AUF DIESER SEITE
Servicesets für statische Endpunkt-IPsec-Tunnel
Service-Sets
Der PIC für adaptive Dienste unterstützt zwei Arten von Dienstsätzen, wenn Sie IPSec-Tunnel konfigurieren. Da sie für unterschiedliche Zwecke verwendet werden, ist es wichtig, die Unterschiede zwischen diesen Service-Set-Typen zu kennen.
Next-Hop-Servicegruppe: Unterstützt dynamische Multicast- und Multicast-Protokolle (wie OSPF) über IPSec. Next-Hop-Servicesets ermöglichen die Verwendung innerhalb und außerhalb logischer Schnittstellen auf dem Adaptive Services PIC, um eine Verbindung mit mehreren Routinginstanzen herzustellen. Sie ermöglichen auch die Verwendung von Network Address Translation (NAT) und Stateful-Firewall-Funktionen. Next-Hop-Servicegruppen überwachen den Routing-Engine-Datenverkehr jedoch nicht standardmäßig und erfordern die Konfiguration mehrerer Servicesätze, um Datenverkehr von mehreren Schnittstellen zu unterstützen.
Schnittstellenservice-Set: Wird auf eine physische Schnittstelle angewendet und ähnelt einem zustandslosen Firewall-Filter. Sie sind einfach zu konfigurieren, können Datenverkehr von mehreren Schnittstellen unterstützen und standardmäßig den Routing-Engine-Datenverkehr überwachen. Sie können jedoch keine dynamischen Routing-Protokolle oder Multicast-Datenverkehr über den IPSec-Tunnel unterstützen.
Im Allgemeinen wird die Verwendung von Next-Hop-Servicesets empfohlen, da diese Routingprotokolle und Multicast über den IPSec-Tunnel unterstützen, einfacher zu verstehen sind und die Routing-Tabelle Weiterleitungsentscheidungen ohne administrative Eingriffe trifft.
Siehe auch
Konfigurieren von IPsec-Servicesätzen
IPsec-Dienstsätze erfordern zusätzliche Spezifikationen, die Sie auf Hierarchieebene [edit services service-set service-set-name ipsec-vpn-options] konfigurieren:
[edit services service-set service-set-name ipsec-vpn-options] anti-replay-window-size bits; clear-dont-fragment-bit; copy-dont-fragment-bit set-dont-fragment-bit ike-access-profile profile-name; local-gateway address <gw-interface interface-name.logical-unit-number>; no-anti-replay; no-certificate-chain-in-ike; passive-mode-tunneling; trusted-ca [ ca-profile-names ]; tunnel-mtu bytes;
Die Konfiguration dieser Anweisungen wird in den folgenden Abschnitten beschrieben:
- Konfigurieren der lokalen Gateway-Adresse für IPsec-Servicesätze
- Konfigurieren von IKE-Zugriffsprofilen für IPsec-Dienstsätze
- Konfigurieren von Zertifizierungsstellen für IPsec-Servicegruppen
- Konfigurieren oder Deaktivieren des Antireplay-Diensts
- Löschen des "Nicht fragmentieren"-Bits
- Konfigurieren von Tunneling im passiven Modus
- Konfigurieren des Tunnel-MTU-Werts
- Konfigurieren der IPsec-Multipath-Weiterleitung mit UDP-Kapselung
Konfigurieren der lokalen Gateway-Adresse für IPsec-Servicesätze
Wenn Sie einen IPsec-Dienstsatz konfigurieren, müssen Sie auch eine lokale IPv4- oder IPv6-Adresse konfigurieren, indem Sie die local-gateway folgende Anweisung einfügen:
Wenn sich die IP-Adresse des IKE-Gateways (Internet Key Exchange) in inet.0 befindet (Standardsituation), konfigurieren Sie die folgende Anweisung:
local-gateway address;
Wenn sich die IP-Adresse des IKE-Gateways in einer VPN-Routing- und Weiterleitungsinstanz (VRF) befindet, konfigurieren Sie die folgende Anweisung:
local-gateway address routing-instance instance-name;
Sie können alle Link-Typ-Tunnel, die dieselbe lokale Gateway-Adresse verwenden, in einem einzigen Servicesatz im Next-Hop-Stil konfigurieren. Sie müssen für die Anweisung inside-service-interface auf der Hierarchieebene einen Wert angeben, der [edit services service-set service-set-name] mit dem ipsec-inside-interface Wert übereinstimmt, den Sie auf der [edit services ipsec-vpn rule rule-name term term-name from] Hierarchieebene konfigurieren. Weitere Informationen zur IPsec-Konfiguration finden Sie unter Konfigurieren von IPsec-Regeln.
Ab Junos OS Version 16.1 können Sie logische AMS-Schnittstellen mithilfe der ipsec-inside-interface interface-name Anweisung auf Hierarchieebene [edit services ipsec-vpn rule rule-name term term-name from] als interne IPsec-Schnittstellen konfigurieren, um Link-Typ-Tunnel (d. h. im Next-Hop-Stil) für HA-Zwecke zu konfigurieren.
Ab Junos OS Version 17.1 unterstützt AMS die IPSec-Tunnelverteilung.
- IKE-Adressen in VRF-Instanzen
- Löschen von Sicherheitszuordnungen, wenn die lokale Gateway-Adresse oder MS-MPC oder MS-MIC ausfällt
IKE-Adressen in VRF-Instanzen
Sie können IKE-Gateway-IP-Adressen (Internet Key Exchange) konfigurieren, die in einer VPN-Routing- und Weiterleiten-Instanz (VRF) vorhanden sind, solange der Peer über die VRF-Instanz erreichbar ist.
Bei Next-Hop-Dienstsätzen platziert der Schlüsselverwaltungsprozess (KMD) die IKE-Pakete in der Routinginstanz, die den outside-service-interface von Ihnen angegebenen Wert enthält, wie im folgenden Beispiel:
routing-instances vrf-nxthop {
instance-type vrf;
interface sp-1/1/0.2;
...
}
services service-set service-set-1 {
next-hop-service {
inside-service-interface sp-1/1/0.1;
outside-service-interface sp-1/1/0.2;
}
...
}
Bei Schnittstellendienstsätzen bestimmt die Anweisung service-interface das VRF, wie im folgenden Beispiel:
routing-instances vrf-intf {
instance-type vrf;
interface sp-1/1/0.3;
interface ge-1/2/0.1; # interface on which service set is applied
...
}
services service-set service-set-2 {
interface-service {
service-interface sp-1/1/0.3;
}
...
}
Löschen von Sicherheitszuordnungen, wenn die lokale Gateway-Adresse oder MS-MPC oder MS-MIC ausfällt
Ab Junos OS Version 17.2R1 können Sie die gw-interface Anweisung verwenden, um die Bereinigung von IKE-Triggern und IKE- und IPsec-SAs zu aktivieren, wenn die IP-Adresse des lokalen IPsec-Gateways eines IPsec-Tunnels ausfällt oder die MS-MIC oder MS-MPC, die im Service-Set des Tunnels verwendet werden, ausfällt.
local-gateway address <gw-interface interface-name.logical-unit-number>;
Das interface-name und logical-unit-number muss mit der Schnittstelle und der logischen Einheit übereinstimmen, auf der die IP-Adresse des lokalen Gateways konfiguriert ist.
Wenn die IP-Adresse des lokalen Gateways für den Servicesatz eines IPsec-Tunnels ausfällt oder die MS-MIC oder MS-MPC, die im Servicesatz verwendet werden, ausfällt, sendet die Dienstgruppe keine IKE-Trigger mehr. Wenn die IP-Adresse des lokalen Gateways ausfällt, werden die IKE- und IPsec-Sicherheitszuordnungen für Next-Hop-Dienstsätze gelöscht und gehen für schnittstellenartige Dienstsätze in den Status "Nicht installiert" über. Die Sicherheitszuordnungen mit dem Status "Nicht installiert" werden gelöscht, wenn die IP-Adresse des lokalen Gateways wieder verfügbar ist.
Wenn die IP-Adresse des lokalen Gateways, die für einen Dienstsatz des nächsten Hops ausfällt, für den Responderpeer bestimmt ist, müssen Sie die IKE- und IPsec-Sicherheitszuordnungen auf dem Initiatorpeer löschen, damit der IPsec-Tunnel wieder hochgefahren wird, sobald die IP-Adresse des lokalen Gateways wieder verfügbar ist. Sie können entweder die IKE- und IPsec-Sicherheitszuordnungen auf dem Initiator-Peer manuell löschen (siehe Clear Services ipsec-vpn, IKE security-associations und clear services ipsec-vpn ipsec security-associations) oder die Erkennung toter Peers auf dem Initiator-Peer aktivieren (siehe Konfigurieren von Stateful Firewall-Regeln).
Konfigurieren von IKE-Zugriffsprofilen für IPsec-Dienstsätze
Nur für dynamisches Endpunkt-Tunneling müssen Sie auf das auf der [edit access] Hierarchieebene konfigurierte IKE-Zugriffsprofil verweisen. Fügen Sie dazu die ike-access-profile Anweisung auf der [edit services service-set service-set-name ipsec-vpn-options] Hierarchieebene ein:
[edit services service-set service-set-name ipsec-vpn-options] ike-access-profile profile-name;
Die ike-access-profile Anweisung muss auf denselben Namen verweisen wie die Anweisung, die Sie für den profile IKE-Zugriff auf der [edit access] Hierarchieebene konfiguriert haben. Sie können in jedem Servicesatz nur auf ein Zugriffsprofil verweisen. Dieses Profil wird nur zum Aushandeln von IKE- und IPsec-Sicherheitszuordnungen mit dynamischen Peers verwendet.
Wenn Sie ein IKE-Zugriffsprofil in einem Servicesatz konfigurieren, kann kein anderer Servicesatz dieselbe local-gateway Adresse verwenden.
Außerdem müssen Sie für jedes VRF einen separaten Servicesatz konfigurieren. Alle Schnittstellen, auf die von der ipsec-inside-interface Anweisung innerhalb eines Servicesatzes verwiesen wird, müssen demselben VRF angehören.
Konfigurieren von Zertifizierungsstellen für IPsec-Servicegruppen
Sie können eine oder mehrere vertrauenswürdige Zertifizierungsstellen angeben, indem Sie die trusted-ca folgende Anweisung einfügen:
trusted-ca [ ca-profile-names ];
Wenn Sie digitale PKI-Zertifikate (Public Key Infrastructure) in der IPsec-Konfiguration konfigurieren, kann jeder Dienstsatz über einen eigenen Satz vertrauenswürdiger Zertifizierungsstellen verfügen. Die Namen, die Sie für die Anweisung trusted-ca angeben, müssen mit den auf der [edit security pki] Hierarchieebene konfigurierten Profilen übereinstimmen. Weitere Informationen finden Sie in der Junos OS Administration Library for Routing Devices. Weitere Informationen zur Konfiguration digitaler IPsec-Zertifikate finden Sie unter Konfigurieren von IPsec-Regeln.
Ab Junos OS Version 18.2R1 können Sie den Router der MX-Serie mit MS-MPCs oder MS-MICs so konfigurieren, dass nur das Endentitätszertifikat für die zertifikatbasierte IKE-Authentifizierung statt der vollständigen Zertifikatskette gesendet wird. Dadurch wird eine IKE-Fragmentierung vermieden. Um diese Funktion zu konfigurieren, fügen Sie die no-certificate-chain-in-ike folgende Anweisung ein:
[edit services service-set service-set-name ipsec-vpn-options] no-certificate-chain-in-ike;
Konfigurieren oder Deaktivieren des Antireplay-Diensts
Sie können die Anweisung anti-replay-window-size auf der [edit services service-set service-set-name ipsec-vpn-options] Hierarchieebene einschließen, um die Größe des Antiwiedergabefensters anzugeben.
anti-replay-window-size bits;
Diese Anweisung ist nützlich für dynamische Endpunkttunnel, für die Sie die anti-replay-window-size Anweisung nicht auf Hierarchieebene [edit services ipsec-vpn rule rule-name term term-name then] konfigurieren können.
Bei statischen IPsec-Tunneln legt diese Anweisung die Größe des Antireplay-Fensters für alle statischen Tunnel innerhalb dieses Dienstsatzes fest. Wenn für einen bestimmten Tunnel ein bestimmter Wert für die Größe des Antireplay-Fensters erforderlich ist, legen Sie die anti-replay-window-size Anweisung auf der [edit services ipsec-vpn rule rule-name term term-name then] Hierarchieebene fest. Wenn die Antireplay-Prüfung für einen bestimmten Tunnel in diesem Service-Set deaktiviert werden muss, setzen Sie die no-anti-replay Anweisung auf Hierarchieebene [edit services ipsec-vpn rule rule-name term term-name then] .
no-anti-replay Die anti-replay-window-size und-Einstellungen auf der [edit services ipsec-vpn rule rule-name term term-name then] Hierarchieebene überschreiben die auf der Hierarchieebene [edit services service-set service-set-name ipsec-vpn-options] angegebenen Einstellungen.
Sie können die Anweisung auch auf der [edit services service-set service-set-name ipsec-vpn-options] Hierarchieebene einschließen, um den no-anti-replay IPsec-Antiwiedergabedienst zu deaktivieren. Gelegentlich kommt es zu Interoperabilitätsproblemen bei Sicherheitszuordnungen.
no-anti-replay;
Diese Anweisung ist nützlich für dynamische Endpunkttunnel, für die Sie die no-anti-reply Anweisung nicht auf Hierarchieebene [edit services ipsec-vpn rule rule-name term term-name then] konfigurieren können.
Bei statischen IPsec-Tunneln deaktiviert diese Anweisung die Antireplay-Prüfung für alle Tunnel innerhalb dieses Servicesatzes. Wenn die Antireplay-Prüfung für einen bestimmten Tunnel aktiviert werden muss, setzen Sie die Anweisung anti-replay-window-size auf Hierarchieebene [edit services ipsec-vpn rule rule-name term term-name then] .
Das Festlegen der anti-replay-window-size and-Anweisungen no-anti-replay auf der [edit services ipsec-vpn rule rule-name term term-name then] Hierarchieebene überschreibt die auf der Hierarchieebene [edit services service-set service-set-name ipsec-vpn-options] angegebenen Einstellungen.
Löschen des "Nicht fragmentieren"-Bits
Sie können die Anweisung clear-dont-fragment-bit auf der [edit services service-set service-set-name ipsec-vpn-options] Hierarchieebene einschließen, um das DF-Bit (nicht fragmentieren) für alle IPv4-Pakete (IP Version 4), die in den IPsec-Tunnel eingehen, zu löschen. Wenn die Größe des gekapselten Pakets die maximale Übertragungseinheit (MTU) des Tunnels überschreitet, wird das Paket vor der Einkapselung fragmentiert.
clear-dont-fragment-bit;
Diese Anweisung ist nützlich für dynamische Endpunkttunnel, für die Sie die clear-dont-fragment-bit Anweisung nicht auf Hierarchieebene [edit services ipsec-vpn rule rule-name term term-name then] konfigurieren können.
Bei statischen IPsec-Tunneln löscht das Festlegen dieser Anweisung das DF-Bit für Pakete, die in alle statischen Tunnel innerhalb dieses Servicesatzes eingehen. Wenn Sie das DF-Bit für Pakete, die in einen bestimmten Tunnel eintreten, löschen möchten, legen Sie die clear-dont-fragment-bit Anweisung auf der [edit services ipsec-vpn rule rule-name term term-name then] Hierarchieebene fest.
Ab Junos OS Version 14.1 können Sie in Paketen, die über IPSec-Tunnel mit dynamischem Endgerät übertragen werden, festlegen, dass der im DF-Bit des Pakets, das in den Tunnel eintritt, festgelegte Wert nur in den äußeren Header des IPsec-Pakets kopiert wird und keine Änderungen am DF-Bit im inneren Header des IPsec-Pakets bewirkt. Wenn die Paketgröße den MTU-Wert (Tunnel Maximum Transmission Unit) überschreitet, wird das Paket vor der Verkapselung fragmentiert. Bei IPsec-Tunneln ist der Standard-MTU-Wert 1500, unabhängig von der MTU-Einstellung der Schnittstelle. Wenn Sie den DF-Bitwert nur in den äußeren Header kopieren und den inneren Header nicht ändern möchten, verwenden Sie die copy-dont-fragment-bit Anweisung auf der [edit services service-set service-set-name ipsec-vpn-options] Hierarchieebene. Sie können das DF-Bit auch so konfigurieren, dass es nur im äußeren IPv4-Header des IPsec-Pakets und nicht im inneren IPv4-Header definiert wird. Um das DF-Bit nur im äußeren Header des IPsec-Pakets zu konfigurieren und den inneren Header unverändert zu lassen, schließen Sie die set-dont-fragment-bit Anweisung auf der [edit services service-set service-set-name ipsec-vpn-options] Hierarchieebene ein. Diese Einstellungen gelten für dynamische Endpunkttunnel und nicht für statische Tunnel, für die Sie die and-Anweisungen set-dont-fragment-bit auf Hierarchieebene [edit services ipsec-vpn rule rule-name term term-name then] einschließen müssen, um das copy-dont-fragment-bit DF-Bit in den IPv4-Paketen zu löschen, die in den statischen Tunnel gelangen. Diese Funktionen werden auf Routern der MX-Serie mit MS-MICs und MS-MPCs unterstützt.
