创建站点到站点 VPN
您的位置: 网络 > VPN > IPsec VPN。
要创建站点到站点 VPN:
领域 |
行动 |
---|---|
名字 |
输入 VPN 的名称。 |
描述 |
输入说明。此说明将用于 IKE 和 IPsec 提议和策略。在编辑过程中,将显示并更新 IPsec 策略说明。 |
路由模式 |
选择与此 VPN 关联的路由模式:
对于每个拓扑,J-Web 自动生成相关的 CLI。流量选择器为默认模式。 |
身份验证方法 |
从列表中选择设备用于验证互联网密钥交换 (IKE) 消息源的身份验证方法:
|
自动创建防火墙策略 |
如果您选择 “是”,则内部区域和隧道接口区域之间将自动显示防火墙策略,本地受保护网络作为源地址,远程保护网络作为目标地址。 将创建另一个防火墙策略,反之亦然。 如果选择 “否”,则说明您没有防火墙策略选项。您需要手动创建所需的防火墙策略,使此 VPN 正常工作。
注意:
如果您不想在 VPN 工作流程中自动创建防火墙策略,则受保护的网络将隐藏,以在本地和远程网关中进行动态路由。 |
远程网关 |
显示拓扑中的远程网关图标。单击该图标以配置远程网关。 网关使用 IPsec VPN 对等方识别远程对等方,并为该 IPsec VPN 定义适当的参数。 有关字段信息,请参阅 表 2。 |
本地网关 |
显示拓扑中的本地网关图标。单击该图标以配置本地网关。 有关字段信息,请参阅 表 4。 |
IKE 和 IPsec 设置 |
使用推荐的算法或值配置自定义 IKE 或 IPsec 提议和自定义 IPsec 提议。 有关字段信息,请参阅 表 6。
注意:
|
领域 |
行动 |
---|---|
网关在 NAT 后面 |
如果启用,则配置的外部 IP 地址(IPv4 或 IPv6)称为 NAT 设备 IP 地址。 |
IKE 身份 |
从列表中选择一个选项以配置远程身份。 |
主机名 |
输入远程主机名。 |
IPv4 地址 |
输入远程 IPv4 地址。 |
IPv6 地址 |
输入远程 IPv6 地址。 |
密钥 ID |
输入密钥 ID。 |
电子邮箱地址 |
输入电子邮件地址。 |
外部 IP 地址 |
输入对等方 IPv4 或 IPv6 地址。您可以创建一个具有最多四次备份的主对等网络。 您必须输入一个 IPv4 或 IPv6 地址,或者最多可输入 5 个 IP 地址,用逗号隔开。 |
受保护的网络 |
选择路由模式时,会列出所有全局地址。 从“可用”列中选择地址,然后单击右箭头将其移动到“选定”列。 当路由模式为:
|
添加 |
单击 +。 将显示创建全局地址页面。字段信息请参阅 表 3 。 |
领域 |
行动 |
---|---|
名字 |
输入一个唯一字符串,该字符串必须以字母数字字符开头,可包含冒号、句点、破折号和下划线:不允许有空格;最大 63 个字符。 |
IP 类型 |
选择 IPv4 或 IPv6。 |
IPv4 |
IPv4 地址 — 输入有效的 IPv4 地址。 子网 — 输入 IPv4 地址的子网。 |
IPv6 |
IPv6 地址 — 输入有效的 IPv6 地址。 子网前缀 — 输入网络范围的子网掩码。输入后,将验证值。 |
领域 |
行动 |
---|---|
网关在 NAT 后面 |
当本地网关位于 NAT 设备后面时,启用此选项。 |
IKE 身份 |
从列表中选择一个选项以配置本地身份。启用 网关位于 NAT 后面 时,您可以将 IPv4 或 IPv6 地址配置为引用 NAT 设备。 |
主机名 |
输入主机名。
注意:
仅当 网关在 NAT 后面 禁用时,此选项才可用。 |
IPv4 地址 |
输入 IPv4 地址。 |
IPv6 地址 |
输入 IPv6 地址。 |
