IPsec VPN 概述

以下是 Junos 操作系统 （OS） 支持的一些 IPsec VPN 拓扑结构：

• 站点到站点 VPN — 将组织中的两个站点连接在一起，并允许站点之间的安全通信。

• 中心辐射型 VPN — 将分支机构办公室连接到企业网络中的企业办公室。您还可以使用此拓扑结构通过中枢站点发送流量，从而将分支站点连接在一起。

• 远程访问 VPN — 允许用户连接到公司办公室及其资源。此拓扑有时称为 end-to-site tunnel。

表 2 总结了基于策略的 VPN 与基于路由的 VPN 之间的差异。

在本主题中，您将了解如何在多个 VPN 对象之间共享点对点 st0 逻辑接口。

当您使用 IKE 进程运行 IPsec VPN 服务时，Junos OS 支持共享点对点 st0 逻辑接口，以提供从 kmd 进程的迁移路径。如果您满足以下先决条件，则可以将多个 VPN 对象配置为共享一个点对点 st0 接口：

• 您已经配置了显式流量选择器。

• 您尚未在配置中使用通配符网络掩码。

进一步阅读，了解共享点对点 st0 接口的优势和局限性。

• 优势
• 限制
• 示例配置

IPsec VPN 隧道包含隧道设置和应用安全。在隧道设置期间，对等方会建立安全关联 （SA），用于定义确保两者之间传输安全流量的参数。请参阅 IPsec 概述。建立隧道后，IPsec 将应用 SA 在隧道设置过程中定义的安全参数，对两个隧道端点之间传输的流量进行保护。在 Junos OS 实现中，IPsec 可在隧道模式中得到应用，该模式支持封装安全性有效负载 （ESP） 和认证头 （AH） 协议。

本主题包含以下部分：

隧道模式中的数据包处理

IPsec 以两种模式之一运行：传输或隧道。当隧道的两端都是主机时，可使用任一模式运行 IPsec。如果隧道中至少有一个端点为安全网关（如 Junos OS 路由器或防火墙），则必须使用隧道模式。为支持 IPsec 隧道，瞻博网络设备始终在隧道模式下运行。

在隧道模式下，整个原始 IP 数据包（有效负载和报头）封装在另一个 IP 有效负载中，并在其后附加一个新报头，如 图 1 所示。其可对整个原始数据包进行加密和认证。可通过认证头 （AH） 协议对 AH 和新报头进行验证。使用封装安全性有效负载 （ESP） 协议，还可以对 ESP 报头进行验证。

图 1：隧道模式

在站点到站点 VPN 中，新的报头使用的源地址和目的地址即为出接口的 IP 地址。参见 图 2。

图 2：隧道模式 中的站点到站点 VPN

在拨号 VPN 中，隧道的 VPN 拨号客户端上没有隧道网关;隧道直接延伸至客户端本身（参见 图 3）。在这种情况下，在拨号客户端发送的数据包上，新报头和封装的原始报头具有相同的 IP 地址：客户端计算机的 IP 地址。

某些 VPN 客户端（例如 Netscreen Remote）使用内部虚拟 IP 地址（也称为“粘性地址”）。Netscreen-Remote 允许您对虚拟 IP 地址进行定义。在此种情况下，内部虚拟 IP 地址即为源 IP 地址，其位于客户端流量的原始包头中，而 ISP 动态分配给拨号客户端的 IP 地址则是外部标头中的源 IP 地址。

图 3：隧道模式 中的拨号 VPN

查看 特定于平台的 SPU VPN 处理行为 部分，了解与您的平台相关的注意事项。

在 SRX 系列防火墙中，IKE 可为 IPsec 提供隧道管理并可对终端实体进行身份验证。IKE 可执行 Diffie-Hellman （DH） 密钥交换，以便在网络设备之间生成 IPsec 隧道。IKE 生成的 IPsec 隧道可用于对 IP 层网络设备之间的用户流量进行加密、解密和身份验证。

通过在平台的多个服务处理单元 （SPU） 之间分配 IKE 和 IPsec 工作负载，即可创建 VPN。对于站点到站点隧道，负载最小的 SPU 会被选为锚点 SPU。如果多个 SPU 具有相同的最小负载，则可以将其中任一 SPU 选为锚点 SPU。此处的负载与在 SPU 上锚定的站点到站点网关或手册 VPN 隧道的数量相对应。对于动态隧道，新建立的动态隧道会使用轮询算法选择 SPU。