Konfigurieren von Tunneling im passiven Modus
Sie können die passive-mode-tunneling Anweisung auf Hierarchieebene [edit services service-set service-set-name ipsec-vpn-options] einschließen, um den Dienstsatz zum Tunneln fehlerhafter Pakete zu aktivieren.
[edit services service-set service-set-name ipsec-vpn-options] passive-mode-tunneling;
Diese Funktion umgeht die aktiven IP-Prüfungen, wie Version, TTL, Protokoll, Optionen, Adresse und andere Landangriffsprüfungen, und tunnelt die Pakete unverändert. Wenn diese Anweisung nicht konfiguriert ist, werden Pakete, die die IP-Prüfungen nicht bestehen, im PIC verworfen. Im passiven Modus wird das innere Paket nicht berührt. Wenn die Paketgröße den Tunnel-MTU-Wert überschreitet, wird kein ICMP-Fehler generiert.
Der IPsec-Tunnel wird nicht als nächster Hop behandelt, und die TTL wird nicht dekrementiert. Da kein ICMP-Fehler generiert wird, wenn die Paketgröße den Tunnel-MTU-Wert überschreitet, wird das Paket auch dann getunnelt, wenn es den Tunnel-MTU-Schwellenwert überschreitet.
Diese Funktionalität ähnelt der in der Anweisung bereitgestellten Anweisung, die no-ipsec-tunnel-in-traceroute unter Ablaufverfolgung von Junos VPN Site Secure-Vorgängen beschrieben wird. Ab Junos OS Version 14.2 wird Passivmodus-Tunneling auf MS-MICs und MS-MPCs unterstützt.
Ab Junos OS Version 14.2 verfügt die header-integrity-check auf MS-MICs und MS-MPCs unterstützte Option, den Paket-Header auf Anomalien in IP-, TCP-, UDP- und ICMP-Informationen zu überprüfen und solche Anomalien und Fehler zu kennzeichnen, über eine Funktionalität, die der durch Passivmodus-Tunneling verursachten Funktionalität entgegengesetzt ist. Wenn Sie sowohl die Anweisung als auch die passive-mode tunneling Anweisung auf MS-MICs und MS-MPCs konfigurieren und versuchen, einen Commit für eine solche Konfiguration auszuführen, wird während des header-integrity-check Commits ein Fehler angezeigt.
Die Tunnelingfunktionalität im passiven Modus (durch Einschließen der passive-mode-tunnelin Anweisung auf Hierarchieebene [edit services service-set service-set-name ipsec-vpn-options] ) ist eine Obermenge der Funktion zum Deaktivieren des IPsec-Tunnelendpunkts in der Traceroute-Ausgabe (durch Einschließen no-ipsec-tunnel-in-traceroute der Anweisung auf Hierarchieebene [edit services ipsec-vpn] ). Beim Tunneling im passiven Modus werden außerdem die aktiven IP-Überprüfungen und die Tunnel-MTU-Prüfung umgangen, zusätzlich wird ein IPsec-Tunnel nicht wie in der no-ipsec-tunnel-in-traceroute Anweisung konfiguriert als nächster Hop behandelt.
Konfigurieren des Tunnel-MTU-Werts
Sie können die tunnel-mtu Anweisung auf Hierarchieebene [edit services service-set service-set-name ipsec-vpn-options] einschließen, um den MTU-Wert (Maximum Transmission Unit) für IPsec-Tunnel festzulegen.
tunnel-mtu bytes;
Diese Anweisung ist nützlich für dynamische Endpunkttunnel, für die Sie die tunnel-mtu Anweisung nicht auf Hierarchieebene [edit services ipsec-vpn rule rule-name term term-name then] konfigurieren können.
Bei statischen IPsec-Tunneln legt diese Anweisung den Tunnel-MTU-Wert für alle Tunnel innerhalb dieses Servicesatzes fest. Wenn Sie einen bestimmten Wert für einen bestimmten Tunnel benötigen, legen Sie die tunnel-mtu Anweisung auf Hierarchieebene [edit services ipsec-vpn rule rule-name term term-name then] fest.
Die tunnel-mtu Einstellung auf der Hierarchieebene [edit services ipsec-vpn rule rule-name term term-name then] überschreibt den auf der Hierarchieebene [edit services service-set service-set-name ipsec-vpn-options] angegebenen Wert.
Konfigurieren der IPsec-Multipath-Weiterleitung mit UDP-Kapselung
Ab Junos OS Version 16.1 können Sie die Multipath-Weiterleitung von IPsec-Datenverkehr aktivieren, indem Sie die UDP-Kapselung im Service-Set konfigurieren, die der IPsec-Kapselung von Paketen einen UDP-Header hinzufügt. Dies führt dazu, dass IPsec-Datenverkehr über mehrere Pfade weitergeleitet wird, wodurch der Durchsatz von IPsec-Datenverkehr erhöht wird. Wenn Sie die UDP-Kapselung nicht aktivieren, folgt der gesamte IPsec-Datenverkehr einem einzigen Weiterleitungspfad.
Wenn NAT-T erkannt wird, findet nur die NAT-T-UDP-Kapselung statt, nicht die UDP-Kapselung für IPsec-Pakete.
So aktivieren Sie die UDP-Kapselung:
Aktivieren Sie die UDP-Kapselung.
[edit services service-set service-set-name ipsec-vpn-options] user@host set udp-encapsulation
(Optional) Geben Sie die Nummer des UDP-Zielports an.
[edit services service-set service-set-name ipsec-vpn-options udp-encapsulation] user@host set udp-dest-port destination-port
Verwenden Sie eine Zielportnummer zwischen 1025 und 65536, aber nicht 4500. Wenn Sie keine Portnummer angeben, ist der Standardzielport 4565.
Siehe auch
Anfordern und Installieren von digitalen Zertifikaten auf Ihrem Router
Ein digitales Zertifikat ist ein elektronisches Mittel zur Überprüfung Ihrer Identität durch einen vertrauenswürdigen Dritten, der als Zertifizierungsstelle (CA) bezeichnet wird. Alternativ können Sie ein selbstsigniertes Zertifikat verwenden, um Ihre Identität zu bestätigen. Der von Ihnen verwendete Zertifizierungsstellenserver kann im Besitz einer unabhängigen Zertifizierungsstelle oder Ihrer eigenen Organisation sein und von dieser betrieben werden. In diesem Fall werden Sie zu Ihrer eigenen Zertifizierungsstelle. Wenn Sie eine unabhängige Zertifizierungsstelle verwenden, müssen Sie sich an diese wenden, um die Adressen ihrer Zertifizierungsstelle und der Zertifikatsperrlistenserver (zum Abrufen von Zertifikaten und CRLs) sowie die Informationen zu erhalten, die sie beim Übermitteln persönlicher Zertifikatanforderungen benötigen. Wenn Sie Ihre eigene Zertifizierungsstelle sind, bestimmen Sie diese Informationen selbst. Die Public Key Infrastructure (PKI) stellt eine Infrastruktur für die Verwaltung digitaler Zertifikate bereit.
Anfordern eines digitalen Zertifikats – manueller Prozess
Um digitale Zertifikate manuell zu erhalten, müssen Sie ein Zertifizierungsstellenprofil konfigurieren, ein privates und öffentliches Schlüsselpaar generieren, ein lokales Zertifikat erstellen und die Zertifikate auf den Router laden. Nach dem Laden der Zertifikate können diese in Ihrer IPsec-VPN-Konfiguration referenziert werden.
In diesem Verfahren wird gezeigt, wie Sie ein CA-Profil konfigurieren können:
Beispiel: IKE Dynamic SA Configuration mit digitalen Zertifikaten
Dieses Beispiel zeigt, wie die dynamische IKE-Sicherheitszuordnung mit digitalen Zertifikaten konfiguriert wird, und enthält die folgenden Abschnitte.
Anforderungen
In diesem Beispiel werden die folgenden Hardware- und Softwarekomponenten verwendet:
Vier Router der M Series, MX-Serie oder T-Serie mit installierten Multiservices-Schnittstellen.
Junos OS Version 9.4 oder höher.
Bevor Sie dieses Beispiel konfigurieren, müssen Sie ein CA-Zertifikat anfordern, ein lokales Zertifikat erstellen und diese digitalen Zertifikate in den Router laden. Weitere Informationen finden Sie unter Anfordern und Installieren von digitalen Zertifikaten auf Ihrem Router
Überblick
Eine Sicherheitszuordnung (SA) ist eine Simplex-Verbindung, die es zwei Hosts ermöglicht, sicher über IPsec miteinander zu kommunizieren. In diesem Beispiel wird die Konfiguration dynamischer IKE-Sicherheitszuordnungen mit digitalen Zertifikaten erläutert. Die Verwendung von digitalen Zertifikaten bietet zusätzliche Sicherheit für Ihren IKE-Tunnel. Wenn Sie die Standardwerte im Services PIC verwenden, müssen Sie keinen IPsec-Vorschlag oder keine IPsec-Richtlinie konfigurieren. Sie müssen jedoch einen IKE-Vorschlag konfigurieren, der die Verwendung digitaler Zertifikate angibt, auf den IKE-Vorschlag und das lokale Zertifikat in einer IKE-Richtlinie verweisen und das Zertifizierungsstellenprofil auf den Dienstsatz anwenden.
Abbildung 1 zeigt eine IPsec-Topologie mit einer Gruppe von vier Routern. Diese Konfiguration erfordert, dass die Router 2 und 3 einen IKE-basierten IPsec-Tunnel einrichten, indem sie digitale Zertifikate anstelle von vorinstallierten Schlüsseln verwenden. Die Router 1 und 4 stellen die grundlegende Konnektivität bereit und werden verwendet, um zu überprüfen, ob der IPsec-Tunnel betriebsbereit ist.
Topologie
Konfiguration
Führen Sie die folgenden Aufgaben aus, um die dynamische IKE-Sicherheitszuordnung mit digitalen Zertifikaten zu konfigurieren:
Die in diesem Beispiel gezeigten Schnittstellentypen dienen nur zu Richtzwecken. Sie können z. B. Schnittstellen anstelle so- von ge- und sp- anstelle von verwenden.ms-
- Konfigurieren von Router 1
- Konfigurieren von Router 2
- Konfigurieren von Router 3
- Konfigurieren von Router 4
Konfigurieren von Router 1
CLI Schnellkonfiguration
Um dieses Beispiel schnell zu konfigurieren, kopieren Sie die folgenden Befehle, fügen Sie sie in eine Textdatei ein, entfernen Sie alle Zeilenumbrüche, ändern Sie alle erforderlichen Details, damit sie Ihrer Netzwerkkonfiguration entsprechen, und kopieren Sie dann die Befehle und fügen Sie sie in die CLI auf der Hierarchieebene [Bearbeiten] von Router 1 ein.
set interfaces ge-0/0/0 description "to R2 ge-0/0/0" set interfaces ge-0/0/0 unit 0 family inet address 10.1.12.2/30 set interfaces lo0 unit 0 family inet address 10.0.0.1/32 set routing-options router-id 10.0.0.1 set protocols ospf area 0.0.0.0 interface ge-0/0/0 set protocols ospf area 0.0.0.0 interface lo0.0
Schritt-für-Schritt-Anleitung
Im folgenden Beispiel müssen Sie durch verschiedene Ebenen in der Konfigurationshierarchie navigieren. Weitere Informationen zum Navigieren in der CLI finden Sie unter Verwenden des CLI-Editors im Konfigurationsmodus im CLI-Benutzerhandbuch.
So konfigurieren Sie Router 1 für OSPF-Konnektivität mit Router 2:
Konfigurieren Sie eine Ethernet-Schnittstelle und die Loopback-Schnittstelle.
[edit interfaces] user@router1# set ge-0/0/0 description "to R2 ge-0/0/0" user@router1# set ge-0/0/0 unit 0 family inet address 10.1.12.2/30 user@router1# set lo0 unit 0 family inet address 10.0.0.1/32
Geben Sie den OSPF-Bereich an, und ordnen Sie die Schnittstellen dem OSPF-Bereich zu.
[edit protocols] user@router1# set ospf area 0.0.0.0 interface ge-0/0/0.0 user@router1# set ospf area 0.0.0.0 interface lo0.0
Konfigurieren Sie die Router-ID.
[edit routing-options] user@router1# set router-id 10.0.0.1
Bestätigen Sie die Konfiguration.
[edit] user@router1# commit
Befund
Bestätigen Sie im Konfigurationsmodus Ihre Konfiguration, show protocols ospfindem Sie die show interfacesBefehle , und show routing-options eingeben. Wenn in der Ausgabe nicht die beabsichtigte Konfiguration angezeigt wird, wiederholen Sie die Anweisungen in diesem Beispiel, um die Konfiguration zu korrigieren.
user@router1# show interfaces
interfaces {
ge-0/0/0 {
description "To R2 ge-0/0/0";
unit 0 {
family inet {
address 10.1.12.2/30;
}
}
}
lo0 {
unit 0 {
family inet {
address 10.0.0.1/32;
}
}
}
}
user@router1# show protocols ospf
protocols {
ospf {
area 0.0.0.0 {
interface ge-0/0/0.0;
interface lo0.0;
}
}
}
user@router1# show routing-options
routing-options {
router-id 10.0.0.1;
}
Konfigurieren von Router 2
CLI Schnellkonfiguration
Um dieses Beispiel schnell zu konfigurieren, kopieren Sie die folgenden Befehle, fügen Sie sie in eine Textdatei ein, entfernen Sie alle Zeilenumbrüche, ändern Sie alle erforderlichen Details, damit sie Ihrer Netzwerkkonfiguration entsprechen, und kopieren Sie dann die Befehle und fügen Sie sie in die CLI auf der Hierarchieebene [Bearbeiten] von Router 2 ein.
set interfaces ge-0/0/0 description "to R1 ge-0/0/0" set interfaces ge-0/0/0 unit 0 family inet address 10.1.12.1/30 set interfaces ge-0/0/1 description "to R3 ge-0/0/1" set interfaces ge-0/0/1 unit 0 family inet address 10.1.15.1/30 set interfaces ms-1/2/0 services-options syslog host local services info set interfaces ms-1/2/0 unit 0 family inet set interfaces ms-1/2/0 unit 1 family inet set interfaces ms-1/2/0 unit 1 service-domain inside set interfaces ms-1/2/0 unit 2 family inet set interfaces ms-1/2/0 unit 2 service-domain outside set interfaces lo0 unit 0 family inet address 10.0.0.2/32 set protocols ospf area 0.0.0.0 interface ge-0/0/0.0 set protocols ospf area 0.0.0.0 interface lo0.0 set protocols ospf area 0.0.0.0 interface ms-1/2/0.1 set routing-options router-id 10.0.0.2 set services ipsec-vpn rule rule-ike term term-ike then remote-gateway 10.1.15.2 set services ipsec-vpn rule rule-ike term term-ike then dynamic ike-policy ike-digital-certificates set services ipsec-vpn rule rule-ike term term-ike then dynamic ipsec-policy ipsec-demo-policy set services ipsec-vpn rule match-direction input set services ipsec-vpn ike proposal ike-demo-proposal authentication-method rsa-signatures set services ipsec-vpn ike policy ike-digital-certificates proposals ike-demo-proposal set services ipsec-vpn ike policy ike-digital-certificates local-id fqdn router2.example.com set services ipsec-vpn ike policy ike-digital-certificates local-certificate local-entrust2 set services ipsec-vpn ike policy ike-digital-certificates remote-id fqdn router3.example.com set services ipsec-vpn ipsec proposal ipsec-demo-proposal protocol esp set services ipsec-vpn ipsec proposal ipsec-demo-proposal authentication-algorithm hmac-sha1-96 set services ipsec-vpn ipsec proposal ipsec-demo-proposal encryption-algorithm 3des-cbc set services ipsec-vpn ipsec policy ipsec-demo-policy perfect-forward-secrecy keys group2 set services ipsec-vpn ipsec proposals ipsec-demo-proposal set services ipsec-vpn establish-tunnels immediately set services service-set demo-service-set next-hop-service inside-service-interface ms-1/2/0.1 set services service-set demo-service-set next-hop-service outside-service-interface ms-1/2/0.2 set services service-set demo-service-set ipsec-vpn-options trusted-ca entrust set services service-set demo-service-set ipsec-vpn-options local-gateway 10.1.15.1 set services service-set demo-service-set ipsec-vpn-rules rule-ike
Schritt-für-Schritt-Anleitung
Im folgenden Beispiel müssen Sie durch verschiedene Ebenen in der Konfigurationshierarchie navigieren. Weitere Informationen zum Navigieren in der CLI finden Sie unter Verwenden des CLI-Editors im Konfigurationsmodus im CLI-Benutzerhandbuch.
So konfigurieren Sie OSPF-Konnektivität und IPsec-Tunnelparameter auf Router 2:
Konfigurieren Sie die Eigenschaften der Schnittstelle. In diesem Schritt konfigurieren Sie zwei Ethernet-Schnittstellen (ge-1/0/0 und ge-1/0/1), die Loopback-Schnittstelle und eine Multiservices-Schnittstelle (ms-1/2/0).
[edit interfaces] user@router2# set ge-0/0/0 description "to R1 ge-0/0/0" user@router2# set ge-0/0/0 unit 0 family inet address 10.1.12.1/30 user@router2# set ge-0/0/1 description "to R3 ge-0/0/1" user@router2# set ge-0/0/1 unit 0 family inet address 10.1.15.1/30 user@router2# set ms-1/2/0 services-options syslog host local services info user@router2# set ms-1/2/0 unit 0 family inet user@router2# set ms-1/2/0 unit 1 family inet user@router2# set ms-1/2/0 unit 1 service-domain inside user@router2# set ms-1/2/0 unit 2 family inet user@router2# set ms-1/2/0 unit 2 service-domain outside user@router2# set lo0 unit 0 family inet address 10.0.0.2/32
Geben Sie den OSPF-Bereich an, und ordnen Sie die Schnittstellen dem OSPF-Bereich zu.