密钥 ID |
输入密钥 ID。
注意:
仅当 网关在 NAT 后面 禁用时,此选项才可用。 |
电子邮箱地址 |
输入电子邮件地址。
注意:
仅当 网关在 NAT 后面 禁用时,此选项才可用。 |
外部接口 |
从列表中选择用于 IKE 协商的传出接口。 如果为指定接口配置了多个 IP 地址,则列表将包含所有可用 IP 地址。所选 IP 地址将在 IKE 网关下配置为本地地址。 |
隧道接口 |
从列表中选择一个接口,将其绑定到隧道接口(基于路由的 VPN)。 单击 Add 以添加新界面。此时将显示“创建隧道接口”页面。请参阅 表 5。 |
路由器 ID |
输入路由设备的 IP 地址。
注意:
如果路由模式为动态路由 - OSPF 或 BGP,则此选项可用。 |
区域 ID |
输入 0 到 4,294,967,295 范围内的区域 ID,其中需要配置此 VPN 的隧道接口。
注意:
如果路由模式为动态路由 - OSPF,则此选项可用。 |
无源隧道接口 |
启用此选项可绕过通常的活动 IP 检查的流量。
注意:
如果路由模式为动态路由 - OSPF,则此选项可用。 |
ASN |
输入路由设备的 AS 编号。 使用 NIC 分配给您的号码。范围:4 字节 AS 编号的纯数字格式为 1 至 4,294,967,295 (232 – 1)。
注意:
如果路由模式为动态路由 - BGP,则此选项可用。 |
邻接方 ID |
输入相邻路由器的 IP 地址。
注意:
如果路由模式为动态路由 - BGP,则此选项可用。 |
BGP 组类型 |
从列表中选择 BGP 对等组类型:
注意:
如果路由模式为动态路由 - BGP,则此选项可用。 |
对等 ASN |
输入邻接方(对等)自治系统 (AS) 编号。
注意:
如果您选择 外部 作为 BGP 组类型,则此选项可用。 |
导入策略 |
从列表中选择一个或多个路由策略,以从 BGP 导入路由表中。 单击 清除所有 以清除所选策略。
注意:
如果路由模式为动态路由 - BGP,则此选项可用。 |
导出策略 |
从列表中选择一个或多个要从路由表导出到 BGP 的路由。 单击 清除所有 以清除所选策略。
注意:
如果路由模式为动态路由 - BGP,则此选项可用。 |
本地证书 |
当本地设备有多个加载的证书时,选择一个本地证书标识符。
注意:
如果身份验证方法基于证书,则此选项可用。 单击 Add 以生成新证书。单击 导入 以导入设备证书。有关更多信息,请参阅 管理设备证书。 |
可信 CA/组 |
从列表中选择证书颁发机构 (CA) 配置文件,将其与本地证书相关联。
注意:
如果身份验证方法基于证书,则此选项可用。 单击 Add 以添加新 CA 配置文件。有关更多信息,请参阅 管理可信证书颁发机构。 |
预共享密钥 |
输入预共享密钥的值。密钥可以是以下一项:
注意:
如果身份验证方法为预共享密钥,则此选项可用。 |
受保护的网络 |
单击 +。此时将显示“创建受保护网络”页面。 |
创建受保护的网络 | |
区 |
从列表中选择一个将在防火墙策略中用作源区域的安全区域。 |
全局地址 |
从“可用”列中选择地址,然后单击右箭头将其移动到“选定”列。 |
添加 |
单击 Add。 将显示创建全局地址页面。请参阅 表 3。 |
编辑 |
选择要编辑的受保护网络,然后单击铅笔图标。 编辑全局地址页面将显示可编辑的字段。 |
删除 |
选择要编辑的受保护网络,然后单击 delete 图标。 弹出确认消息。 单击 是 以删除。 |
领域 |
行动 |
---|---|
接口单元 |
输入逻辑单元号。 |
描述 |
输入逻辑接口的描述。 |
区 |
