 将更改为零。

例如，假设隧道策略有以下方案：

• 本地地址 192.168.10.0/24 和 10.10.20.0/24

• 远程地址 192.168.168.0/24

• 应用程序作为 junos-http

生成的代理 ID 为本地 0.0.0.0/0，远程 192.168.168.0/24，服务 80。

如果未为第二个子网配置远程对等方，则生成的代理 ID 可能会影响互操作性。此外，如果您使用的是第三方供应商的应用程序，则可能必须手动输入代理 ID 以进行匹配。

如果 IPsec 无法完成，请检查 kmd 日志或使用命令 set traceoptions 。有关更多信息，请参阅 排除 IKE、PKI 和 IPsec 问题。

目的

检查 IPsec SA 的统计信息和错误。

为了进行故障排除，请检查封装安全性有效负载/身份验证报头 （ESP/AH） 计数器中特定 IPsec SA 是否存在任何错误。

行动

在操作模式下，输入命令 show security ipsec statistics index 2 。

意义

输出中的误差值为零表示状况正常。

建议多次运行此命令以观察 VPN 中的任何数据包丢失问题。此命令输出还会显示加密和解密数据包计数器、错误计数器等的统计信息。

您必须启用安全流跟踪选项，以调查哪些 ESP 数据包遇到错误以及原因。有关更多信息，请参阅 排除 IKE、PKI 和 IPsec 问题。

目的

在第 1 阶段和第 2 阶段成功完成后，测试通过 VPN 的流量。您可以使用命令 ping 测试流量。您可以从本地主机到远程主机执行 ping 操作。您还可以从瞻博网络设备本身发起 ping。

此示例说明如何发起从瞻博网络设备到远程主机的 ping 请求。请注意，从瞻博网络设备发起 ping 时，必须指定源接口，以确保进行正确的路由查找，并在策略查找中引用相应的区域。

在此示例中，ge-0/0/0.0 接口与本地主机位于同一安全区域中，必须在 ping 请求中指定，以便策略查找可以从信任区域切换到非信任区域。

行动

在操作模式下，输入命令 ping 192.168.168.10 interface ge-0/0/0 count 5 。

目的

确认远程主机与本地主机之间的连接。

行动

在操作模式下，输入命令 ping 192.168.10.10 from ethernet0/6 。

意义

您可以使用从远程主机到本地主机的 ping 命令来确认端到端连接。在此示例中，命令是从 SSG5 设备启动的。

端到端连接失败可能表示 ESP 数据包的路由、策略、终端主机或加密/解密存在问题。要验证故障的确切原因：

• 检查 IPsec 统计信息，了解有关错误的详细信息，如 检查 IPsec SA 统计信息中所述。

• 使用与终端主机位于同一子网中的主机的命令来 ping 确认终端主机连接。如果其他主机可以访问终端主机，则可以假设问题不在于终端主机。

• 启用安全流跟踪选项，以排除与路由和策略相关的问题。

问题

基本故障排除步骤如下：

1. 识别并隔离问题。

2. 调试问题。

开始故障排除的常见方法是从 OSI 层的最底层开始，然后沿着 OSI 堆栈向上移动，以确认发生故障的层。

解决方案

对 IKE、PKI 和 IPsec 进行故障排除的基本步骤如下：

• 在物理和数据链路级别确认互联网链路的物理连接。

• 确认瞻博网络设备已连接到互联网下一跃点，并已连接到远程 IKE 对等方。

• 确认 IKE 第 1 阶段完成。

• 如果第 1 阶段成功完成IKE IKE则确认第 2 阶段完成。

• 确认通过 VPN 的流量（如果 VPN 已启动且处于活动状态）。

Junos OS 包含追踪选项功能。使用此功能，您可以启用跟踪选项标志，以将跟踪选项中的数据写入日志文件，该文件可以预先确定或手动配置并存储在闪存中。即使在系统重新启动后，也可以保留这些跟踪日志。在实施追踪选项之前，请检查可用的闪存。

您可以在配置模式下启用追踪选项功能，并提交配置以使用追踪选项功能。与禁用追踪选项类似，您必须在配置模式下停用追踪选项并提交配置。

问题

检查设备文件系统中可用磁盘空间的统计信息。

解决方案

在操作模式下，输入命令 show system storage 。

代表 /dev/ad0s1a 板载闪存，目前容量为 35%。

问题

查看日志文件，以检查安全 IKE 调试消息、安全流调试以及日志记录到 syslog 的状态。

解决方案

在操作模式下，输入 show log kmd、 show log pkid、 show log security-trace以及 show log messages 命令。

您可以使用命令 show log 查看 /var/log 目录中所有日志的列表。

也可以使用命令 file copy 将日志文件上传到 FTP 服务器。

问题

要查看 IKE 或 IPsec 的成功或失败消息，可以使用命令查看 kmd 日志 show log kmd 。由于 kmd 日志显示一些常规消息，因此通过启用 IKE 和 PKI 跟踪选项来获取其他详细信息会很有用。