[edit protocols] user@router2# set ospf area 0.0.0.0 interface ge-0/0/0.0 user@router2# set ospf area 0.0.0.0 interface lo0.0 user@router2# set ospf area 0.0.0.0 interface ms-1/2/0.1
Konfigurieren Sie die Router-ID.
[edit routing-options] user@router2# set router-ID 10.0.0.2
Konfigurieren Sie einen IKE-Vorschlag und eine IKE-Richtlinie. Um einen IKE-Vorschlag für digitale Zertifikate zu aktivieren, schließen Sie die
rsa-signaturesAnweisung auf der[edit services ipsec-vpn ike proposal proposal-name authentication-method]Hierarchieebene ein. Um in der IKE-Richtlinie auf das lokale Zertifikat zu verweisen, schließen Sie dielocal-certificateAnweisung auf der[edit services ipsec-vpn ike policy policy-name]Hierarchieebene ein. Um die Zertifizierungsstelle oder RA im Servicesatz zu identifizieren, schließen Sie dietrusted-caAnweisung auf der[edit services service-set service-set-name ipsec-vpn-options]Hierarchieebene ein.Anmerkung:Informationen zum Erstellen und Installieren digitaler Zertifikate finden Sie unter Anfordern und Installieren von digitalen Zertifikaten auf Ihrem Router
[edit services ipsec-vpn] user@router2# set ike proposal ike-demo-proposal authentication-method rsa-signatures user@router2# set ike policy ike-digital-certificates proposals ike-demo-proposal user@router2# set ike policy ike-digital-certificates local-id fqdn router2.example.com user@router2# set ike policy ike-digital-certificates local-certificate local-entrust2 user@router2# set ike policy ike-digital-certificates remote-id fqdn router3.example.com
Konfigurieren eines IPsec-Vorschlags und einer IPsec-Richtlinie. Stellen Sie außerdem den
established-tunnelsKnopf aufimmediately.[edit services ipsec-vpn] user@router2# set ipsec proposal ipsec-demo-proposal protocol esp user@router2# set ipsec proposal ipsec-demo-proposal authentication-algorithm hmac-sha1-96 user@router2# set ipsec proposal ipsec-demo-proposal encryption-algorithm 3des-cbc user@router2# set ipsec policy ipsec-demo-policy perfect-forward-secrecy keys group2 user@router2# set ipsec proposals ipsec-demo-proposal user@router2# set establish-tunnels immediately
Konfigurieren Sie eine IPsec-Regel.
[edit services ipsec-vpn] user@router2# set rule rule-ike term term-ike then remote-gateway 10.1.15.2 user@router2# set rule rule-ike term term-ike then dynamic ike-policy ike-digital-certificates user@router2# set rule rule-ike term term-ike then dynamic ipsec-policy ipsec-demo-policy user@router2# set rule match-direction input
Konfigurieren Sie einen Servicesatz im Stil eines nächsten Hops, geben Sie die Adresse des lokalen Gateways an, und ordnen Sie die IPsec-VPN-Regel dem Servicesatz zu.
[edit services] user@router2# set service-set demo-service-set next-hop-service inside-service-interface ms-1/2/0.1 user@router2# set service-set demo-service-set next-hop-service outside-service-interface ms-1/2/0.2 user@router2# set service-set demo-service-set ipsec-vpn-options trusted-ca entrust user@router2# set service-set demo-service-set ipsec-vpn-options local-gateway 10.1.15.1 user@router2# set service-set demo-service-set ipsec-vpn-rules rule-ike
Bestätigen Sie die Konfiguration.
[edit] user@router2# commit
Befund
Bestätigen Sie im Konfigurationsmodus Ihre Konfiguration, indem Sie die show interfacesBefehle , show routing-optionsshow protocols ospf, und show services eingeben. Wenn in der Ausgabe nicht die beabsichtigte Konfiguration angezeigt wird, wiederholen Sie die Anweisungen in diesem Beispiel, um die Konfiguration zu korrigieren
user@router2# show interfaces
interfaces {
ge-0/0/0 {
description "To R1 ge-0/0/0";
unit 0 {
family inet {
address 10.1.12.1/30;
}
}
}
ge-0/0/1 {
description "To R3 ge-0/0/1";
unit 0 {
family inet {
address 10.1.15.1/30;
}
}
}
ms-1/2/0 {
services-options {
syslog {
host local {
services info;
}
}
}
unit 0 {
family inet;
}
unit 1 {
family inet;
service-domain inside;
}
unit 2 {
family inet;
service-domain outside;
}
}
lo0 {
unit 0 {
family inet {
address 10.0.0.2/32;
}
}
}
}
user@router2# show protocols ospf
protocols {
ospf {
area 0.0.0.0 {
interface ge-0/0/0.0;
interface lo0.0;
interface ms-1/2/0.1;
}
}
}
user@router2# show routing-options
routing-options {
router-id 10.0.0.2;
}
user@router2# show services
services {
ipsec-vpn {
rule rule-ike {
term term-ike {
then {
remote-gateway 10.1.15.2;
dynamic {
ike-policy ike-digital-certificates;
ipsec-policy ipsec-demo-policy
}
}
}
match-direction input;
}
ike {
proposal ike-demo-proposal {
authentication-method rsa-signatures;
}
policy ike-digital-certificates {
proposals ike-demo-proposal;
local-id fqdn router2.example.com;
local-certificate local-entrust2;
remote-id fqdn router3.example.com;
}
}
ipsec {
proposal ipsec-demo-proposal {
protocol esp;
authentication-algorithm hmac-sha1-96;
encryption-algorithm 3des-cbc;
}
policy demo-policy {
perfect-forward-secrecy {
keys group2;
}
proposals ipsec-demo-proposal;
}
establish-tunnels immediately;
}
service-set service-set-dynamic-demo-service-set {
next-hop-service {
inside-service-interface ms-1/2/0.1;
outside-service-interface ms-1/2/0.2;
}
ipsec-vpn-options {
trusted-ca entrust;
local-gateway 10.1.15.1;
}
ipsec-vpn-rules rule-ike;
}
}
}
Konfigurieren von Router 3
CLI Schnellkonfiguration
Um dieses Beispiel schnell zu konfigurieren, kopieren Sie die folgenden Befehle, fügen Sie sie in eine Textdatei ein, entfernen Sie alle Zeilenumbrüche, ändern Sie alle erforderlichen Details, um sie an Ihre Netzwerkkonfiguration anzupassen, und kopieren Sie dann die Befehle und fügen Sie sie in die CLI auf der Hierarchieebene [Bearbeiten] von Router 3 ein.
set interfaces ge-0/0/0 description "to R4 ge-0/0/0" set interfaces ge-0/0/0 unit 0 family inet address 10.1.56.1/30 set interfaces ge-0/0/1 description "to R2 ge-0/0/1" set interfaces ge-0/0/1 unit 0 family inet address 10.1.15.2/30 set interfaces ms-1/2/0 services-options syslog host local services info set interfaces ms-1/2/0 unit 0 family inet set interfaces ms-1/2/0 unit 1 family inet set interfaces ms-1/2/0 unit 1 service-domain inside set interfaces ms-1/2/0 unit 2 family inet set interfaces ms-1/2/0 unit 2 service-domain outside set interfaces lo0 unit 0 family inet address 10.0.0.3/32 set protocols ospf area 0.0.0.0 interface ge-0/0/0.0 set protocols ospf area 0.0.0.0 interface lo0.0 set protocols ospf area 0.0.0.0 interface ms-1/2/0.1 set routing-options router-id 10.0.0.3 set services ipsec-vpn rule rule-ike term term-ike then remote-gateway 10.1.15.1 set services ipsec-vpn rule rule-ike term term-ike then dynamic ike-policy ike-digital-certificates set services ipsec-vpn rule rule-ike term term-ike then dynamic ipsec-policy ipsec-demo-policy set services ipsec-vpn rule match-direction input set services ipsec-vpn ike proposal ike-demo-proposal authentication-method rsa-signatures set services ipsec-vpn ike policy ike-digital-certificates proposals ike-demo-proposal set services ipsec-vpn ike policy ike-digital-certificates local-id fqdn router3.example.com set services ipsec-vpn ike policy ike-digital-certificates local-certificate local-entrust3 set services ipsec-vpn ike policy ike-digital-certificates remote-id fqdn router2.example.com set services ipsec-vpn ipsec proposal ipsec-demo-proposal protocol esp set services ipsec-vpn ipsec proposal ipsec-demo-proposal authentication-algorithm hmac-sha1-96 set services ipsec-vpn ipsec proposal ipsec-demo-proposal encryption-algorithm 3des-cbc set services ipsec-vpn ipsec policy ipsec-demo-policy perfect-forward-secrecy keys group2 set services ipsec-vpn ipsec proposals ipsec-demo-proposal set services ipsec-vpn establish-tunnels immediately set services service-set demo-service-set next-hop-service inside-service-interface ms-1/2/0.1 set services service-set demo-service-set next-hop-service outside-service-interface ms-1/2/0.2 set services service-set demo-service-set ipsec-vpn-options trusted-ca entrust set services service-set demo-service-set ipsec-vpn-options local-gateway 10.1.15.2 set services service-set demo-service-set ipsec-vpn-rules rule-ike
Schritt-für-Schritt-Anleitung
Im folgenden Beispiel müssen Sie durch verschiedene Ebenen in der Konfigurationshierarchie navigieren. Weitere Informationen zum Navigieren in der CLI finden Sie unter Verwenden des CLI-Editors im Konfigurationsmodus im CLI-Benutzerhandbuch.
Wenn die IPsec-Peers nicht über eine symmetrische Konfiguration verfügen, die alle erforderlichen Komponenten enthält, können sie keine Peering-Beziehung herstellen. Sie müssen ein CA-Zertifikat anfordern, ein lokales Zertifikat erstellen, diese digitalen Zertifikate in den Router laden und in Ihrer IPsec-Konfiguration darauf verweisen. Informationen zur digitalen Zertifizierung finden Sie unter Anfordern und Installieren von digitalen Zertifikaten auf Ihrem Router
So konfigurieren Sie OSPF-Konnektivität und IPsec-Tunnelparameter auf Router 3:
Konfigurieren Sie die Eigenschaften der Schnittstelle. In diesem Schritt konfigurieren Sie zwei Ethernet-Schnittstellen (ge-1/0/0 und ge-1/0/1), die Loopback-Schnittstelle und eine Multiservices-Schnittstelle (ms-1/2/0).
[edit interfaces] user@router3# set ge-0/0/0 description "to R4 ge-0/0/0" user@router3# set ge-0/0/0 unit 0 family inet address 10.1.56.1/30 user@router3# set ge-0/0/1 description "to R2 ge-0/0/1" user@router3# set ge-0/0/1 unit 0 family inet address 10.1.15.2/30 user@router3# set ms-1/2/0 services-options syslog host local services info user@router3# set ms-1/2/0 unit 0 family inet user@router3# set ms-1/2/0 unit 1 family inet user@router3# set ms-1/2/0 unit 1 service-domain inside user@router3# set ms-1/2/0 unit 2 family inet user@router3# set ms-1/2/0 unit 2 service-domain outside user@router3# set lo0 unit 0 family inet address 10.0.0.3/32
Geben Sie den OSPF-Bereich an, und ordnen Sie die Schnittstellen dem OSPF-Bereich zu.
[edit protocols] user@router3# set ospf area 0.0.0.0 interface ge-0/0/0.0 user@router3# set ospf area 0.0.0.0 interface lo0.0 user@router3# set ospf area 0.0.0.0 interface ms-1/2/0.1
Konfigurieren Sie eine Router-ID.
[edit routing-options] user@router3# set router-id 10.0.0.3
Konfigurieren Sie einen IKE-Vorschlag und eine IKE-Richtlinie. Um einen IKE-Vorschlag für digitale Zertifikate zu aktivieren, schließen Sie die
rsa-signaturesAnweisung auf der[edit services ipsec-vpn ike proposal proposal-name authentication-method]Hierarchieebene ein. Um in der IKE-Richtlinie auf das lokale Zertifikat zu verweisen, schließen Sie dielocal-certificateAnweisung auf der[edit services ipsec-vpn ike policy policy-name]Hierarchieebene ein. Um die Zertifizierungsstelle oder RA im Servicesatz zu identifizieren, schließen Sie dietrusted-caAnweisung auf der[edit services service-set service-set-name ipsec-vpn-options]Hierarchieebene ein.Anmerkung:Informationen zum Erstellen und Installieren digitaler Zertifikate finden Sie unter Anfordern und Installieren von digitalen Zertifikaten auf Ihrem Router
[edit services ipsec-vpn] user@router3# set ike proposal ike-demo-proposal authentication-method rsa-signatures user@router3# set ike policy ike-digital-certificates proposals ike-demo-proposal user@router3# set ike policy ike-digital-certificates local-id fqdn router2.example.com user@router3# set ike policy ike-digital-certificates local-certificate local-entrust2 user@router3# set ike policy ike-digital-certificates remote-id fqdn router3.example.com
Konfigurieren Sie einen IPsec-Vorschlag. Stellen Sie außerdem den
established-tunnelsKnopf aufimmediately.[edit services ipsec-vpn] user@router3# set ipsec proposal ipsec-demo-proposal protocol esp user@router3# set ipsec proposal ipsec-demo-proposal authentication-algorithm hmac-sha1-96 user@router3# set ipsec proposal ipsec-demo-proposal encryption-algorithm 3des-cbc user@router3# set ipsec policy ipsec-demo-policy perfect-forward-secrecy keys group2 user@router3# set ipsec proposals ipsec-demo-proposal user@router3# set establish-tunnels immediately
Konfigurieren Sie eine IPsec-Regel.
[edit services ipsec-vpn] user@router3# set rule rule-ike term term-ike then remote-gateway 10.1.15.2 user@router3# set rule rule-ike term term-ike then dynamic ike-policy ike-digital-certificates user@router3# set rule rule-ike term term-ike then dynamic ipsec-policy ipsec-demo-policy user@router3# set rule match-direction input
Konfigurieren Sie einen Servicesatz im Stil eines nächsten Hops, geben Sie die Adresse des lokalen Gateways an, und ordnen Sie die IPsec-VPN-Regel dem Servicesatz zu.
[edit services] user@router3# set service-set demo-service-set next-hop-service inside-service-interface ms-1/2/0.1 user@router3# set service-set demo-service-set next-hop-service outside-service-interface ms-1/2/0.2 user@router3# set service-set demo-service-set ipsec-vpn-options trusted-ca entrust user@router3# set service-set demo-service-set ipsec-vpn-options local-gateway 10.1.15.2 user@router3# set service-set demo-service-set ipsec-vpn-rules rule-ike
Bestätigen Sie die Konfiguration.
[edit] user@router3# commit
Befund
Bestätigen Sie im Konfigurationsmodus Ihre Konfiguration, indem Sie die show interfacesBefehle , show routing-optionsshow protocols ospf, und show services eingeben. Wenn in der Ausgabe nicht die beabsichtigte Konfiguration angezeigt wird, wiederholen Sie die Anweisungen in diesem Beispiel, um die Konfiguration zu korrigieren
user@router3# show interfaces
interfaces {
ge-0/0/0 {
description "To R4 ge-0/0/0";
unit 0 {
family inet {
address 10.1.56.1/30;
}
}
}
ge-0/0/1 {
description "To R2 ge-0/0/1";
unit 0 {
family inet {
address 10.1.15.2/30;
}
}
}
ms-1/2/0 {
services-options {
syslog {
host local {
services info;
}
}
}
unit 0 {
family inet {
}
unit 1 {
family inet;
service-domain inside;
}
unit 2 {
family inet;
service-domain outside;
}
}
lo0 {
unit 0 {
family inet {
address 10.0.0.3/32;
}
}
}
}
}
user@router3# show protocols ospf
protocols {
ospf {
area 0.0.0.0 {
interface ge-0/0/0.0;
interface lo0.0;
interface ms-1/2/0.1;
}
}
}
user@router3# show routing-options
routing-options {
router-id 10.0.0.3;
}
user@router3# show services
services {
ipsec-vpn {
rule rule-ike {
term term-ike {
then {
remote-gateway 10.1.15.1;
dynamic {
ike-policy ike-digital-certificates;
ipsec-policy ipsec-demo-policy
}
}
}
match-direction input;
}
ike {
proposal ike-demo-proposal {
authentication-method rsa-signatures;
}
policy ike-digital-certificates {
proposals ike-demo-proposal;
local-id fqdn router3.example.com;
local-certificate local-entrust3;
remote-id fqdn router2.example.com;
}
}
ipsec {
proposal ipsec-demo-proposal {
protocol esp;
authentication-algorithm hmac-sha1-96;
encryption-algorithm 3des-cbc;
}
policy demo-policy {
perfect-forward-secrecy {
keys group2;
}
proposals ipsec-demo-proposal;
}
establish-tunnels immediately;
}
service-set service-set-dynamic-demo-service-set {
next-hop-service {
inside-service-interface ms-1/2/0.1;
outside-service-interface ms-1/2/0.2;
}
ipsec-vpn-options {
trusted-ca entrust;
local-gateway 10.1.15.2;
}
ipsec-vpn-rules rule-ike;
}
}
}
Konfigurieren von Router 4
CLI Schnellkonfiguration
Um dieses Beispiel schnell zu konfigurieren, kopieren Sie die folgenden Befehle, fügen Sie sie in eine Textdatei ein, entfernen Sie alle Zeilenumbrüche, ändern Sie alle erforderlichen Details, damit sie Ihrer Netzwerkkonfiguration entsprechen, und kopieren Sie dann die Befehle und fügen Sie sie in die CLI auf der Hierarchieebene [Bearbeiten] von Router 4 ein.
set interfaces ge-0/0/0 description "to R3 ge-0/0/0" set interfaces ge-0/0/0 unit 0 family inet address 10.1.56.2/30 set interfaces lo0 unit 0 family inet address 10.0.0.4/32 set protocols ospf area 0.0.0.0 interface ge-0/0/0.0 set protocols ospf area 0.0.0.0 interface lo0.0 set routing-options router-id 10.0.0.4
Schritt-für-Schritt-Anleitung
Im folgenden Beispiel müssen Sie durch verschiedene Ebenen in der Konfigurationshierarchie navigieren. Weitere Informationen zum Navigieren in der CLI finden Sie unter Verwenden des CLI-Editors im Konfigurationsmodus im CLI-Benutzerhandbuch.