在 IPsec 中，工作负载由分发 IKE 的相同算法分配。给定 VPN 隧道终结点对的第 2 阶段 SA 由特定 SPU 专门负责，属于此第 2 阶段 SA 的所有 IPsec 数据包将被转发至该 SA 的锚点 SPU，以便进行 IPsec 处理。

可通过一个或多个 IKE 会话运行多个 IPsec 会话（第 2 阶段 SA）。系统会根据锚定底层 IKE 会话的 SPU 选择锚定 IPsec 会话的 SPU。因此，通过单个 IKE 网关运行的所有 IPsec 会话均由相同的 SPU 提供服务，并且不会在多个 SPU 间均衡负载。

表 3 显示了防火墙的示例，其中三个 SPU 通过三个 IKE 网关运行七个 IPsec 隧道。

三个 SPU 中的每个 SPU 对 IKE 网关的负载都一样。如果创建了新的 IKE 网关，则可以选择 SPU0、SPU1 或 SPU2 来锚定 IKE 网关及其 IPsec 会话。

搭建以及拆除现有 IPsec 隧道不会影响底层 IKE 会话或现有 IPsec 隧道。

使用以下 show 命令查看每个 SPU 的当前隧道数： show security ike tunnel-map。

使用命令选项查看 summary 每个网关的锚点： show security ike tunnel-map summary。

查看 平台特定的SRX5000线 SPC 行为 部分，了解与您的平台相关的注意事项。

有关详细信息，请参阅 SRX5000 Line 中 kmd 和 iked 流程的附加平台信息 部分。

在高端 SRX 系列机箱群集中，您可以在设备上插入 SPC，而不会影响或中断现有 IKE 或 IPsec VPN 隧道上的流量。

您可以将 SPC3 或 SPC2 卡插入包含 SPC3 卡的现有机箱中。您只能将卡插在机箱上比现有 SPC3 卡更高的插槽中。

但是，现有隧道无法使用新 SPC 服务处理单元 （SPC） 的处理能力。新的 SPU 可锚定新建立的站点到站点的动态隧道。但是无法保证能够在新 SPU 上锚定新配置的隧道。

站点到站点隧道可根据负载均衡算法锚定在不同的 SPU 上。负载均衡算法取决于每个 SPU 使用的流式线程数量。属于相同本地和远程网关 IP 地址的隧道可锚定在与 SPU 使用不同流式 RT 线程的同一 SPU 上。具有最小负载的 SPU 会被选为锚点 SPU。每个 SPU 均会保留此特定 SPU 中托管的流式 RT 线程数。每个 SPU 上托管的流式 RT 线程数取决于 SPU 的类型。

隧道负载因数 = SPU 上锚定的隧道数 / SPU 使用的流式 RT 线程总数。

系统可根据轮询算法将动态隧道锚定在不同的 SPU 上。无法保证能够在新 SPC 上锚定新配置的动态隧道。

同时安装 SPC2 和 SPC3 卡时，您可以使用命令 show security ipsec tunnel-distribution 验证不同 SPU 上的隧道映射。

仅插入 SPC2 卡时，可使用该命令 show security ike tunnel-map 查看不同 SPU 上的隧道映射。在已安装 SPC2 和 SPC3 卡的环境中，该命令 show security ike tunnel-map 无效。