通常，最佳做法是对具有响应方角色的对等方进行故障排除。您必须从发起方和响应方获取跟踪输出，才能了解故障原因。

配置 IKE 追踪选项。

解决方案

如果未为 <filename> 字段指定文件名，则所有IKE跟踪选项都将写入 kmd 日志。

必须至少指定一个标志选项才能将跟踪数据写入日志。例如：

• file size — 每个跟踪文件的最大大小（以字节为单位）。例如，100 万 （1,000,000 ） 可以生成 1 MB 的最大文件大小。

• files — 要生成并存储在闪存设备中的跟踪文件的最大数量。

您必须提交配置才能开始追踪。

问题

启用 PKI 跟踪选项以确定 IKE 故障是否与证书或非 PKI 问题有关。

解决方案

问题

为 IKE 和 PKI 追踪选项配置建议的设置。

IKE 和 PKI 跟踪选项使用相同的参数，但所有 PKI 相关跟踪的默认文件名都可以在 pkid 日志中找到。

解决方案

问题

了解 IKE 第 1 阶段和第 2 阶段条件成功时命令 show log kmd 的输出。

解决方案

示例输出指示：

• 10.1.1.2—本地地址。

• ssg5.example.net - 远程对等方（带 FQDN 的主机名）。

• udp: 500—未协商 NAT-T。

• Phase 1 [responder] done- 第 1 阶段状态以及角色（发起方或响应方）。

• Phase 2 [responder] done- 第 1 阶段状态以及代理 ID 信息。

  您还可以使用 IKE 第 1 阶段状态中提到的验证命令来确认 IPsec SA 状态。

问题

了解命令的 show log kmd 输出（其中 IKE 第 1 阶段条件为失败）有助于确定 VPN 未建立第 1 阶段的原因。

解决方案

示例输出指示：

• 10.1.1.2—本地地址。

• ssg5.example.net - 远程对等方（带 FQDN 的主机名）。

• udp: 500—未协商 NAT-T。

• Phase-1 [responder] failed with error (No proposal chosen)— 由于提议不匹配，第 1 阶段失败。

要解决此问题，请确保响应方和发起方上的 IKE 网关第 1 阶段提议的参数匹配。还要确认 VPN 存在隧道策略。

问题

了解当 IKE 第 1 阶段条件失败时命令 show log kmd 的输出。这有助于确定 VPN 未建立第 1 阶段的原因。

解决方案

示例输出指示：

• 10.1.1.2—本地地址。

• 10.2.2.2—远程对等方

• Phase 1 [responder] failed with error (Authentication failed)— 第 1 阶段失败，这是由于响应方无法识别来自有效网关对等方的传入请求。对于具有 PKI 证书的 IKE，此故障通常表示指定或输入了不正确的 IKE ID 类型。

要解决此问题，请确认已根据以下条件在本地对等方上指定了正确的对等方 IKE ID 类型：

• 远程对等方证书的生成方式

• 接收的远程对等方证书中的使用者备用名称或 DN 信息

问题

了解当 IKE 第 1 阶段条件失败时命令 show log kmd 的输出。

解决方案

示例输出指示：

• 10.1.1.2—L本地地址。

• 10.2.2.2— 远程对等方。

• Phase 1 [responder] failed with error(Timeout)— 第 1 阶段故障。

  此错误表示 IKE 数据包在发送至远程对等方的途中丢失，或者出现延迟或远程对等方没有响应。

由于此超时错误是等待 PKI 守护程序响应的结果，因此必须查看 PKI 跟踪选项输出以查看 PKI 是否存在问题。

问题

了解当 IKE 第 2 阶段条件失败时命令 show log kmd 的输出。

解决方案

示例输出指示：

• 10.1.1.2—本地地址。

• ssg5.example.net — 远程对等方（带有 FQDN 的 IKE ID 类型主机名）。

• Phase 1 [responder] done—第一阶段成功。

• Failed to match the peer proxy ids— 收到不正确的代理 ID。在上一个示例中，收到的两个代理 ID 是 192.168.168.0/24（远程）和 10.10.20.0/24（本地）（对于 service=any）。根据此示例中给出的配置，预期本地地址为 192.168.10.0/24。这表明本地对等方上的配置不匹配，导致代理 ID 匹配失败。

  要解决此问题，请更正地址簿条目或配置任一对等方上的代理 ID，使其与另一个对等方匹配。

  输出还指示故障 No proposal chosen原因是 。但是，在这种情况下，您还会看到消息 Failed to match the peer proxy ids。

问题

了解当 IKE 第 2 阶段条件失败时命令 show log kmd 的输出。

解决方案

示例输出指示：

• 10.1.1.2 —本地地址。

• fqdn(udp:500,[0..15]=ssg5.example.net— 远程对等方。

• Phase 1 [responder] done—第一阶段成功。

• Error = No proposal chosen— 第 2 阶段未选择任何提议。此问题是由于两个对等方之间的提议不匹配造成的。

  要解决此问题，请确认第 2 阶段提议在两个对等方上匹配。

问题

对与 IKE 和 PKI 相关的常见问题进行故障排除。

启用跟踪选项功能有助于收集有关调试问题的更多信息，而不是从普通日志条目中获取的信息。您可以使用追踪选项日志来了解 IKE 或 PKI 失败的原因。

解决方案

IKE 和 PKI 相关问题的故障排除方法：

• 确保时钟、日期、时区和夏令时设置正确。使用 NTP 保持时钟准确。

• 确保在 DN 的“C=”（国家/地区）字段中使用两个字母的国家/地区代码。

  例如：使用“US”，而不是“USA”或“United States”。某些 CA 要求填充 DN 的国家/地区字段，只允许输入包含两个字母的国家/地区代码值。

• 确保如果对等证书使用多个 OU= 或 CN= 字段，则使用带有容器方法的可分辨名称（必须维护序列并区分大小写）。

• 如果证书还无效，请检查系统时钟，如果需要，请调整系统时区或仅在时钟中添加一天以进行快速测试。

• 确保配置了匹配的 IKE ID 类型和值。

• PKI 可能会由于吊销检查失败而失败。要确认这一点，请暂时禁用撤销检查并查看 IKE 第 1 阶段是否能够完成。

  要禁用撤销检查，请在配置模式下使用以下命令：

  set security pki ca-profile <ca-profile> revocation-check disable