So richten Sie die OSPF-Konnektivität mit Router 4 ein
Konfigurieren Sie die Schnittstellen. In diesem Schritt konfigurieren Sie eine Ethernet-Schnittstelle (ge-1/0/1) und die Loopback-Schnittstelle.
[edit interfaces] user@router4# set ge-0/0/0 description "to R3 ge-0/0/0" user@router4# set ge-0/0/0 unit 0 family inet address 10.1.56.2/30 user@router4# set lo0 unit 0 family inet address 10.0.0.4/32
Geben Sie den OSPF-Bereich an, und ordnen Sie die Schnittstellen dem OSPF-Bereich zu.
[edit protocols] user@router4# set ospf area 0.0.0.0 interface ge-0/0/0 user@router4# set ospf area 0.0.0.0 interface lo0.0
Konfigurieren Sie die Router-ID.
[edit routing-options] user@router4# set router-id 10.0.0.4
Befund
Bestätigen Sie im Konfigurationsmodus Ihre Konfiguration, show protocols ospfindem Sie die show interfacesBefehle , und show routing-options eingeben. Wenn in der Ausgabe nicht die beabsichtigte Konfiguration angezeigt wird, wiederholen Sie die Anweisungen in diesem Beispiel, um die Konfiguration zu korrigieren
user@router4# show interfaces
interfaces {
ge-0/0/0 {
description "To R3 ge-0/0/0";
unit 0 {
family inet {
address 10.1.56.2/30;
}
}
}
lo0 {
unit 0 {
family inet {
address 10.0.0.4/32;
}
}
}
}
user@router4# show protocols ospf
protocols {
ospf {
area 0.0.0.0 {
interface ge-0/0/0.0;
interface lo0.0;
}
}
}
user@router4# show routing-options
routing-options {
router-id 10.0.0.4;
}
Verifizierung
- Überprüfen Ihrer Arbeit an Router 1
- Überprüfen Ihrer Arbeit auf Router 2
- Überprüfen Ihrer Arbeit an Router 3
- Überprüfen Ihrer Arbeit auf Router 4
Überprüfen Ihrer Arbeit an Router 1
Zweck
Überprüfen Sie auf Router 1 den Ping-Befehl an die so-0/0/0-Schnittstelle von Router 4, um Datenverkehr über den IPsec-Tunnel zu senden.
Aktion
Geben Sie im Betriebsmodus ein ping 10.1.56.2.
user@router1>ping 10.1.56.2 PING 10.1.56.2 (10.1.56.2): 56 data bytes 64 bytes from 10.1.56.2: icmp_seq=0 ttl=254 time=1.351 ms 64 bytes from 10.1.56.2: icmp_seq=1 ttl=254 time=1.187 ms 64 bytes from 10.1.56.2: icmp_seq=2 ttl=254 time=1.172 ms 64 bytes from 10.1.56.2: icmp_seq=3 ttl=254 time=1.154 ms 64 bytes from 10.1.56.2: icmp_seq=4 ttl=254 time=1.156 ms ^C --- 10.1.56.2 ping statistics --- 5 packets transmitted, 5 packets received, 0% packet loss round-trip min/avg/max/stddev = 1.154/1.204/1.351/0.074 ms
Wenn Sie die Loopback-Adresse von Router 4 pingen, ist der Vorgang erfolgreich, da die Adresse Teil des OSPF-Netzwerks ist, das auf Router 4 konfiguriert ist.
user@router1>ping 10.0.0.4 PING 10.0.0.4 (10.0.0.4): 56 data bytes 64 bytes from 10.0.0.4: icmp_seq=0 ttl=62 time=1.318 ms 64 bytes from 10.0.0.4: icmp_seq=1 ttl=62 time=1.084 ms 64 bytes from 10.0.0.4: icmp_seq=2 ttl=62 time=3.260 ms ^C --- 10.0.0.4 ping statistics --- 3 packets transmitted, 3 packets received, 0% packet loss round-trip min/avg/max/stddev = 1.084/1.887/3.260/0.975 ms
Überprüfen Ihrer Arbeit auf Router 2
Zweck
Um zu überprüfen, ob der übereinstimmende Datenverkehr an den bidirektionalen IPsec-Tunnel umgeleitet wird, zeigen Sie die IPsec-Statistiken an:
Aktion
Geben Sie im Betriebsmodus die .show services ipsec-vpn ipsec statistics
user@router2>show services ipsec-vpn ipsec statistics PIC: sp-1/2/0, Service set: service-set-dynamic-demo-service-set ESP Statistics: Encrypted bytes: 162056 Decrypted bytes: 161896 Encrypted packets: 2215 Decrypted packets: 2216 AH Statistics: Input bytes: 0 Output bytes: 0 Input packets: 0 Output packets: 0 Errors: AH authentication failures: 0, Replay errors: 0 ESP authentication failures: 0, ESP decryption failures: 0 Bad headers: 0, Bad trailers: 0
Um zu überprüfen, ob die Aushandlung der IKE-Sicherheitszuordnung erfolgreich ist, geben Sie den folgenden show services ipsec-vpn ike security-associations Befehl ein:
Wechseln Sie im Betriebsmodus in das Symbol show services ipsec-vpn ike security-associations
user@router2> show services ipsec-vpn ike security-associations Remote Address State Initiator cookie Responder cookie Exchange type 10.1.15.2 Matured d82610c59114fd37 ec4391f76783ef28 Main
Um zu überprüfen, ob die IPsec-Sicherheitszuordnung aktiv ist, geben Sie den Befehl show services ipsec-vpn ipsec security-associations detail ein. Beachten Sie, dass die SA die Standardeinstellungen enthält, die im Services PIC enthalten sind, z. B. ESP für das Protokoll und HMAC-SHA1-96 für den Authentifizierungsalgorithmus.
Wechseln Sie im Betriebsmodus in das Symbol show services ipsec-vpn ipsec security-associations detail
user@router2> show services ipsec-vpn ipsec security-associations detail Service set: service-set-dynamic-demo-service-set Rule: rule-ike, Term: term-ike, Tunnel index: 1 Local gateway: 10.1.15.1, Remote gateway: 10.1.15.2 IPsec inside interface: sp-1/2/0.1 Local identity: ipv4_subnet(any:0,[0..7]=0.0.0.0/0) Remote identity: ipv4_subnet(any:0,[0..7]=0.0.0.0/0) Direction: inbound, SPI: 857451461, AUX-SPI: 0 Mode: tunnel, Type: dynamic, State: Installed Protocol: ESP, Authentication: hmac-sha1-96, Encryption: 3des-cbc Soft lifetime: Expires in 9052 seconds Hard lifetime: Expires in 9187 seconds Anti-replay service: Enabled, Replay window size: 64 Direction: outbound, SPI: 1272330309, AUX-SPI: 0 Mode: tunnel, Type: dynamic, State: Installed Protocol: ESP, Authentication: hmac-sha1-96, Encryption: 3des-cbc Soft lifetime: Expires in 9052 seconds Hard lifetime: Expires in 9187 seconds Anti-replay service: Enabled, Replay window size: 64
Um die digitalen Zertifikate anzuzeigen, die zum Einrichten des IPsec-Tunnels verwendet werden, geben Sie den Befehl show services ipsec-vpn certificates ein:
Wechseln Sie im Betriebsmodus in das Symbol show services ipsec-vpn certificates
user@router2> show services ipsec-vpn certificates Service set: service-set-dynamic-demo-service-set, Total entries: 3 Certificate cache entry: 3 Flags: Non-root Trusted Issued to: router3.example.com, Issued by: juniper Alternate subject: router3.example.com Validity: Not before: 2005 Nov 21st, 23:33:58 GMT Not after: 2008 Nov 22nd, 00:03:58 GMT Certificate cache entry: 2 Flags: Non-root Trusted Issued to: router2.example.com, Issued by: juniper Alternate subject: router2.example.com Validity: Not before: 2005 Nov 21st, 23:28:22 GMT Not after: 2008 Nov 21st, 23:58:22 GMT Certificate cache entry: 1 Flags: Root Trusted Issued to: juniper, Issued by: juniper Validity: Not before: 2005 Oct 18th, 23:54:22 GMT Not after: 2025 Oct 19th, 00:24:22 GMT
Um das CA-Zertifikat anzuzeigen, geben Sie den Befehl show security pki ca-certificate detail ein. Beachten Sie, dass es drei separate Zertifikate gibt: eines für die Zertifikatsignierung, eines für die Schlüsselverschlüsselung und eines für die digitale Signatur der Zertifizierungsstelle.
Wechseln Sie im Betriebsmodus in das Symbol show security pki ca-certificate detail
user@router2> show security pki ca-certificate detail Certificate identifier: entrust Certificate version: 3 Serial number: 4355 9235 Issuer: Organization: juniper, Country: us Subject: Organization: juniper, Country: us Validity: Not before: 2005 Oct 18th, 23:54:22 GMT Not after: 2025 Oct 19th, 00:24:22 GMT Public key algorithm: rsaEncryption(1024 bits) cb:9e:2d:c0:70:f8:ea:3c:f2:b5:f0:02:48:87:dc:68:99:a3:57:4f 0e:b9:98:0b:95:47:0d:1f:97:7c:53:17:dd:1a:f8:da:e5:08:d1:1c 78:68:1f:2f:72:9f:a2:cf:81:e3:ce:c5:56:89:ce:f0:97:93:fa:36 19:3e:18:7d:8c:9d:21:fe:1f:c3:87:8d:b3:5d:f3:03:66:9d:16:a7 bf:18:3f:f0:7a:80:f0:62:50:43:83:4f:0e:d7:c6:42:48:c0:8a:b2 c7:46:30:38:df:9b:dc:bc:b5:08:7a:f3:cd:64:db:2b:71:67:fe:d8 04:47:08:07:de:17:23:13 Signature algorithm: sha1WithRSAEncryption Fingerprint: 00:8e:6f:58:dd:68:bf:25:0a:e3:f9:17:70:d6:61:f3:53:a7:79:10 (sha1) 71:6f:6a:76:17:9b:d6:2a:e7:5a:72:97:82:6d:26:86 (md5) Distribution CRL: C=us, O=juniper, CN=CRL1 http://CA-1/CRL/juniper_us_crlfile.crl Use for key: CRL signing, Certificate signing Certificate identifier: entrust Certificate version: 3 Serial number: 4355 925c Issuer: Organization: juniper, Country: us Subject: Organization: juniper, Country: us, Common name: First Officer Validity: Not before: 2005 Oct 18th, 23:55:59 GMT Not after: 2008 Oct 19th, 00:25:59 GMT Public key algorithm: rsaEncryption(1024 bits) c0:a4:21:32:95:0a:cd:ec:12:03:d1:a2:89:71:8e:ce:4e:a6:f9:2f 1a:9a:13:8c:f6:a0:3d:c9:bd:9d:c2:a0:41:77:99:1b:1e:ed:5b:80 34:46:f8:5b:28:34:38:2e:91:7d:4e:ad:14:86:78:67:e7:02:1d:2e 19:11:b7:fa:0d:ba:64:20:e1:28:4e:3e:bb:6e:64:dc:cd:b1:b4:7a ca:8f:47:dd:40:69:c2:35:95:ce:b8:85:56:d7:0f:2d:04:4d:5d:d8 42:e1:4f:6b:bf:38:c0:45:1e:9e:f0:b4:7f:74:6f:e9:70:fd:4a:78 da:eb:10:27:bd:46:34:33 Signature algorithm: sha1WithRSAEncryption Fingerprint: bc:78:87:9b:a7:91:13:20:71:db:ac:b5:56:71:42:ad:1a:b6:46:17 (sha1) 23:79:40:c9:6d:a6:f0:ca:e0:13:30:d4:29:6f:86:79 (md5) Distribution CRL: C=us, O=juniper, CN=CRL1 http://CA-1/CRL/juniper_us_crlfile.crl Use for key: Key encipherment Certificate identifier: entrust Certificate version: 3 Serial number: 4355 925b Issuer: Organization: juniper, Country: us Subject: Organization: juniper, Country: us, Common name: First Officer Validity: Not before: 2005 Oct 18th, 23:55:59 GMT Not after: 2008 Oct 19th, 00:25:59 GMT Public key algorithm: rsaEncryption(1024 bits) ea:75:c4:f3:58:08:ea:65:5c:7e:b3:de:63:0a:cf:cf:ec:9a:82:e2 d7:e8:b9:2f:bd:4b:cd:86:2f:f1:dd:d8:a2:95:af:ab:51:a5:49:4e 00:10:c6:25:ff:b5:49:6a:99:64:74:69:e5:8c:23:5b:b4:70:62:8e e4:f9:a2:28:d4:54:e2:0b:1f:50:a2:92:cf:6c:8f:ae:10:d4:69:3c 90:e2:1f:04:ea:ac:05:9b:3a:93:74:d0:59:24:e9:d2:9d:c2:ef:22 b9:32:c7:2c:29:4f:91:cb:5a:26:fe:1d:c0:36:dc:f4:9c:8b:f5:26 af:44:bf:53:aa:d4:5f:67 Signature algorithm: sha1WithRSAEncryption Fingerprint: 46:71:15:34:f0:a6:41:76:65:81:33:4f:68:47:c4:df:78:b8:e3:3f (sha1) ee:cc:c7:f4:5d:ac:65:33:0a:55:db:59:72:2c:dd:16 (md5) Distribution CRL: C=us, O=juniper, CN=CRL1 http://CA-1/CRL/juniper_us_crlfile.crl Use for key: Digital signature
Um die lokale Zertifikatsanforderung anzuzeigen, geben Sie den Befehl show security pki certificate-request ein:
Wechseln Sie im Betriebsmodus in das Symbol show security pki certificate-request
user@router2> show security pki certificate-request Certificate identifier: local-entrust2 Issued to: router2.example.com Public key algorithm: rsaEncryption(1024 bits) Public key verification status: Passed
Um das lokale Zertifikat anzuzeigen, geben Sie den Befehl show security pki local-certificate ein:
Wechseln Sie im Betriebsmodus in das Symbol show security pki local-certificate
user@router2> show security pki local-certificate Certificate identifier: local-entrust2 Issued to: router2.example.com, Issued by: juniper Validity: Not before: 2005 Nov 21st, 23:28:22 GMT Not after: 2008 Nov 21st, 23:58:22 GMT Public key algorithm: rsaEncryption(1024 bits) Public key verification status: Passed
Überprüfen Ihrer Arbeit an Router 3
Zweck
Um zu überprüfen, ob der übereinstimmende Datenverkehr an den bidirektionalen IPsec-Tunnel umgeleitet wird, zeigen Sie die IPsec-Statistiken an:
Aktion
Geben Sie im Betriebsmodus die .show services ipsec-vpn ipsec statistics
user@router3>show services ipsec-vpn ipsec statistics PIC: sp-1/2/0, Service set: service-set-dynamic-demo-service-set ESP Statistics: Encrypted bytes: 161896 Decrypted bytes: 162056 Encrypted packets: 2216 Decrypted packets: 2215 AH Statistics: Input bytes: 0 Output bytes: 0 Input packets: 0 Output packets: 0 Errors: AH authentication failures: 0, Replay errors: 0 ESP authentication failures: 0, ESP decryption failures: 0 Bad headers: 0, Bad trailers: 0
Um zu überprüfen, ob die Aushandlung der IKE-Sicherheitszuordnung erfolgreich ist, geben Sie den Befehl show services ipsec-vpn ike security-associations ein. Um erfolgreich zu sein, muss die SA auf Router 3 die gleichen Einstellungen enthalten, die Sie auf Router 2 angegeben haben.
Geben Sie im Betriebsmodus die .show services ipsec-vpn ike security-associations
user@router3>show services ipsec-vpn ike security-associations Remote Address State Initiator cookie Responder cookie Exchange type 10.1.15.1 Matured d82610c59114fd37 ec4391f76783ef28 Main
Um zu überprüfen, ob die IPsec-Sicherheitszuordnung aktiv ist, geben Sie den Befehl show services ipsec-vpn ipsec security-associations detail ein. Um erfolgreich zu sein, muss die SA auf Router 3 die gleichen Einstellungen enthalten, die Sie auf Router 2 angegeben haben.