从列表中选择逻辑接口区域,用作防火墙策略中的源区域。 单击 Add 以添加新区域。输入区域名称和说明,并在创建安全区域页面上单击 OK 。 |
路由实例 |
从列表中选择路由实例。 |
IPv4
注意:
仅当您选择路由模式为动态路由 - OSPF 或 BGP 时,此选项才可用。 |
|
IPv4 地址 |
输入有效的 IPv4 地址。 |
子网前缀 |
输入 IPv4 地址的子网掩码。 |
IPv6
注意:
仅当您选择路由模式为动态路由 - OSPF 或 BGP 时,此选项才可用。 |
|
IPv6 地址 |
输入有效的 IPv6 地址。 |
子网前缀 |
输入网络范围的子网掩码。输入后,将验证值。 |
领域 |
行动 |
---|---|
IKE 设置 | |
IKE 版本 |
选择必需的 IKE 版本(v1 或 v2),以协商 IPsec 的动态安全关联 (SA)。 默认值为 v2。 |
IKE 模式 |
从列表中选择 IKE 策略模式:
|
加密算法 |
从列表中选择相应的加密机制。 默认值为 aes-256-gcm。 |
身份验证算法 |
从列表中选择身份验证算法。例如,hmac-md5-96—生成 128 位摘要,hmac-sha1-96— 生成 160 位摘要。
注意:
当加密算法不是 gcm 时,此选项可用。 |
DH 组 |
Diffie-Hellman (DH) 交换允许参与方生成共享密钥值。从列表中选择相应的 DH 组。默认值为组 19。 |
生存秒数 |
选择 IKE 安全关联 (SA) 的生存期。默认:28,800 秒。范围:180 至 86,400 秒。 |
失效对等方检测 |
启用此选项可发送失效对等方检测请求,无论是否有传出 IPsec 流量到对等方。 |
DPD 模式 |
从列表中选择其中一个选项:
|
DPD 间隔 |
选择一个间隔(以秒为单位)发送失效对等方检测消息。默认间隔为 10 秒。范围为 2 到 60 秒。 |
DPD 阈值 |
选择一个 1 到 5 的数字来设置故障 DPD 阈值。 这指定当对等方没有响应时必须发送 DPD 消息的最大次数。默认传输数为 5 倍。 |
高级配置(可选) | |
通用 IKE ID |
启用此选项以接受对等 IKE ID。 |
IKEv2 重新身份验证 |
配置重新身份验证频率以触发新的 IKEv2 重新身份验证。 |
IKEv2 重新分片 |
默认情况下,此选项处于启用状态。 |
IKEv2 重新分片大小 |
在将 IKEv2 消息拆分成分片之前,选择其最大大小(以字节为单位)。 大小同时适用于 IPv4 和 IPv6 消息。范围:570 到 1320 字节。 默认值为:
|
NAT-T |
启用此选项,让 IPsec 流量通过 NAT 设备。 NAT-T 是一种 IKE 第 1 阶段算法,在尝试在两个网关设备之间建立 VPN 连接时使用,其中一个 SRX 系列设备前面有一个 NAT 设备。 |
NAT 保持活跃 |
选择适当的激活间隔(以秒为单位)。范围:1 到 300。 如果预期 VPN 会长时间处于不活动状态,则可以配置激活值以生成人工流量,使会话在 NAT 设备上保持活动状态。 |
IPsec 设置 | |
协议 |
从列表中选择封装安全协议 (ESP) 或认证头 (AH) 协议,以建立 VPN。默认值为 ESP。 |
加密算法 |
选择加密方法。默认值为 aes-256-gcm。
注意:
此选项仅适用于 ESP 协议。 |
身份验证算法 |
从列表中选择 IPsec 身份验证算法。例如,hmac-md5-96—生成 128 位摘要,hmac-sha1-96— 生成 160 位摘要。
注意:
当加密算法不是 gcm 时,此选项可用。 |
完全向前保密 |