插入 SPC3 卡：准则和限制：

• 在机箱群集中，如果其中一个节点具有 1 个 SPC3 卡，另一个节点有 2 个 SPC3 卡，则不支持将故障切换到具有 1 个 SPC3 卡的节点。

• 您必须将 SPC3 或 SPC2 插入现有机箱中的较高插槽中，其位置要高于当前 SPC3 所在的较低插槽。

• 要使 SPC3 ISHU 正常工作，则必须将新的 SPC3 卡插入编号更高的插槽。

• 瞻博网络不支持对 SPC3 进行热插拔。

iked 和 ikemd 这两个进程支持 SRX 系列防火墙上的 IPsec VPN 功能。一次在路由引擎上运行一个 iked 和 ikemd 实例。

使用 junos-ike package，防火墙使用 iked 进程运行 IPsec VPN 服务。SRX 系列防火墙支持 junos-ike 包包含多个版本。

有关更多信息，请参阅 包支持的其他 junos-ike 平台信息 部分。

在路由引擎上运行的 iked 和 ikemd 进程都随软件包一起 junos-ike 提供。

要在 SRX 系列防火墙上安装软件 junos-ike 包，请使用以下命令：

要在路由引擎中重新启动 ikemd 进程，请使用命令 restart ike-config-management 。

要在路由引擎中重新启动 iked 进程，请使用命令 restart ike-key-management 。

要在 SRX 系列防火墙上使用旧版 kmd 进程操作 IPsec VPN 功能，请运行命令 request system software delete junos-ike 并重新启动设备。

要检查已安装 junos-ike 的软件包，请使用以下命令：

查看 特定于平台的加密加速行为 部分，了解与您的平台相关的注释。

有关详细信息，请参阅 有关加密加速支持的其他平台信息 部分。

Junos OS 支持加速对硬件加密引擎的加密操作。SRX 系列防火墙可以将 DH、RSA 和 ECDSA 加密操作卸载到硬件加密引擎。

使用 junos-ike 软件包时，防火墙可使用 iked 进程运行 IPsec VPN 服务。防火墙需要 iked 进程作为控制平面软件来安装和启用高级 IPsec VPN 功能。默认情况下，由于 junos-ike 软件包，防火墙会在路由引擎上运行 iked 和 ikemd 进程，而不是 IPsec 密钥管理守护程序 （kmd）。

防火墙支持各种密码的硬件加速。

有关更多信息，请参阅“其他平台信息”部分中的表 12、表 13、表 14、表 15、表 16 和表 17。

Junos OS 支持使用 SRX 系列防火墙的 IPsec VPN 隧道和采用 SPC3 的 MX 系列路由器上的路由协议。运行 kmd 或 iked 进程时，支持的协议包括 OSPF、BGP、PIM、RIP 和 BFD。协议支持因以下因素而异：

• IP 寻址方案：IPv4 或 IPv6 地址

• st0 接口类型：点对点 （P2P） 或点对多点 （P2MP）

查看 “特定于平台的防重播窗口行为” 部分，了解与平台相关的注意事项。

在 SRX 系列防火墙上， anti-replay-window 默认启用，窗口大小值为 64。

要配置窗口大小，请使用新 anti-replay-window-size 选项。根据配置的 验证 anti-replay-window-size 传入数据包是否为重放攻击。

您可以在两个不同的级别进行配置 replay-window-size ：

• Global level— 在 [edit security ipsec] 层级配置。

  例如：

• VPN object— 在 [edit security ipsec vpn vpn-name ike] 层级配置。

  例如：

如果在两个级别都配置了防重放，则为 VPN 对象级别配置的窗口大小优先于在全局级别配置的窗口大小。如果未配置防重放，则窗口大小默认为 64。

要禁用 VPN 对象上的防重放窗口选项，请在 [edit security ipsec vpn vpn-name ike] 层级使用命令set no-anti-replay。您无法在全局级别禁用防重放。

您不能同时 anti-replay-window-size 配置 VPN 对象上的 和 no-anti-replay 。

如果创建两个可在设备上终止的 VPN 隧道，则可以设置一对路由，以便此设备能够在一个隧道退出时，将其流量引导至另一个隧道。您还需要创建相应的策略，以允许流量从一个隧道传递到另一个。采用此部署方式的 VPN 称为中心辐射型 VPN。（见 图 4。

您还可以配置多个 VPN 并在任意两个隧道之间路由流量。

SRX 系列防火墙仅支持基于路由的中心辐射型网络拓扑功能。

图 4：中心辐射型 VPN 配置 中的多个隧道

使用 功能资源管理器 确认平台和版本对特定功能的支持。

有关更多信息，请参阅 “其他平台信息” 部分。

使用下表查看平台的特定于平台的行为。

• 特定于平台的 SPU VPN 处理行为
• 特定于平台的SRX5000线 SPC 行为
• 特定于平台的加密加速行为
• 特定于平台的防重放窗口行为

使用 功能资源管理器 确认平台和版本对特定功能的支持。可能支持其他平台。