Geben Sie im Betriebsmodus die .show services ipsec-vpn ipsec security-associations detail
user@router3>show services ipsec-vpn ipsec security-associations detail Service set: service-set-dynamic-demo-service-set Rule: rule-ike, Term: term-ike, Tunnel index: 1 Local gateway: 10.1.15.2, Remote gateway: 10.1.15.1 IPsec inside interface: sp-1/2/0.1 Local identity: ipv4_subnet(any:0,[0..7]=0.0.0.0/0) Remote identity: ipv4_subnet(any:0,[0..7]=0.0.0.0/0) Direction: inbound, SPI: 1272330309, AUX-SPI: 0 Mode: tunnel, Type: dynamic, State: Installed Protocol: ESP, Authentication: hmac-sha1-96, Encryption: 3des-cbc Soft lifetime: Expires in 7219 seconds Hard lifetime: Expires in 7309 seconds Anti-replay service: Enabled, Replay window size: 64 Direction: outbound, SPI: 857451461, AUX-SPI: 0 Mode: tunnel, Type: dynamic, State: Installed Protocol: ESP, Authentication: hmac-sha1-96, Encryption: 3des-cbc Soft lifetime: Expires in 7219 seconds Hard lifetime: Expires in 7309 seconds Anti-replay service: Enabled, Replay window size: 64
Um die digitalen Zertifikate anzuzeigen, die zum Einrichten des IPsec-Tunnels verwendet werden, geben Sie den Befehl show services ipsec-vpn certificates ein:
Geben Sie im Betriebsmodus die .show services ipsec-vpn certificates
user@router3>show services ipsec-vpn certificates Service set: service-set-dynamic-demo-service-set, Total entries: 3 Certificate cache entry: 3 Flags: Non-root Trusted Issued to: router3.example.com, Issued by: juniper Alternate subject: router3.example.com Validity: Not before: 2005 Nov 21st, 23:33:58 GMT Not after: 2008 Nov 22nd, 00:03:58 GMT Certificate cache entry: 2 Flags: Non-root Trusted Issued to: router2.example.com, Issued by: juniper Alternate subject: router2.example.com Validity: Not before: 2005 Nov 21st, 23:28:22 GMT Not after: 2008 Nov 21st, 23:58:22 GMT Certificate cache entry: 1 Flags: Root Trusted Issued to: juniper, Issued by: juniper Validity: Not before: 2005 Oct 18th, 23:54:22 GMT Not after: 2025 Oct 19th, 00:24:22 GMT
Um das CA-Zertifikat anzuzeigen, geben Sie den Befehl show security pki ca-certificate detail ein. Beachten Sie, dass es drei separate Zertifikate gibt: eines für die Zertifikatsignierung, eines für die Schlüsselverschlüsselung und eines für die digitale Signatur der Zertifizierungsstelle.
Geben Sie im Betriebsmodus die .show security pki ca-certificate detail
user@router3>show security pki ca-certificate detail Certificate identifier: entrust Certificate version: 3 Serial number: 4355 9235 Issuer: Organization: juniper, Country: us Subject: Organization: juniper, Country: us Validity: Not before: 2005 Oct 18th, 23:54:22 GMT Not after: 2025 Oct 19th, 00:24:22 GMT Public key algorithm: rsaEncryption(1024 bits) cb:9e:2d:c0:70:f8:ea:3c:f2:b5:f0:02:48:87:dc:68:99:a3:57:4f 0e:b9:98:0b:95:47:0d:1f:97:7c:53:17:dd:1a:f8:da:e5:08:d1:1c 78:68:1f:2f:72:9f:a2:cf:81:e3:ce:c5:56:89:ce:f0:97:93:fa:36 19:3e:18:7d:8c:9d:21:fe:1f:c3:87:8d:b3:5d:f3:03:66:9d:16:a7 bf:18:3f:f0:7a:80:f0:62:50:43:83:4f:0e:d7:c6:42:48:c0:8a:b2 c7:46:30:38:df:9b:dc:bc:b5:08:7a:f3:cd:64:db:2b:71:67:fe:d8 04:47:08:07:de:17:23:13 Signature algorithm: sha1WithRSAEncryption Fingerprint: 00:8e:6f:58:dd:68:bf:25:0a:e3:f9:17:70:d6:61:f3:53:a7:79:10 (sha1) 71:6f:6a:76:17:9b:d6:2a:e7:5a:72:97:82:6d:26:86 (md5) Distribution CRL: C=us, O=juniper, CN=CRL1 http://CA-1/CRL/juniper_us_crlfile.crl Use for key: CRL signing, Certificate signing Certificate identifier: entrust Certificate version: 3 Serial number: 4355 925c Issuer: Organization: juniper, Country: us Subject: Organization: juniper, Country: us, Common name: First Officer Validity: Not before: 2005 Oct 18th, 23:55:59 GMT Not after: 2008 Oct 19th, 00:25:59 GMT Public key algorithm: rsaEncryption(1024 bits) c0:a4:21:32:95:0a:cd:ec:12:03:d1:a2:89:71:8e:ce:4e:a6:f9:2f 1a:9a:13:8c:f6:a0:3d:c9:bd:9d:c2:a0:41:77:99:1b:1e:ed:5b:80 34:46:f8:5b:28:34:38:2e:91:7d:4e:ad:14:86:78:67:e7:02:1d:2e 19:11:b7:fa:0d:ba:64:20:e1:28:4e:3e:bb:6e:64:dc:cd:b1:b4:7a ca:8f:47:dd:40:69:c2:35:95:ce:b8:85:56:d7:0f:2d:04:4d:5d:d8 42:e1:4f:6b:bf:38:c0:45:1e:9e:f0:b4:7f:74:6f:e9:70:fd:4a:78 da:eb:10:27:bd:46:34:33 Signature algorithm: sha1WithRSAEncryption Fingerprint: bc:78:87:9b:a7:91:13:20:71:db:ac:b5:56:71:42:ad:1a:b6:46:17 (sha1) 23:79:40:c9:6d:a6:f0:ca:e0:13:30:d4:29:6f:86:79 (md5) Distribution CRL: C=us, O=juniper, CN=CRL1 http://CA-1/CRL/juniper_us_crlfile.crl Use for key: Key encipherment Certificate identifier: entrust Certificate version: 3 Serial number: 4355 925b Issuer: Organization: juniper, Country: us Subject: Organization: juniper, Country: us, Common name: First Officer Validity: Not before: 2005 Oct 18th, 23:55:59 GMT Not after: 2008 Oct 19th, 00:25:59 GMT Public key algorithm: rsaEncryption(1024 bits) ea:75:c4:f3:58:08:ea:65:5c:7e:b3:de:63:0a:cf:cf:ec:9a:82:e2 d7:e8:b9:2f:bd:4b:cd:86:2f:f1:dd:d8:a2:95:af:ab:51:a5:49:4e 00:10:c6:25:ff:b5:49:6a:99:64:74:69:e5:8c:23:5b:b4:70:62:8e e4:f9:a2:28:d4:54:e2:0b:1f:50:a2:92:cf:6c:8f:ae:10:d4:69:3c 90:e2:1f:04:ea:ac:05:9b:3a:93:74:d0:59:24:e9:d2:9d:c2:ef:22 b9:32:c7:2c:29:4f:91:cb:5a:26:fe:1d:c0:36:dc:f4:9c:8b:f5:26 af:44:bf:53:aa:d4:5f:67 Signature algorithm: sha1WithRSAEncryption Fingerprint: 46:71:15:34:f0:a6:41:76:65:81:33:4f:68:47:c4:df:78:b8:e3:3f (sha1) ee:cc:c7:f4:5d:ac:65:33:0a:55:db:59:72:2c:dd:16 (md5) Distribution CRL: C=us, O=juniper, CN=CRL1 http://CA-1/CRL/juniper_us_crlfile.crl Use for key: Digital signature
Um die lokale Zertifikatsanforderung anzuzeigen, geben Sie den Befehl show security pki certificate-request ein:
Geben Sie im Betriebsmodus die .show security pki certificate-request
user@router3>show security pki certificate-request Certificate identifier: local-entrust3 Issued to: router3.example.com Public key algorithm: rsaEncryption(1024 bits) Public key verification status: Passed
Um das lokale Zertifikat anzuzeigen, geben Sie den Befehl show security pki local-certificate ein:
Geben Sie im Betriebsmodus die .show security pki local-certificate
user@router3>show security pki local-certificate Certificate identifier: local-entrust3 Issued to: router3.example.com, Issued by: juniper Validity: Not before: 2005 Nov 21st, 23:33:58 GMT Not after: 2008 Nov 22nd, 00:03:58 GMT Public key algorithm: rsaEncryption(1024 bits) Public key verification status: Passed
Überprüfen Ihrer Arbeit auf Router 4
Zweck
Geben Sie auf Router 4 einen Ping-Befehl an die so-0/0/0-Schnittstelle von Router 1 aus, um Datenverkehr über den IPsec-Tunnel zu senden.
Aktion
Geben Sie im Betriebsmodus ein ping 10.1.12.2.
user@router4>ping 10.1.12.2 PING 10.1.12.2 (10.1.12.2): 56 data bytes 64 bytes from 10.1.12.2: icmp_seq=0 ttl=254 time=1.350 ms 64 bytes from 10.1.12.2: icmp_seq=1 ttl=254 time=1.161 ms 64 bytes from 10.1.12.2: icmp_seq=2 ttl=254 time=1.124 ms 64 bytes from 10.1.12.2: icmp_seq=5 ttl=254 time=1.116 ms ^C --- 10.1.12.2 ping statistics --- 4 packets transmitted, 4 packets received, 0% packet loss round-trip min/avg/max/stddev = 1.116/1.172/1.350/0.081 ms
Sie können abschließend überprüfen, ob der Datenverkehr über den IPsec-Tunnel geleitet wird, indem Sie den Befehl traceroute an die Schnittstelle so-0/0/0 auf Router 1 senden. Beachten Sie, dass die physische Schnittstelle zwischen den Routern 2 und 3 im Pfad nicht referenziert wird. Der Datenverkehr gelangt über die interne Schnittstelle für adaptive Services in den IPsec-Tunnel auf Router 3, durchläuft die Loopback-Schnittstelle von Router 2 und endet an der SOO-0/0/0-Schnittstelle auf Router 1.
Geben Sie im Betriebsmodus die .traceroute 10.1.12.2
user@router4>traceroute 10.1.12.2 traceroute to 10.1.12.2 (10.1.12.2), 30 hops max, 40 byte packets 1 10.1.15.2 (10.1.15.2) 0.987 ms 0.630 ms 0.563 ms 2 10.0.0.2 (10.0.0.2) 1.194 ms 1.058 ms 1.033 ms 3 10.1.12.2 (10.1.12.2) 1.073 ms 0.949 ms 0.932 ms
Konfigurieren von Junos VPN Site Secure oder IPSec-VPN
IPsec-VPN wird von allen Routern der MX-Serie mit MS-MICs, MS-MPCs oder MS-DPCs unterstützt.
Auf Routern der M Series und der T-Serie wird IPsec VPN mit Multiservices 100 PICs, Multiservices 400 PICs und Multiservices 500 PICs unterstützt.
MS-MICs und MS-MPCs werden ab Junos OS Version 13.2 und höher unterstützt. MS-MICs und MS-MPCs unterstützen alle Funktionen, die von MS-DPCs und MS-PICs unterstützt werden, mit Ausnahme des Authentifizierungs-Header-Protokolls (ah), des Kapselungs-Sicherheits-Payload-Protokolls (ESP) und des Paketprotokolls (ah- und ESP-Protokoll) für eine dynamische oder manuelle Sicherheitszuordnung und einen flussfreien IPsec-Dienst.
NAT-Traversal (NAT-T) wird für IKEv1 und IKEv2 ab Junos OS Version 17.4R1 unterstützt. NAT-T ist standardmäßig aktiviert. Sie können die UDP-Kapselung und -Entkapselung für IKE- und ESP-Pakete über die Konfiguration disable-natt auf den [edit services ipsec-vpn] Hierarchieebenen festlegen.
Siehe auch
Beispiel: Konfigurieren von Junos VPN Site Secure auf MS-MIC und MS-MPC
Sie können das gleiche Verfahren und die gleiche Konfiguration wie in diesem Beispiel verwenden, um Junos VPN Site Secure (früher bekannt als IPsec-Funktionen) auf MS-MPCs zu konfigurieren.
Dieses Beispiel enthält die folgenden Abschnitte:
Anforderungen
In diesem Beispiel werden die folgenden Hardware- und Softwarekomponenten verwendet:
Zwei Router der MX-Serie mit MS-MICs
Junos OS Version 13.2 oder höher
Überblick
Junos OS Version 13.2 erweitert die Unterstützung für Junos VPN Site Secure (früher bekannt als IPsec-Funktionen) auf die neu eingeführten Multiservices MIC und MPC (MS-MIC und MS-MPC) auf Routern der MX-Serie. Die Junos OS Extension-Provider-Pakete sind auf MS-MIC und MS-MPC vorinstalliert und vorkonfiguriert.
Die folgenden Funktionen von Junos VPN Site Secure werden in Version 13.2 auf MS-MIC und MS-MPC unterstützt:
Dynamische Endpunkte (DEP)
Kapselung des ESP-Protokolls (Security Payload)
Dead Peer Detection (DPD) Trigger-Meldungen
Rollover-Benachrichtigungen mit Sequenznummer
Statische IPsec-Tunnel mit Servicesätzen im Stil des nächsten Hops und der Benutzeroberfläche
In Junos OS Version 13.2 ist die Unterstützung von Junos VPN Site Secure auf MS-MIC und MS-MPC jedoch auf IPv4-Datenverkehr beschränkt. Passives Modul-Tunneling wird auf MS-MICs und MS-MPCs nicht unterstützt.
Abbildung 2 zeigt die IPsec-VPN-Tunneltopologie.
Dieses Beispiel zeigt die Konfiguration von zwei Routern, Router 1 und Router 2, zwischen denen ein IPsec-VPN-Tunnel konfiguriert ist.
Beachten Sie bei der Konfiguration der Router die folgenden Punkte:
Die IP-Adresse, für die Sie unter der
[edit services ipsec-vpn rule name term term from]Hierarchieebene auf Router 1 konfigurierensource-address, muss mit der IP-Adresse übereinstimmen, die Sie unterdestination-addressderselben Hierarchie auf Router 2 konfigurieren, und umgekehrt.Die IP-Adresse der Person, die
remote-gatewaySie unter der[edit services ipsec-vpn rule name term term then]Hierarchieebene konfigurieren, sollte mit der IP-Adresse derlocal-gatewayunter der[edit services service-set name ipsec-vpn-options]Hierarchieebene von Router 2 konfigurierten Person übereinstimmen und umgekehrt.
Konfiguration
Dieser Abschnitt enthält:
CLI Schnellkonfiguration
Um dieses Beispiel schnell zu konfigurieren, kopieren Sie die folgenden Befehle, fügen Sie sie in eine Textdatei ein, entfernen Sie alle Zeilenumbrüche, ändern Sie alle erforderlichen Details, um sie an Ihre Netzwerkkonfiguration anzupassen, und kopieren Sie dann die Befehle und fügen Sie sie in die CLI auf der Hierarchieebene [Bearbeiten] ein.
