IPsec VPN 概述

以下是 Junos 操作系统 (OS) 支持的一些 IPsec VPN 拓扑结构：

• 站点到站点 VPN — 将组织中的两个站点连接在一起，并允许站点之间的安全通信。

• 中心辐射型 VPN — 在企业网络中将分支机构办公室连接到公司办公室。您还可以使用此拓扑结构通过中枢站点发送流量，从而将分支站点连接在一起。

• 远程访问 VPN - 允许在家工作或出差的用户连接到公司办公室及其资源。此拓扑有时称为 .end-to-site tunnel

表 2 基于策略的 VPN 与基于路由的 VPN 差异总结。

IPsec VPN 隧道包含隧道设置和应用安全。在进行隧道设置期间，对等方会建立安全关联 (SA)，用于定义确保两者之间传输安全流量的参数。（请参阅 IPsec 概述。）建立隧道后，IPsec 通过在隧道设置期间应用 SA 定义的安全参数来保护两个隧道端点之间发送的流量。在 Junos OS 实现中，IPsec 可在通道模式中得到应用，该模式支持对安全有效负载 (ESP) 和认证头 (AH) 协议进行封装。

本主题包含以下部分：

隧道模式中的数据包处理

IPsec 以两种模式之一运行：传输或隧道。当隧道的两端都是主机时，可使用任一模式运行 IPsec。如果隧道中至少有一个端点为安全网关（如 Junos OS 路由器或防火墙），则必须使用隧道模式。为支持 IPsec 隧道，瞻博网络设备始终在隧道模式下运行。

在隧道模式下，整个原始 IP 数据包（有效负载和报头）封装在另一个 IP 有效负载中，并向其附加一个新的报头，如 所示 。图 1其可对整个原始数据包进行加密和认证。可通过认证头 (AH) 协议对 AH 和新报头进行验证。使用封装安全有效负载 (ESP) 协议，还可以对 ESP 报头进行验证。

图 1： 隧道模式

在站点到站点 VPN 中，新的报头使用的源地址和目的地址即为出接口的 IP 地址。请参阅 图 2。

图 2： 隧道模式中的站点到站点 VPN

在拨号 VPN 中，隧道 VPN 拨号客户端上没有隧道网关；隧道直接延伸至客户端本身（请参阅 图 3）。此时，在拨号客户端传输的数据包中，新报头和经过封装的原始报头具有相同的 IP 地址：客户端计算机的那个。

某些 VPN 客户端（如 Netscreen-Remote）使用虚拟内部 IP 地址（也称为“粘性地址”）。Netscreen-Remote 允许您对虚拟 IP 地址进行定义。在此种情况下，内部虚拟 IP 地址即为源 IP 地址，其位于客户端流量的原始包头中，而 ISP 动态分配给拨号客户端的 IP 地址则是外部标头中的源 IP 地址。

图 3： 隧道模式中的拨号 VPN

在 SRX5400、SRX5600 和 SRX5800 设备中，IKE 可为 IPsec 提供隧道管理并可对终端实体进行身份验证。IKE 可执行 Diffie-Hellman (DH) 密钥交换，以便在网络设备之间生成 IPsec 隧道。IKE 生成的 IPsec 隧道可用于对 IP 层网络设备之间的用户流量进行加密、解密和身份验证。

通过在平台的多个服务处理单元 (SPU) 之间分配 IKE 和 IPsec 工作负载，即可创建 VPN。对于站点到站点隧道，负载最小的 SPU 会被选为锚点 SPU。如果多个 SPU 具有相同的最小负载，则可以将其中任一 SPU 选为锚点 SPU。此处的负载与在 SPU 上锚定的站点到站点网关或手动 VPN 隧道的数量相对应。对于动态隧道，新建立的动态隧道会使用轮询算法选择 SPU。

IPsec 中的工作负载由分发 IKE 的相同算法分配。给定 VPN 隧道终结点对的第 2 阶段 SA 由特定 SPU 专门负责，属于此第 2 阶段 SA 的所有 IPsec 数据包将被转发至该 SA 的锚点 SPU，以便进行 IPsec 处理。

可通过一个或多个 IKE 会话运行多个 IPsec 会话（第 2 阶段 SA）。系统会根据锚定底层 IKE 会话的 SPU 选择锚定 IPsec 会话的 SPU。因此，通过单个 IKE 网关运行的所有 IPsec 会话均由相同的 SPU 提供服务，并且不会在多个 SPU 间均衡负载。