从列表中选择完全向前保密 (PFS)。设备使用此方法生成加密密钥。默认值为组 19。 PFS 会独立于上一个密钥生成每个新加密密钥。编号越多的组可提供更高的安全性,但需要更多处理时间。
注意:
group15、group16 和 group21 仅支持已安装 SPC3 卡和 junos-ike 软件包的 SRX5000 系列设备。 |
生存秒数 |
选择 IPsec 安全关联 (SA) 的生存期(以秒为单位)。当 SA 到期时,它将被新的 SA 和安全参数索引 (SPI) 取代或终止。默认为 3,600 秒。范围:180 至 86,400 秒。 |
生存期千字节 |
选择 IPsec SA 的生存期(千字节)。默认为 128kb。范围:64 到 4294967294。 |
建立隧道 |
启用此选项以建立 IPsec 隧道。配置 VPN 并提交配置更改后,IKE 会立即激活(默认值)。 |
高级配置 | |
VPN 监控器 |
启用此选项可在目标 IP 地址中使用。
注意:
此选项不适用于流量选择器路由模式。 |
目标 IP |
输入互联网控制消息协议 (ICMP) ping 的目标。默认情况下,设备会使用对等方网关地址。
注意:
此选项不适用于流量选择器路由模式。 |
优化 |
为 VPN 对象启用此选项。如果启用,SRX 系列设备仅在有传出流量且没有来自配置的对等方通过 VPN 隧道的传入流量时发送 ICMP 回显请求 (pings)。如果存在通过 VPN 隧道的传入流量,则 SRX 系列设备会认为该隧道处于活动状态,不会向对等方发送 ping。 默认情况下,此选项处于禁用状态。
注意:
此选项不适用于流量选择器路由模式。 |
源接口 |
从列表中选择 ICMP 请求的源接口。如果未指定源接口,设备会自动使用本地隧道端点接口。
注意:
此选项不适用于流量选择器路由模式。 |
验证路径 |
启用此选项可在激活安全隧道 (st0) 接口以及与接口关联的路由安装到 Junos OS 转发表中之前验证 IPsec 数据路径。 默认情况下,此选项处于禁用状态。
注意:
此选项不适用于流量选择器路由模式。 |
目标 IP |
输入目标 IP 地址。NAT 设备后面的对等隧道端点的原始未转换 IP 地址。此 IP 地址不得为 NAT 转换的 IP 地址。如果对等隧道端点在 NAT 设备后面,则需要此选项。验证路径 ICMP 请求会发送到此 IP 地址,以便对等方可以生成 ICMP 响应。
注意:
此选项不适用于流量选择器路由模式。 |
数据包大小 |
输入在启动 st0 接口之前用于验证 IPsec 数据路径的数据包大小。范围:64 到 1350 字节。默认值为 64 个字节。
注意:
此选项不适用于流量选择器路由模式。 |
防重放 |
IPsec 使用 IPsec 数据包中内置的数字序列来抵御 VPN 攻击 — 系统不接受具有相同序列号的数据包。 默认情况下,此选项处于启用状态。反重放会检查序列号并实施检查,而不仅仅是忽略序列号。 如果 IPsec 机制出现错误,导致数据包失序,从而导致无法正常运行,请禁用反重播。 |
安装间隔 |
选择允许在设备上安装密钥重新设置的出站安全关联 (SA) 的最大秒数。选择 1 到 10 的值。 |
空闲时间 |
选择空闲时间间隔。如果未收到任何流量,会话及其相应的转换在一段时间后超时。范围为 60 到 999999 秒。 |
DF 位 |
选择设备如何处理外部标头中的不分片 (DF) 位:
|
复制外部 DSCP |
此选项默认启用。这允许将差异化服务代码点 (DSCP)(外部 DSCP+ECN) 从外部 IP 报头加密数据包复制到解密路径上的内部 IP 报头纯文本消息。启用此功能后,IPsec 解密后,明文数据包可以遵循内部 CoS (DSCP+ECN) 规则。 |