Konfigurieren von Schnittstellen auf Router 1
set interfaces ms-4/0/0 unit 0 family inet set interfaces ms-4/0/0 unit 1 family inet set interfaces ms-4/0/0 unit 1 family inet6 set interfaces ms-4/0/0 unit 1 service-domain inside set interfaces ms-4/0/0 unit 2 family inet set interfaces ms-4/0/0 unit 2 family inet6 set interfaces ms-4/0/0 unit 2 service-domain outside set interfaces xe-0/2/0 unit 0 family inet address 10.0.1.1/30
Konfigurieren des IPsec-VPN-Dienstes auf Router 1
set services ipsec-vpn rule vpn_rule_ms_4_0_01 term term11 from source-address 172.16.0.0/16 set services ipsec-vpn rule vpn_rule_ms_4_0_01 term term11 from destination-address 192.168.0.0/16 set services ipsec-vpn rule vpn_rule_ms_4_0_01 term term11 then remote-gateway 10.0.1.2 set services ipsec-vpn rule vpn_rule_ms_4_0_01 term term11 then dynamic ike-policy ike_policy_ms_4_0_0 set services ipsec-vpn rule vpn_rule_ms_4_0_01 term term11 then dynamic ipsec-policy ipsec_policy_ms_4_0_0 set services ipsec-vpn rule vpn_rule_ms_4_0_01 term term11 then anti-replay-window-size 4096 set services ipsec-vpn rule vpn_rule_ms_4_0_01 match-direction input set services ipsec-vpn ipsec proposal ipsec_proposal_ms_4_0_0 protocol esp set services ipsec-vpn ipsec proposal ipsec_proposal_ms_4_0_0 authentication-algorithm hmac-sha1-96 set services ipsec-vpn ipsec proposal ipsec_proposal_ms_4_0_0 encryption-algorithm 3des-cbc set services ipsec-vpn ipsec policy ipsec_policy_ms_4_0_0 perfect-forward-secrecy keys group2 set services ipsec-vpn ipsec policy ipsec_policy_ms_4_0_0 proposals ipsec_proposal_ms_4_0_0 set services ipsec-vpn ike proposal ike_proposal_ms_4_0_0 authentication-method pre-shared-keys set services ipsec-vpn ike proposal ike_proposal_ms_4_0_0 dh-group group2 set services ipsec-vpn ike policy ike_policy_ms_4_0_0 version 2 set services ipsec-vpn ike policy ike_policy_ms_4_0_0 proposals ike_proposal_ms_4_0_0 set services ipsec-vpn ike policy ike_policy_ms_4_0_0 pre-shared-key ascii-text secret-data
Konfigurieren eines Servicesatzes auf Router 1
set services service-set ipsec_ss_ms_4_0_01 next-hop-service inside-service-interface ms-4/0/0.1 set services service-set ipsec_ss_ms_4_0_01 next-hop-service outside-service-interface ms-4/0/0.2 set services service-set ipsec_ss_ms_4_0_01 ipsec-vpn-options local-gateway 10.0.1.1 set services service-set ipsec_ss_ms_4_0_01 ipsec-vpn-rules vpn_rule_ms_4_0_01
Konfigurieren von Routing-Optionen auf Router 1
set routing-options static route 192.168.0.0/16 next-hop ms-4/0/0.1
Konfigurieren von Schnittstellen auf Router 2
set interfaces ms-1/0/0 unit 0 family inet set interfaces ms-1/0/0 unit 1 family inet set interfaces ms-1/0/0 unit 1 family inet6 set interfaces ms-1/0/0 unit 1 service-domain inside set interfaces ms-1/0/0 unit 2 family inet set interfaces ms-1/0/0 unit 2 family inet6 set interfaces ms-1/0/0 unit 2 service-domain outside set interfaces ge-2/0/0 unit 0 family inet address 10.0.1.2/30
Konfigurieren des IPsec-VPN-Dienstes auf Router 2
set services ipsec-vpn rule vpn_rule_ms_5_2_01 term term11 from source-address 192.168.0.0/16 set services ipsec-vpn rule vpn_rule_ms_5_2_01 term term11 from destination-address 172.16.0.0/16 set services ipsec-vpn rule vpn_rule_ms_5_2_01 term term11 then remote-gateway 10.0.1.1 set services ipsec-vpn rule vpn_rule_ms_5_2_01 term term11 then dynamic ike-policy ike_policy_ms_5_2_0 set services ipsec-vpn rule vpn_rule_ms_5_2_01 term term11 then dynamic ipsec-policy ipsec_policy_ms_5_2_0 set services ipsec-vpn rule vpn_rule_ms_5_2_01 term term11 then anti-replay-window-size 4096 set services ipsec-vpn rule vpn_rule_ms_5_2_01 match-direction input set services ipsec-vpn ipsec proposal ipsec_proposal_ms_5_2_0 protocol esp set services ipsec-vpn ipsec proposal ipsec_proposal_ms_5_2_0 authentication-algorithm hmac-sha1-96 set services ipsec-vpn ipsec proposal ipsec_proposal_ms_5_2_0 encryption-algorithm 3des-cbc set services ipsec-vpn ipsec policy ipsec_policy_ms_5_2_0 perfect-forward-secrecy keys group2 set services ipsec-vpn ipsec policy ipsec_policy_ms_5_2_0 proposals ipsec_proposal_ms_5_2_0 set services ipsec-vpn ike proposal ike_proposal_ms_5_2_0 authentication-method pre-shared-keys set services ipsec-vpn ike proposal ike_proposal_ms_5_2_0 dh-group group2 set services ipsec-vpn ike policy ike_policy_ms_5_2_0 version 2 set services ipsec-vpn ike policy ike_policy_ms_5_2_0 proposals ike_proposal_ms_5_2_0 set services ipsec-vpn ike policy ike_policy_ms_5_2_0 pre-shared-key ascii-text secret-data set services ipsec-vpn establish-tunnels immediately
Konfigurieren eines Servicesatzes auf Router 2
set services service-set ipsec_ss_ms_5_2_01 next-hop-service inside-service-interface ms-1/0/0.1 set services service-set ipsec_ss_ms_5_2_01 next-hop-service outside-service-interface ms-1/0/0.2 set services service-set ipsec_ss_ms_5_2_01 ipsec-vpn-options local-gateway 10.0.1.2 set services service-set ipsec_ss_ms_5_2_01 ipsec-vpn-rules vpn_rule_ms_5_2_01
Konfigurieren von Routing-Optionen auf Router 2
set routing-options static route 172.16.0.0/16 next-hop ms-1/0/0.1
Konfigurieren von Router 1
Schritt-für-Schritt-Anleitung
Im folgenden Beispiel müssen Sie durch verschiedene Ebenen in der Konfigurationshierarchie navigieren. Weitere Informationen zum Navigieren in der CLI finden Sie unter Verwenden des CLI-Editors im Konfigurationsmodus im CLI-Benutzerhandbuch.
Ab Version 13.2 sind die Junos OS Extension-Provider-Pakete auf Multiservices-MICs und MPCs (MS-MICs und MS-MPCs) vorinstalliert. Auf diesen Karten ist die adaptive-services Konfiguration auf Hierarchieebene [edit chassis fpc number pic number] vorkonfiguriert.
Konfigurieren Sie die Schnittstelleneigenschaften wie Familie, Dienstdomäne und Einheit.
user@router1# set interfaces ms-4/0/0 unit 0 family inet user@router1# set interfaces ms-4/0/0 unit 1 family inet user@router1# set interfaces ms-4/0/0 unit 1 family inet6 user@router1# set interfaces ms-4/0/0 unit 1 service-domain inside user@router1# set interfaces ms-4/0/0 unit 2 family inet user@router1# set interfaces ms-4/0/0 unit 2 family inet6 user@router1# set interfaces ms-4/0/0 unit 2 service-domain outside user@router1# set interfaces xe-0/2/0 unit 0 family inet address 10.0.1.1/30
Konfigurieren Sie IPsec-Eigenschaften wie Adresse, Remote-Gateway, Richtlinien, Übereinstimmungsrichtung, Protokoll, Größe des Wiedergabefensters, Algorithmusdetails, Geheimhaltungsschlüssel, Vorschlag, Authentifizierungsmethode, Gruppen und Version.
user@router1# set services ipsec-vpn rule vpn_rule_ms_4_0_01 term term11 from source-address 172.16.0.0/16 user@router1# set services ipsec-vpn rule vpn_rule_ms_4_0_01 term term11 from destination-address 192.168.0.0/16 user@router1# set services ipsec-vpn rule vpn_rule_ms_4_0_01 term term11 then remote-gateway 10.0.1.2 user@router1# set services ipsec-vpn rule vpn_rule_ms_4_0_01 term term11 then dynamic ike-policy ike_policy_ms_4_0_0 user@router1# set services ipsec-vpn rule vpn_rule_ms_4_0_01 term term11 then dynamic ipsec-policy ipsec_policy_ms_4_0_0 user@router1# set services ipsec-vpn rule vpn_rule_ms_4_0_01 term term11 then anti-replay-window-size 4096 user@router1# set services ipsec-vpn rule vpn_rule_ms_4_0_01 match-direction input user@router1# set services ipsec-vpn ipsec proposal ipsec_proposal_ms_4_0_0 protocol esp user@router1# set services ipsec-vpn ipsec proposal ipsec_proposal_ms_4_0_0 authentication-algorithm hmac-sha1-96 user@router1# set services ipsec-vpn ipsec proposal ipsec_proposal_ms_4_0_0 encryption-algorithm 3des-cbc user@router1# set services ipsec-vpn ipsec policy ipsec_policy_ms_4_0_0 perfect-forward-secrecy keys group2 user@router1# set services ipsec-vpn ipsec policy ipsec_policy_ms_4_0_0 proposals ipsec_proposal_ms_4_0_0 user@router1# set services ipsec-vpn ike proposal ike_proposal_ms_4_0_0 authentication-method pre-shared-keys user@router1# set services ipsec-vpn ike proposal ike_proposal_ms_4_0_0 dh-group group2 user@router1# set services ipsec-vpn ike policy ike_policy_ms_4_0_0 version 2 user@router1# set services ipsec-vpn ike policy ike_policy_ms_4_0_0 proposals ike_proposal_ms_4_0_0 user@router1# set services ipsec-vpn ike policy ike_policy_ms_4_0_0 pre-shared-key ascii-text secret-key
Konfigurieren Sie einen Servicesatz, die ipsec-vpn-Optionen und Regeln.
user@router1# set services service-set ipsec_ss_ms_4_0_01 next-hop-service inside-service-interface ms-4/0/0.1 user@router1# set services service-set ipsec_ss_ms_4_0_01 next-hop-service outside-service-interface ms-4/0/0.2 user@router1# set services service-set ipsec_ss_ms_4_0_01 ipsec-vpn-options local-gateway 10.0.1.1 user@router1# set services service-set ipsec_ss_ms_4_0_01 ipsec-vpn-rules vpn_rule_ms_4_0_01
Konfigurieren Sie Routing-Optionen, statische Route und nächsten Hop.
user@router1# set routing-options static route 192.168.0.0/16 next-hop ms-4/0/0.1
Befund
Bestätigen Sie im Konfigurationsmodus von Router 1 Ihre Konfiguration, show services ipsec-vpnindem Sie die show interfacesBefehle , und show services service-set eingeben. Wenn in der Ausgabe nicht die beabsichtigte Konfiguration angezeigt wird, wiederholen Sie die Anweisungen in diesem Beispiel, um die Konfiguration zu korrigieren.
user@router1# show interfaces
ms-4/0/0{
unit 0 {
family inet;
}
unit 1 {
family inet;
family inet6;
service-domain inside;
}
unit 2 {
family inet;
family inet6;
service-domain outside;
}
}
xe-0/2/0 {
unit 0 {
family inet {
address 10.0.1.1/30;
}
}
}
user@router1# show services ipsec-vpn
rule vpn_rule_ms_4_0_01 {
term term11 {
from {
source-address {
172.16.0.0/16;
}
destination-address {
192.168.0.0/16;
}
}
then {
remote-gateway 10.0.1.2;
dynamic {
ike-policy ike_policy_ms_4_0_0;
ipsec-policy ipsec_policy_ms_4_0_0;
}
anti-replay-window-size 4096;
}
}
match-direction input;
}
ipsec {
proposal ipsec_proposal_ms_4_0_0 {
protocol esp;
authentication-algorithm hmac-sha1-96;
encryption-algorithm 3des-cbc;
}
policy ipsec_policy_ms_4_0_0 {
perfect-forward-secrecy {
keys group2;
}
proposals ipsec_proposal_ms_4_0_0;
}
}
ike {
proposal ike_proposal_ms_4_0_0 {
authentication-method pre-shared-keys;
dh-group group2;
}
policy ike_policy_ms_4_0_0 {
version 2;
proposals ike_proposal_ms_4_0_0;
pre-shared-key ascii-text "$9ABC123"; ## SECRET-DATA
}
}
user@router1# show services service-set
ipsec_ss_ms_4_0_01 {
next-hop-service {
inside-service-interface ms-4/0/0.1;
outside-service-interface ms-4/0/0.2;
}
ipsec-vpn-options {
local-gateway 10.0.1.1;
}
ipsec-vpn-rules vpn_rule_ms_4_0_01;
}
Konfigurieren von Router 2
Schritt-für-Schritt-Anleitung
Konfigurieren Sie die Schnittstelleneigenschaften wie Familie, Dienstdomäne und Einheit.
user@router2# set interfaces ms-1/0/0 services-options inactivity-non-tcp-timeout 600 user@router2# set interfaces ms-1/0/0 unit 0 family inet user@router2# set interfaces ms-1/0/0 unit 1 family inet user@router2# set interfaces ms-1/0/0 unit 1 family inet6 user@router2# set interfaces ms-1/0/0 unit 1 service-domain inside user@router2# set interfaces ms-1/0/0 unit 2 family inet user@router2# set interfaces ms-1/0/0 unit 2 family inet6 user@router2# set interfaces ms-1/0/0 unit 2 service-domain outside user@router2# set interfaces ge-2/0/0 unit 0 family inet adddress 10.0.1.2/30
Konfigurieren Sie IPsec-Eigenschaften wie Adresse, Remote-Gateway, Richtlinien, Übereinstimmungsrichtung, Protokoll, Größe des Wiedergabefensters, Algorithmusdetails, Geheimhaltungsschlüssel, Vorschlag, Authentifizierungsmethode, Gruppen und Version.
user@router2# set services ipsec-vpn rule vpn_rule_ms_5_2_01 term term11 from source-address 192.168.0.0/16 user@router2# set services ipsec-vpn rule vpn_rule_ms_5_2_01 term term11 from destination-address 172.16.0.0/16 user@router2# set services ipsec-vpn rule vpn_rule_ms_5_2_01 term term11 then remote-gateway 10.0.1.1 user@router2# set services ipsec-vpn rule vpn_rule_ms_5_2_01 term term11 then dynamic ike-policy ike_policy_ms_5_2_0 user@router2# set services ipsec-vpn rule vpn_rule_ms_5_2_01 term term11 then dynamic ipsec-policy ipsec_policy_ms_5_2_0 user@router2# set services ipsec-vpn rule vpn_rule_ms_5_2_01 term term11 then anti-replay-window-size 4096 user@router2# set services ipsec-vpn rule vpn_rule_ms_5_2_01 match-direction input user@router2# set services ipsec-vpn ipsec proposal ipsec_proposal_ms_5_2_0 protocol esp user@router2# set services ipsec-vpn ipsec proposal ipsec_proposal_ms_5_2_0 authentication-algorithm hmac-sha1-96 user@router2# set services ipsec-vpn ipsec proposal ipsec_proposal_ms_5_2_0 encryption-algorithm 3des-cbc user@router2# set services ipsec-vpn ipsec policy ipsec_policy_ms_5_2_0 perfect-forward-secrecy keys group2 user@router2# set services ipsec-vpn ipsec policy ipsec_policy_ms_5_2_0 proposals ipsec_proposal_ms_5_2_0 user@router2# set services ipsec-vpn ike proposal ike_proposal_ms_5_2_0 authentication-method pre-shared-keys user@router2# set services ipsec-vpn ike proposal ike_proposal_ms_5_2_0 dh-group group2 user@router2# set services ipsec-vpn ike policy ike_policy_ms_5_2_0 version 2 user@router2# set services ipsec-vpn ike policy ike_policy_ms_5_2_0 proposals ike_proposal_ms_5_2_0 user@router2# set services ipsec-vpn ike policy ike_policy_ms_5_2_0 pre-shared-key ascii-text "$ABC123" user@router2# set services ipsec-vpn establish-tunnels immediately
Konfigurieren Sie einen Dienstsatz, z. B. next-hop-service und die ipsec-vpn-options.
user@router2# set services service-set ipsec_ss_ms_5_2_01 next-hop-service inside-service-interface ms-1/0/0.1 user@router2# set services service-set ipsec_ss_ms_5_2_01 next-hop-service outside-service-interface ms-1/0/0.2 user@router2# set services service-set ipsec_ss_ms_5_2_01 ipsec-vpn-options local-gateway 10.0.1.2 user@router2# set services service-set ipsec_ss_ms_5_2_01 ipsec-vpn-rules vpn_rule_ms_5_2_01
Konfigurieren Sie Routing-Optionen, statische Route und den nächsten Hop.
user@router2# set routing-options static route 172.16.0.0/16 next-hop ms-1/0/0.1
Befund
Bestätigen Sie im Konfigurationsmodus von Router 2 Ihre Konfiguration, indem Sie die show interfacesshow services ipsec-vpnBefehle , und show services service-set eingeben. Wenn in der Ausgabe nicht die beabsichtigte Konfiguration angezeigt wird, wiederholen Sie die Anweisungen in diesem Beispiel, um die Konfiguration zu korrigieren.
user@router2# show interfaces
ms-1/0/0 {
unit 0 {
family inet;
}
unit 1 {
family inet;
family inet6;
service-domain inside;
}
unit 2 {
family inet;
family inet6;
service-domain outside;
}
}
ge-2/0/0 {
unit 0 {
family inet {
address 10.0.1.2/30;
}
}
}
user@router2# show services ipsec-vpn
rule vpn_rule_ms_5_2_01 {
term term11 {
from {
source-address {
192.168.0.0/16;
}
destination-address {
172.16.0.0/16;
}
}
then {
remote-gateway 10.0.1.1;
dynamic {
ike-policy ike_policy_ms_5_2_0;
ipsec-policy ipsec_policy_ms_5_2_0;
}
anti-replay-window-size 4096;
}
}
match-direction input;
}
ipsec {
proposal ipsec_proposal_ms_5_2_0 {
protocol esp;
authentication-algorithm hmac-sha1-96;
encryption-algorithm 3des-cbc;
}
policy ipsec_policy_ms_5_2_0 {
perfect-forward-secrecy {
keys group2;
}
proposals ipsec_proposal_ms_5_2_0;
}
}
ike {
proposal ike_proposal_ms_5_2_0 {
authentication-method pre-shared-keys;
dh-group group2;
}
policy ike_policy_ms_5_2_0 {
version 2;
proposals ike_proposal_ms_5_2_0;
pre-shared-key ascii-text "$9ABC123"; ## SECRET-DATA
}
}
establish-tunnels immediately;
user@router2# show services service-set
ipsec_ss_ms_5_2_01 {
next-hop-service {
inside-service-interface ms-1/0/0.1;
outside-service-interface ms-1/0/0.2;
}
ipsec-vpn-options {
local-gateway 10.0.1.2;
}
ipsec-vpn-rules vpn_rule_ms_5_2_01;
}
user@router2 #show routing-options
static {
route 172.16.0.0/16 next-hop ms-1/0/0.1;
}
Verifizierung
- Überprüfen der Tunnelerstellung
- Überprüfen des Datenverkehrsflusses durch den DEP-Tunnel
- Überprüfen von IPsec-Sicherheitszuordnungen für den Servicesatz
Überprüfen der Tunnelerstellung
Zweck
Vergewissern Sie sich, dass dynamische Endpunkte erstellt wurden.