表 3 显示了具有三个 SPU 的 SRX5000 线路示例，它们通过三个 IKE 网关运行七个 IPsec 隧道。

三个 SPU 中的每个 SPU 对 IKE 网关的负载都一样。如果创建了新 IKE 网关，则可以选择 SPU0、SPU1 或 SPU2 来锚定 IKE 网关及其 IPsec 会话。

搭建以及拆除现有 IPsec 隧道不会影响底层 IKE 会话或现有 IPsec 隧道。

使用以下 show 命令查看每个 SPU 的当前隧道数：show security ike tunnel-map。

使用此命令的 summary 选项查看每个网关的锚点：show security ike tunnel-map summary。

在 SRX5400、SRX5600 或 SRX5800 机箱群集中，您可以在设备上插入新的 SPC，而不会影响或中断现有 IKE 或 IPsec VPN 隧道上的流量。在群集中的机箱内插入新的 SPC 时，现有隧道不会受到影响，并且流量也将继续发送，不会中断。

从 Junos OS 版本 19.4R1 开始，您可以在所有 SRX5000 系列机箱群集上将新的 SRX5K-SPC3 （SPC3） 或 SRX5K-SPC-4-15-320 （SPC2） 卡插入包含 SPC3 卡的现有机箱。您只能将卡插在机箱上比现有 SPC3 卡更高的插槽中。插入 SPC3 后，必须重新启动节点才能激活卡。节点重新启动完成后，系统会为卡分配 IPsec 隧道。

但是，现有隧道无法使用新 SPC 服务处理单元 (SPC) 的处理能力。新的 SPU 可锚定新建立的站点到站点的动态隧道。但是无法保证能够在新 SPU 上锚定新配置的隧道。

站点到站点隧道可根据负载均衡算法锚定在不同的 SPU 上。负载均衡算法取决于每个 SPU 使用的流式线程数量。属于相同本地和远程网关 IP 地址的隧道可锚定在与 SPU 使用不同流式 RT 线程的同一 SPU 上。具有最小负载的 SPU 会被选为锚点 SPU。每个 SPU 均会保留此特定 SPU 中托管的流式 RT 线程数。每个 SPU 上托管的流式 RT 线程数取决于 SPU 的类型。

隧道负载因数 = SPU 上锚定的隧道数/SPU 使用的流式 RT 线程总数。

系统可根据轮询算法将动态隧道锚定在不同的 SPU 上。无法保证能够在新 SPC 上锚定新配置的动态隧道。

从 Junos OS 18.2R2 和 18.4R1 版本开始，当 SRX5K-SPC-4-15-320 (SPC2) 和 SPC3 卡已安装且在机箱群集模式或独立模式的设备上运行时，SRX5400、SRX5600 和 SRX5800 设备均将支持目前仅在 SRX5K-SPC3 (SPC3) 上支持的现有 IPsec VPN 功能。

同时安装 SPC2 和 SPC3 卡时，您可以使用 show security ipsec tunnel-distribution 命令验证不同 SPU 上的通道映射。

仅插入 SPC2 卡时，可使用命令 show security ike tunnel-map 查看不同 SPU 上的通道映射。在已安装 SPC2 和 SPC3 卡的环境中，命令 show security ike tunnel-map 无效。

插入 SPC3 卡：准则和限制：

• 在机箱群集中，如果其中一个节点具有 1 个 SPC3 卡，另一个节点有 2 个 SPC3 卡，则不支持将故障切换至具有 1 个 SPC3 卡的节点。

• 您必须将 SPC3 或 SPC2 插入现有机箱中的较高插槽中，其位置要高于当前 SPC3 所在的较低插槽。

• 要使 SPC3 ISHU 正常工作，则必须将新的 SPC3 卡插入编号更高的插槽。

• 在 SRX5800 机箱群集上，由于配电和热量分布的限制，不得将 SPC3 卡插入最高的插槽（插槽 11）中。

• 瞻博网络不支持对 SPC3 进行热插拔。

总结了支持 SPC2 或 SPC3 卡 的 SRX5000 行，支持或 处理：表 4kmdiked

SRX5000 SRX5K-SPC3 卡（服务处理卡）、SRX 中端平台（SRX4100、SRX4200、SRX1500 和 SRX4600 系列防火墙）以及 vSRX 虚拟防火墙的系列需要 软件包作为控制平面软件才能安装和启用 IPsec VPN 功能。junos-ike