Aktion
Führen Sie den folgenden Befehl auf Router 1 aus:
user@router1 >show services ipsec-vpn ipsec security-associations detail
Service set: ipsec_ss_ms_4_0_01, IKE Routing-instance: default
Rule: vpn_rule_ms_4_0_01, Term: term11, Tunnel index: 1
Local gateway: 10.0.1.1, Remote gateway: 10.0.1.2
IPSec inside interface: ms-4/0/0.1, Tunnel MTU: 1500
Local identity: ipv4_subnet(any:0,[0..7]=172.16.0.0/16)
Remote identity: ipv4_subnet(any:0,[0..7]=192.168.0.0/16)
Direction: inbound, SPI: 112014862, AUX-SPI: 0
Mode: tunnel, Type: dynamic, State: Installed
Protocol: ESP, Authentication: hmac-sha1-96, Encryption: 3des-cbc
Soft lifetime: Expires in 24556 seconds
Hard lifetime: Expires in 25130 seconds
Anti-replay service: Enabled, Replay window size: 4096
Direction: outbound, SPI: 1469281276, AUX-SPI: 0
Mode: tunnel, Type: dynamic, State: Installed
Protocol: ESP, Authentication: hmac-sha1-96, Encryption: 3des-cbc
Soft lifetime: Expires in 24556 seconds
Hard lifetime: Expires in 25130 seconds
Anti-replay service: Enabled, Replay window size: 4096
Bedeutung
Die Ausgabe zeigt, dass sich die IPSec-Sicherheitszuordnungen auf dem Router mit dem Status Installiert befinden. Der IPSec-Tunnel ist eingerichtet und bereit, Datenverkehr über den Tunnel zu senden.
Überprüfen des Datenverkehrsflusses durch den DEP-Tunnel
Zweck
Überprüfen Sie den Datenverkehrsfluss über den neu erstellten DEP-Tunnel.
Aktion
Führen Sie den folgenden Befehl auf Router 2 aus:
user@router2> show services ipsec-vpn ipsec statistics PIC: ms-1/0/0, Service set: ipsec_ss_ms_5_2_01 ESP Statistics: Encrypted bytes: 153328 Decrypted bytes: 131424 Encrypted packets: 2738 Decrypted packets: 2738 AH Statistics: Input bytes: 0 Output bytes: 0 Input packets: 0 Output packets: 0 Errors: AH authentication failures: 0 ESP authentication failures: 0 ESP decryption failures: 0 Bad headers: 0, Bad trailers: 0 Replay before window drops: 0, Replayed pkts: 0 IP integrity errors: 0, Exceeds tunnel MTU: 0 Rule lookup failures: 0, No SA errors: 0 Flow errors: 0, Misc errors: 0
Überprüfen von IPsec-Sicherheitszuordnungen für den Servicesatz
Zweck
Stellen Sie sicher, dass die für den Servicesatz konfigurierten Sicherheitszuordnungen ordnungsgemäß funktionieren.
Aktion
Führen Sie den folgenden Befehl auf Router 2 aus:
user@router2> show services ipsec-vpn ipsec security-associations ipsec_ss_ms_5_2_01
Service set: ipsec_ss_ms_5_2_01, IKE Routing-instance: default
Rule: vpn_rule_ms_5_2_01, Term: term11, Tunnel index: 1
Local gateway: 10.0.1.2., Remote gateway: 10.0.1.1
IPSec inside interface: ms-1/0/0.1, Tunnel MTU: 1500
Direction SPI AUX-SPI Mode Type Protocol
inbound 1612447024 0 tunnel dynamic ESP
outbound 1824720964 0 tunnel dynamic ESP
Beispiel: Konfigurieren von statisch zugewiesenen IPsec-Tunneln über eine VRF-Instanz
Dieses Beispiel zeigt, wie ein statisch zugewiesener IPsec-Tunnel über eine VRF-Instanz konfiguriert wird, und enthält die folgenden Abschnitte:
Anforderungen
In diesem Beispiel werden die folgenden Hardware- und Softwarekomponenten verwendet:
Router der M Series, MX-Serie oder T-Serie, der als Provider-Edge-Router konfiguriert ist.
Junos OS Version 9.4 und höher.
Es ist keine spezielle Konfiguration über die Geräteinitialisierung hinaus erforderlich, bevor Sie diese Funktion konfigurieren können.
Überblick
Mit Junos OS können Sie statisch zugewiesene IPsec-Tunnel auf VRF-Instanzen (Virtual Routing and Forwarding) konfigurieren. Die Möglichkeit, IPsec-Tunnel auf VRF-Instanzen zu konfigurieren, verbessert die Netzwerksegmentierung und -sicherheit. Sie können mehrere Kundentunnel auf demselben PE-Router über VRF-Instanzen konfigurieren. Jede VRF-Instanz fungiert als logischer Router mit einer exklusiven Routing-Tabelle.
Konfiguration
Dieses Beispiel zeigt die Konfiguration eines IPsec-Tunnels über eine VRF-Instanz auf einem Provider-Edge-Router und enthält Schritt-für-Schritt-Anleitungen zum Abschließen der erforderlichen Konfiguration.
Dieser Abschnitt enthält:
Konfigurieren des Anbieter-Edge-Routers
CLI Schnellkonfiguration
Um dieses Beispiel schnell zu konfigurieren, kopieren Sie die folgenden Befehle, fügen Sie sie in eine Textdatei ein, entfernen Sie alle Zeilenumbrüche, ändern Sie alle erforderlichen Details, um sie an Ihre Netzwerkkonfiguration anzupassen, und kopieren Sie dann die Befehle und fügen Sie sie in die CLI auf der Hierarchieebene [Bearbeiten] ein.
set interfaces ge-0/3/0 unit 0 family inet address 10.6.6.6/32 set interfaces ge-1/1/0 description "teller ge-0/1/0" set interfaces ge-1/1/0 unit 0 family inet address 10.21.1.1/16 set interfaces ms-1/2/0 unit 0 family inet address 10.7.7.7/32 set interfaces ms-1/2/0 unit 1 family inet set interfaces ms-1/2/0 unit 1 service-domain inside set interfaces ms-1/2/0 unit 2 family inet set interfaces ms-1/2/0 unit 2 service-domain outside set policy-options policy-statement vpn-export then community add vpn-community set policy-options policy-statement vpn-export then accept set policy-options policy-statement vpn-import term a from community vpn-community set policy-options policy-statement vpn-import term a then accept set policy-options community vpn-community members target:100:20 set routing-instances vrf instance-type vrf set routing-instances vrf interface ge-0/3/0.0 set routing-instances vrf interface ms-1/2/0.1 set routing-instances vrf route-distinguisher 192.168.0.1:1 set routing-instances vrf vrf-import vpn-import set routing-instances vrf vrf-export vpn-export set routing-instances vrf routing-options static route 10.0.0.0/0 next-hop ge-0/3/0.0 set routing-instances vrf routing-options static route 10.11.11.1/32 next-hop ge-0/3/0.0 set routing-instances vrf routing-options static route 10.8.8.1/32 next-hop ms-1/2/0.1 set services ipsec-vpn ipsec proposal demo_ipsec_proposal protocol esp set services ipsec-vpn ipsec proposal demo_ipsec_proposal authentication-algorithm hmac-sha1-96 set services ipsec-vpn ipsec proposal demo_ipsec_proposal encryption-algorithm 3des-cbc set services ipsec-vpn ipsec policy demo_ipsec_policy perfect-forward-secrecy keys group2 set services ipsec-vpn ipsec policy demo_ipsec_policy proposals demo_ipsec_proposal set services ipsec-vpn ike proposal demo_ike_proposal authentication-method pre-shared-keys set services ipsec-vpn ike proposal demo_ike_proposal dh-group group2 set services ipsec-vpn ike policy demo_ike_policy proposals demo_ike_proposal set services ipsec-vpn ike policy demo_ike_policy pre-shared-key ascii-text juniperkey set services ipsec-vpn rule demo-rule term demo-term then remote-gateway 10.21.2.1 set services ipsec-vpn rule demo-rule term demo-term then dynamic ike-policy demo_ike_policy set services ipsec-vpn rule demo-rule match-direction input set services service-set demo-service-set next-hop-service inside-service-interface ms-1/2/0.1 set services service-set demo-service-set next-hop-service outside-service-interface ms-1/2/0.2 set services service-set demo-service-set ipsec-vpn-options local-gateway 10.21.1.1 set services service-set demo-service-set ipsec-vpn-rules demo-rule
Schritt-für-Schritt-Anleitung
Im folgenden Beispiel müssen Sie durch verschiedene Ebenen in der Konfigurationshierarchie navigieren. Weitere Informationen zum Navigieren in der CLI finden Sie unter Verwenden des CLI-Editors im Konfigurationsmodus im CLI-Benutzerhandbuch.
So konfigurieren Sie einen statisch zugewiesenen IPsec-Tunnel auf einer VRF-Instanz:
Konfigurieren Sie die Schnittstellen. In diesem Schritt konfigurieren Sie zwei Ethernet
ge()-Schnittstellen, eine Services-Schnittstelle (ms-) sowie die Service-Domain-Eigenschaften für die logischen Schnittstellen der Services-Schnittstelle. Beachten Sie, dass die logische Schnittstelle, die als interne Schnittstelle gekennzeichnet ist, den konfigurierten Dienst auf den Datenverkehr anwendet, während die als externe Schnittstelle markierte Schnittstelle als Ausgangspunkt für den Datenverkehr fungiert, auf den die interne Schnittstelle den Dienst angewendet hat.[edit interfaces] user@PE1# set ge-0/3/0 unit 0 family inet address 10.6.6.6/32 user@PE1# set ge-1/1/0 description "teller ge-0/1/0" user@PE1# set ge-1/1/0 unit 0 family inet address 10.21.1.1/16 user@PE1# set ms-1/2/0 unit 0 family inet address 10.7.7.7/32 user@PE1# set ms-1/2/0 unit 1 family inet user@PE1# set ms-1/2/0 unit 1 service-domain inside user@PE1# set ms-1/2/0 unit 2 family inet user@PE1# set ms-1/2/0 unit 2 service-domain outside
Konfigurieren Sie eine Routing-Richtlinie, um Routenimport- und -exportkriterien für die VRF-Instanz anzugeben. Auf die in diesem Schritt definierten Import- und Exportrichtlinien wird im nächsten Schritt von der Routing-Instance-Konfiguration verwiesen.
[edit policy-options] user@PE1# set policy-statement vpn-export then community add vpn-community user@PE1# set policy-statement vpn-export then accept user@PE1# set policy-statement vpn-import term a from community vpn-community user@PE1# set policy-statement vpn-import term a then accept user@PE1# set community vpn-community members target:100:20
Konfigurieren Sie eine Routing-Instanz, und geben Sie den Routing-Instance-Typ als
vrfan. Wenden Sie die im vorherigen Schritt definierten Import- und Exportrichtlinien auf die Routing-Instanz an, und geben Sie eine statische Route an, um den IPsec-Datenverkehr an die im ersten Schritt konfigurierte interne Schnittstelle (ms-1/2/0.1) zu senden.[edit routing-instance] user@PE1# set vrf instance-type vrf user@PE1# set vrf interface ge-0/3/0.0 user@PE1# set vrf interface ms-1/2/0.1 user@PE1# set vrf route-distinguisher 192.168.0.1:1 user@PE1# set vrf vrf-import vpn-import user@PE1# set vrf vrf-export vpn-export user@PE1# set vrf routing-options static route 10.0.0.0/0 next-hop ge-0/3/0.0 user@PE1# set vrf routing-options static route 10.11.11.1/32 next-hop ge-0/3/0.0 user@PE1# set vrf routing-options static route 10.8.8.1/32 next-hop ms-1/2/0.1
Konfigurieren von IKE- und IPsec-Vorschlägen und -Richtlinien sowie einer Regel zum Anwenden der IKE-Richtlinie auf den eingehenden Datenverkehr.
Anmerkung:Standardmäßig verwendet Junos OS die IKE-Richtlinie Version 1.0. Junos OS Version 11.4 und höher unterstützen auch die IKE-Richtlinienversion 2.0, die Sie unter
[edit services ipsec-vpn ike policy policy-name pre-shared]konfigurieren müssen.[edit services] user@PE1# set ipsec-vpn ipsec proposal demo_ipsec_proposal protocol esp user@PE1# set ipsec-vpn ipsec proposal demo_ipsec_proposal authentication-algorithm hmac-sha1-96 user@PE1# set ipsec-vpn ipsec proposal demo_ipsec_proposal encryption-algorithm 3des-cbc user@PE1# set ipsec-vpn ipsec policy demo_ipsec_policy perfect-forward-secrecy keys group2 user@PE1# set ipsec-vpn ipsec policy demo_ipsec_policy proposals demo_ipsec_proposal user@PE1# set ipsec-vpn ike proposal demo_ike_proposal authentication-method pre-shared-keys user@PE1# set ipsec-vpn ike proposal demo_ike_proposal dh-group group2 user@PE1# set ipsec-vpn ike policy demo_ike_policy proposals demo_ike_proposal user@PE1# set ipsec-vpn ike policy demo_ike_policy pre-shared-key ascii-text juniperkey user@PE1# set ipsec-vpn rule demo-rule term demo-term then remote-gateway 10.21.2.1 user@PE1# set ipsec-vpn rule demo-rule term demo-term then dynamic ike-policy demo_ike_policy user@PE1# set ipsec-vpn rule demo-rule match-direction input
Konfigurieren Sie eine Servicegruppe im Stil eines nächsten Hops. Beachten Sie, dass Sie die internen und äußeren Schnittstellen, die Sie im ersten Schritt konfiguriert haben, jeweils als und
inside-service-interfaceoutside-service-interfacekonfigurieren müssen.[edit services] user@PE1# set service-set demo-service-set next-hop-service inside-service-interface ms-1/2/0.1 user@PE1# set service-set demo-service-set next-hop-service outside-service-interface ms-1/2/0.2 user@PE1# set service-set demo-service-set ipsec-vpn-options local-gateway 10.21.1.1 user@PE1# set service-set demo-service-set ipsec-vpn-rules demo-rule
Bestätigen Sie die Konfiguration.
[edit] user@PE1# commit
Befund
Bestätigen Sie im Konfigurationsmodus von Router 1 Ihre Konfiguration, indem Sie die show interfacesBefehle , show policy-options, show routing-instancesshow services ipsec-vpn, und show services service-set eingeben. Wenn in der Ausgabe nicht die beabsichtigte Konfiguration angezeigt wird, wiederholen Sie die Anweisungen in diesem Beispiel, um die Konfiguration zu korrigieren.
user@PE1# show interfaces
...
ms-1/2/0 {
unit 0 {
family inet {
address 10.7.7.7/32;
}
}
unit 1 {
family inet;
service-domain inside;
}
unit 2 {
family inet;
service-domain outside;
}
}
ge-0/3/0 {
unit 0 {
family inet {
address 10.6.6.6/32;
}
}
}
ge-1/1/0 {
description "teller ge-0/1/0";
unit 0 {
family inet {
address 10.21.1.1/16;
}
}
}
...
user@PE1# show policy-options
policy-statement vpn-export {
then {
community add vpn-community;
accept;
}
}
policy-statement vpn-import {
term a {
from community vpn-community;
then accept;
}
}
community vpn-community members target:100:20;
user@PE1# show routing-instances
vrf {
instance-type vrf;
interface ge-0/3/0.0;
interface ms-1/2/0.1;
route-distinguisher 192.168.0.1:1;
vrf-import vpn-import;
vrf-export vpn-export;
routing-options {
static {
route 10.0.0.0/0 next-hop ge-0/3/0.0;
route 10.11.11.1/32 next-hop ge-0/3/0.0;
route 10.8.8.1/32 next-hop ms-1/2/0.1;
}
}
}
user@PE1# show services ipsec-vpn
ipsec-vpn {
rule demo-rule {
term demo-term {
then {
remote-gateway 10.21.2.1;
dynamic {
ike-policy demo_ike_policy;
}
}
}
match-direction input;
}
ipsec {
proposal demo_ipsec_proposal {
protocol esp;
authentication-algorithm hmac-sha1-96;
encryption-algorithm 3des-cbc;
}
policy demo_ipsec_policy {
perfect-forward-secrecy {
keys group2;
}
proposals demo_ipsec_proposal;
}
}
ike {
proposal demo_ike_proposal {
authentication-method pre-shared-keys;
dh-group group2;
}
policy demo_ike_policy {
proposals demo_ike_proposal;
pre-shared-key ascii-text "$ABC123"; ## SECRET-DATA
}
}
}
user@PE1# show services service-set demo-service-set
next-hop-service {
inside-service-interface ms-1/2/0.1;
outside-service-interface ms-1/2/0.2;
}
ipsec-vpn-options {
local-gateway 10.21.1.1;
}
ipsec-vpn-rules demo-rule;
Multitasking-Beispiel: Konfigurieren von IPsec-Services
Die folgenden beispielbasierten Anweisungen zeigen, wie IPsec-Dienste konfiguriert werden. Die Konfiguration umfasst die Definition einer IKE-Richtlinie, einer IPsec-Richtlinie, IPsec-Regeln, Ablaufverfolgungsoptionen und Dienstsätzen.
Dieses Thema umfasst die folgenden Aufgaben:
- Konfigurieren des IKE-Vorschlags
- Konfigurieren der IKE-Richtlinie (und Verweisen auf den IKE-Vorschlag)
- Konfigurieren des IPsec-Vorschlags
- Konfigurieren der IPsec-Richtlinie (und Verweisen auf den IPsec-Vorschlag)
- Konfigurieren der IPsec-Regel (und Verweisen auf die IKE- und IPsec-Richtlinien)
- Konfigurieren von IPsec-Trace-Optionen
- Konfigurieren des Zugriffsprofils (und Verweisen auf die IKE- und IPsec-Richtlinien)
- Konfigurieren des Dienstsatzes (und Verweisen auf das IKE-Profil und die IPsec-Regel)
Konfigurieren des IKE-Vorschlags
Die IKE-Vorschlagskonfiguration definiert die Algorithmen und Schlüssel, die zum Herstellen der sicheren IKE-Verbindung mit dem Peersicherheitsgateway verwendet werden. Weitere Informationen zu IKE-Vorschlägen finden Sie unter Konfigurieren von IKE-Vorschlägen.
So definieren Sie den IKE-Vorschlag:
Die folgende Beispielausgabe zeigt die Konfiguration des IKE-Vorschlags:
[edit services ipsec-vpn]
user@host# show ike
proposal test-IKE-proposal {
authentication-method pre-shared-keys;
dh-group group1;
authentication-algorithm sha1;
encryption-algorithm aes-256-cbc;
}
Siehe auch
Konfigurieren der IKE-Richtlinie (und Verweisen auf den IKE-Vorschlag)
Die IKE-Richtlinienkonfiguration definiert den Vorschlag, den Modus, die Adressen und andere Sicherheitsparameter, die während der IKE-Aushandlung verwendet werden. Weitere Informationen zu IKE-Richtlinien finden Sie unter Konfigurieren von IKE-Richtlinien.
So definieren Sie die IKE-Richtlinie und verweisen auf den IKE-Vorschlag:
Die folgende Beispielausgabe zeigt die Konfiguration der IKE-Richtlinie:
[edit services ipsec-vpn]
user@host# show ike
policy test-IKE-policy {
mode main;
proposals test-IKE-proposal;
local-id ipv4_addr 192.168.255.2;
pre-shared-key ascii-text TEST;
}
Konfigurieren des IPsec-Vorschlags
Die IPsec-Vorschlagskonfiguration definiert die Protokolle und Algorithmen (Sicherheitsdienste), die für die Aushandlung mit dem Remote-IPsec-Peer erforderlich sind. Weitere Informationen zu IPsec-Vorschlägen finden Sie unter Konfigurieren von IPsec-Vorschlägen.
So definieren Sie den IPsec-Vorschlag:
Die folgende Beispielausgabe zeigt die Konfiguration des IPsec-Vorschlags:
[edit services ipsec-vpn]
user@host# show ike
proposal test-IPsec-proposal {
protocol esp;
authentication-algorithm hmac-sha1-96;
encryption-algorithm aes-256-cbc;
}
Siehe auch
Konfigurieren der IPsec-Richtlinie (und Verweisen auf den IPsec-Vorschlag)
Die IPsec-Richtlinienkonfiguration definiert eine Kombination von Sicherheitsparametern (IPsec-Vorschlägen), die während der IPsec-Aushandlung verwendet werden. Er definiert die PFS und die Vorschläge, die für den Anschluss erforderlich sind. Weitere Informationen zu IPsec-Richtlinien finden Sie unter Konfigurieren von IPsec-Richtlinien.
So definieren Sie die IPsec-Richtlinie und verweisen auf den IPsec-Vorschlag:
Die folgende Beispielausgabe zeigt die Konfiguration der IPsec-Richtlinie:
[edit services ipsec-vpn]
user@host# show ipsec policy test-IPsec-policy
perfect-forward-secrecy {
keys group1;
}
proposals test-IPsec-proposal;
Siehe auch
Konfigurieren der IPsec-Regel (und Verweisen auf die IKE- und IPsec-Richtlinien)
Die Konfiguration der IPsec-Regel definiert die Richtung, die angibt, ob die Übereinstimmung auf der Eingabe- oder Ausgabeseite der Schnittstelle angewendet wird. Die Konfiguration besteht auch aus einer Reihe von Begriffen, die die Übereinstimmungsbedingungen und Anwendungen angeben, die ein- und ausgeschlossen werden, sowie die Aktionen und Aktionsmodifikatoren, die von der Routersoftware ausgeführt werden sollen. Weitere Informationen zu IPsec-Regeln finden Sie unter Konfigurieren von IPsec-Regeln.
So definieren Sie die IPsec-Regel und verweisen auf die IKE- und IPsec-Richtlinien:
Die folgende Beispielausgabe zeigt die Konfiguration der IPsec-Regel:
[edit services ipsec-vpn]
user@host# show rule test-IPsec-rule
term 10 {
from {
destination-address {
192.168.255.2/32;
}
}
then {
remote-gateway 0.0.0.0;
dynamic {
ike-policy test-IKE-policy;
ipsec-policy test-IPsec-policy;
}
}
}
match-direction input;
Konfigurieren von IPsec-Trace-Optionen
Mit der Konfiguration der IPsec-Trace-Optionen werden IPsec-Ereignisse nachverfolgt und in einer Protokolldatei im Verzeichnis /var/log aufgezeichnet. Standardmäßig heißt diese Datei /var/log/kmd. Weitere Hinweise zu IPsec-Regeln finden Sie unter Ablaufverfolgung von Junos VPN Site Secure-Vorgängen.
So definieren Sie die IPsec-Ablaufverfolgungsoptionen:
Die folgende Beispielausgabe zeigt die Konfiguration der IPsec-Ablaufverfolgungsoptionen:
[edit services ipsec-vpn] user@host# show traceoptions file ipsec.log; flag all;
Konfigurieren des Zugriffsprofils (und Verweisen auf die IKE- und IPsec-Richtlinien)
Die Konfiguration des Zugriffsprofils definiert das Zugriffsprofil und verweist auf die IKE- und IPsec-Richtlinien. Weitere Informationen zum Zugriffsprofil finden Sie unter Konfigurieren eines IKE-Zugriffsprofils.
So definieren Sie das Zugriffsprofil und verweisen auf die IKE- und IPsec-Richtlinien:
Die folgende Beispielausgabe zeigt die Konfiguration des Zugriffsprofils:
[edit access]
user@host# show
profile IKE-profile-TEST {
client * {
ike {
allowed-proxy-pair local 10.0.0.0/24 remote 10.0.1.0/24;
ike-policy test-IKE-policy;
ipsec-policy test-IPsec-policy; # new statement
interface-id TEST-intf;
}
}
}
Siehe auch
Konfigurieren des Dienstsatzes (und Verweisen auf das IKE-Profil und die IPsec-Regel)
Die Service-Set-Konfiguration definiert IPsec-Service-Sets, für die zusätzliche Spezifikationen erforderlich sind, und verweist auf das IKE-Profil und die IPsec-Regel. Weitere Informationen zu IPsec-Servicesätzen finden Sie unter Konfigurieren von IPsec-Servicesets.
So definieren Sie die Service-Set-Konfiguration mit den Next-Hop-Service-Sets und IPsec-VPN-Optionen:
Die folgende Beispielausgabe zeigt die Konfiguration der Dienstsatzkonfiguration, die auf das IKE-Profil und die IPsec-Regel verweist:
[edit services]user@host# show service-set TEST
next-hop-service {
inside-service-interface sp-1/2/0.1;
outside-service-interface sp-1/2/0.2;
}
ipsec-vpn-options {
local-gateway 192.168.255.2;
ike-access-profile IKE-profile-TEST;
}
ipsec-vpn-rules test-IPsec-rule;
Siehe auch
Deaktivieren von NAT-T auf Routern der MX-Serie für die Verarbeitung von NAT mit IPsec-geschützten Paketen
Vor Junos OS-Version 17.4R1 wurde Network Address Translation-Traversal (NAT-T) für die IPsec-Funktionen der Junos VPN Site Secure-Suite auf den Routern der MX-Serie nicht unterstützt. Standardmäßig erkennt Junos OS, ob sich einer der IPsec-Tunnel hinter einem NAT-Gerät befindet, und wechselt automatisch zur Verwendung von NAT-T für den geschützten Datenverkehr. Um zu vermeiden, dass nicht unterstütztes NAT-T in Junos OS-Versionen vor 17.4R1 ausgeführt wird, müssen Sie NAT-T deaktivieren, indem Sie die disable-natt Anweisung auf der [edit services ipsec-vpn] Hierarchieebene einschließen. Wenn Sie NAT-T deaktivieren, wird die NAT-T-Funktionalität global ausgeschaltet. Wenn Sie NAT-T deaktivieren und ein NAT-Gerät zwischen den beiden IPsec-Gateways vorhanden ist, werden ISAKMP-Nachrichten über den UDP-Port 500 ausgehandelt, und Datenpakete werden mit Encapsulating Security Payload (ESP) eingekapselt.
Network Address Translation-Traversal (NAT-T) ist eine Methode zur Umgehung von IP-Adressübersetzungsproblemen, die auftreten, wenn durch IPsec geschützte Daten zur Adressübersetzung durch ein NAT-Gerät geleitet werden. Jede Änderung an der IP-Adressierung, die die Funktion von NAT ist, führt dazu, dass IKE Pakete verwirft. Nach der Erkennung eines oder mehrerer NAT-Geräte entlang des Datenpfads während des Phase-1-Austauschs fügt NAT-T IPsec-Paketen eine Ebene der UDP-Kapselung (User Datagram Protocol) hinzu, damit sie nach der Adressübersetzung nicht verworfen werden. NAT-T kapselt sowohl IKE- als auch ESP-Datenverkehr in UDP ein, wobei Port 4500 sowohl als Quell- als auch als Zielport verwendet wird. Da veraltete UDP-Übersetzungen auf NAT-Geräten veraltet sind, sind Keepalive-Nachrichten zwischen den Peers erforderlich.
Der Standort eines NAT-Geräts kann wie folgt aussehen:
Nur der IKEv1- oder IKEv2-Initiator befindet sich hinter einem NAT-Gerät. Mehrere Initiatoren können sich hinter separaten NAT-Geräten befinden. Initiatoren können sich auch über mehrere NAT-Geräte mit dem Responder verbinden.
Nur der IKEv1- oder IKEv2-Responder befindet sich hinter einem NAT-Gerät.
Sowohl der IKEv1- oder IKEv2-Initiator als auch der Responder befinden sich hinter einem NAT-Gerät.
Dynamisches Endpunkt-VPN deckt die Situation ab, in der die externe IKE-Adresse des Initiators nicht festgelegt ist und daher dem Responder nicht bekannt ist. Dies kann der Fall sein, wenn die Adresse des Initiators dynamisch von einem ISP zugewiesen wird oder wenn die Verbindung des Initiators über ein dynamisches NAT-Gerät läuft, das Adressen aus einem dynamischen Adresspool zuweist.
Konfigurationsbeispiele für NAT-T werden für die Topologie bereitgestellt, in der sich nur der Responder hinter einem NAT-Gerät befindet, und für die Topologie, in der sich sowohl der Initiator als auch der Responder hinter einem NAT-Gerät befinden. Die Site-to-Site-IKE-Gatewaykonfiguration für NAT-T wird sowohl auf dem Initiator als auch auf dem Responder unterstützt. Eine Remote-IKE-ID wird verwendet, um die lokale IKE-ID eines Peers während Phase 1 der IKE-Tunnelaushandlung zu überprüfen. Sowohl der Initiator als auch der Responder benötigen eine lokale Identitäts- und Remoteidentitätszeichenfolge.
Siehe auch
Ablaufverfolgung von Junos VPN Site Secure-Abläufen
Junos VPN Site Secure ist eine Suite von IPsec-Funktionen, die auf Multiservices-Linecards (MS-DPC, MS-MPC und MS-MIC) unterstützt werden und früher als IPsec-Services bezeichnet wurden.
Ablaufverfolgungsvorgänge verfolgen IPsec-Ereignisse und zeichnen sie in einer Protokolldatei im /var/log Verzeichnis auf. Standardmäßig hat diese Datei den Namen /var/log/kmd.
Um IPsec-Vorgänge zu verfolgen, schließen Sie die traceoptions Anweisung auf der [edit services ipsec-vpn] Hierarchieebene ein:
[edit services ipsec-vpn] traceoptions { file <filename> <files number> <match regular-expression> <size bytes> <world-readable | no-world-readable>; flag flag; level level; no-remote-trace; }
Sie können die folgenden IPsec-Ablaufverfolgungsflags angeben:
all—Alles nachvollziehen.certificates– Ereignisse für Trace-Zertifikate.database– Verfolgen Sie Datenbankereignisse für Sicherheitszuordnungen.general– Allgemeine Ereignisse nachverfolgen.ike– Verfolgen Sie die Verarbeitung des IKE-Moduls.parse– Verarbeitung der Trace-Konfiguration.policy-manager– Verarbeitung des Trace-Richtlinien-Managers.routing-socket– Verfolgen Sie Routing-Socket-Nachrichten.snmp– SNMP-Vorgänge verfolgen.timer– Interne Timer-Ereignisse verfolgen.
Die level Anweisung legt die Ablaufverfolgungsebene des Schlüsselverwaltungsprozesses (Key Management Process, kmd) fest. Die folgenden Werte werden unterstützt:
all– Übereinstimmung mit allen Ebenen.error: Entspricht Fehlerbedingungen.info–Passen Sie Informationsmeldungen an.notice– Übereinstimmungsbedingungen, die besonders behandelt werden sollten.verbose– Übereinstimmung mit ausführlichen Meldungen.warning– Übereinstimmung mit Warnmeldungen.
Dieser Abschnitt enthält die folgenden Themen:
Deaktivieren des IPsec-Tunnelendpunkts in Traceroute
Wenn Sie die no-ipsec-tunnel-in-traceroute Anweisung auf Hierarchieebene [edit services ipsec-vpn] einschließen, wird der IPsec-Tunnel nicht als nächster Hop behandelt, und die Gültigkeitsdauer (Time to Live, TTL) wird nicht verringert. Wenn die TTL Null erreicht, wird keine ICMP-Meldung über Zeitüberschreitung generiert.
[edit services ipsec-vpn] no-ipsec-tunnel-in-traceroute;
Diese Funktionalität wird auch von der Anweisung passive-mode-tunneling bereitgestellt. Sie können die no-ipsec-tunnel-in-traceroute Anweisung in bestimmten Szenarien verwenden, in denen der IPsec-Tunnel nicht als nächster Hop behandelt werden soll und der passive Modus nicht erwünscht ist.
Ablaufverfolgung von IPsec-PKI-Vorgängen
Ablaufverfolgungsvorgänge verfolgen IPsec-PKI-Ereignisse und zeichnen sie in einer Protokolldatei im /var/log Verzeichnis auf. Standardmäßig hat diese Datei den Namen /var/log/pkid.
Um IPsec-PKI-Vorgänge zu verfolgen, schließen Sie die traceoptions Anweisung auf der [edit security pki] Hierarchieebene ein:
[edit security pki] traceoptions { file filename <files number> <match regular-expression> <size maximum-file-size> <world-readable | no-world-readable>; flag flag (all | certificate-verification | enrollment | online-crl-check); }
Sie können die folgenden PKI-Ablaufverfolgungsflags angeben:
all—Alles nachvollziehen.certificates– Ereignisse für Trace-Zertifikate.database– Verfolgen Sie Datenbankereignisse für Sicherheitszuordnungen.general– Allgemeine Ereignisse nachverfolgen.ike– Verfolgen Sie die Verarbeitung des IKE-Moduls.parse– Verarbeitung der Trace-Konfiguration.policy-manager– Verarbeitung des Trace-Richtlinien-Managers.routing-socket– Verfolgen Sie Routing-Socket-Nachrichten.snmp– SNMP-Vorgänge verfolgen.timer– Interne Timer-Ereignisse verfolgen.
Tabellarischer Änderungsverlauf
Die Unterstützung der Funktion hängt von der Plattform und der Version ab, die Sie benutzen. Verwenden Sie Funktionen entdecken , um festzustellen, ob eine Funktion auf Ihrer Plattform unterstützt wird.
gw-interface Anweisung verwenden, um die Bereinigung von IKE-Triggern und IKE- und IPsec-SAs zu aktivieren, wenn die IP-Adresse des lokalen IPsec-Gateways eines IPsec-Tunnels ausfällt oder die MS-MIC oder MS-MPC, die im Service-Set des Tunnels verwendet werden, ausfällt.
ipsec-inside-interface interface-name Anweisung auf Hierarchieebene
[edit services ipsec-vpn rule rule-name term term-name from] als interne IPsec-Schnittstellen konfigurieren, um Link-Typ-Tunnel (d. h. im Next-Hop-Stil) für HA-Zwecke zu konfigurieren.
header-integrity-check auf MS-MICs und MS-MPCs unterstützte Option, den Paket-Header auf Anomalien in IP-, TCP-, UDP- und ICMP-Informationen zu überprüfen und solche Anomalien und Fehler zu kennzeichnen, über eine Funktionalität, die der durch Passivmodus-Tunneling verursachten Funktionalität entgegengesetzt ist.