• 默认情况下，SRX5000 RE3 中， 软件包安装在 Junos OS 20.1R2、20.2R2、20.3R2、20.4R1 及更高版本中。junos-ike 因此，默认情况下，进程在路由引擎上运行， 而不是在 IPsec 密钥管理守护程序 （kmd） 上运行。ikedikemd 采用 SRX5K-SPC3 的 SRX5000 系列将加密操作卸载到硬件加密引擎。

• SRX 中端平台涵盖 SRX1500、SRX4100、SRX4200 和 SRX4600 系列防火墙，通过运行 软件的设备将 DH、RSA 和 ECDSA 加密操作卸载到硬件加密引擎。junos-ike 此功能从 Junos OS 23.2R1 版开始提供，设备已安装软件包。junos-ike 继续运行旧 版软件（kmd 进程）的设备不支持此功能。iked

• 在 vSRX 虚拟防火墙上，数据平面 CPU 线程卸载 DH、RSA 和 ECDSA 操作。硬件加速在这些设备上不可用。此功能从 Junos OS 23.2R1 版开始提供，设备上安装了软件包。junos-ike

描述了 对各种密码的硬件加速支持：表 5

要在 SRX 系列防火墙上安装 Junos IKE 软件包，请使用以下命令：

要使用进程在没有 SPC3 卡SRX5000线路上启用 IPsec VPN 功能，必须运行 该命令。kmdrequest system software delete junos-ike 运行命令后，重新启动设备。

要检查已安装的 junos-ike 软件包，请使用以下命令：

这两个进程， 并支持 SRX 系列防火墙上的 IPsec VPN 功能。ikedikemd 一次在路由引擎上运行一个实例。ikedikemd

默认情况下，软件包安装在 Junos OS 19.4R1 版及更高版本中， 适用于带有 RE3 的 SRX5K-SPC3。junos-ike 路由引擎上运行的 和 进程都可用于此软件包。ikedikemd 在带有 RE2 的 SRX5K-SPC3 上，这是一个可选软件包，需要显式安装。

要在例程引擎中重新启动 进程，请使用命令 。ikemdrestart ike-config-management

要在路由引擎中重新启动 进程，请使用 命令。ikedrestart ike-key-management

显示了引入了软件包的 Junos OS 版本的详细信息。表 6junos-ike

要在没有 SRX5K-SPC3 卡的线路上使用传统 进程操作 IPsec VPN 功能SRX5000必须运行 命令并重新启动设备。kmdrequest system software delete junos-ike

在 SRX 系列防火墙上，默认情况下启用， 窗口大小值为 64。anti-replay-window

在安装了 SPC3 卡的 SRX 系列 5000 系列上，您可以将大小配置为 64 到 8192（2 的幂）。anti-replay-window 要配置窗口大小，请使用新 选项。anti-replay-window-size 根据配置的 验证传入数据包是否存在重放攻击 。anti-replay-window-size

您可以在两个不同的级别进行配置 ：replay-window-size

• - 在 [] 层次结构级别配置。Global leveledit security ipsec

  例如：

• - 在 [] 层次结构级别配置。VPN objectedit security ipsec vpn vpn-name ike

  例如：

如果在两个级别都配置了防重放，则为 VPN 对象级别配置的窗口大小优先于在全局级别配置的窗口大小。如果未配置防重放，则窗口大小默认为 64。

要在 VPN 对象上禁用防重放窗口选项，请在 [] 层次结构级别使用命令。set no-anti-replayedit security ipsec vpn vpn-name ike 您无法在全局级别禁用反重放。

不能同时配置 和 VPN 对象。anti-replay-window-sizeno-anti-replay

如果创建两个可在设备上终止的 VPN 隧道，则可以设置一对路由，以便此设备能够在一个隧道退出时，将其流量引导至另一个隧道。您还需要创建相应的策略，以允许流量从一个隧道传递到另一个隧道。采用此部署方式的 VPN 称为中心辐射型 VPN。（请参阅 图 4。）

您还可以配置多个 VPN 并在任意两个隧道之间路由流量。

SRX 系列防火墙仅支持基于路由的中心辐射型功能。

图 4： 中心辐射型 VPN 配置中的多个隧道