组 VPNv2

了解 VPNv2 组的 GDOI 协议

组 VPNv2 基于 RFC 6407， 即组解释域 （GDOI）。此 RFC 描述了组成员和组服务器之间用于在组成员之间建立 SA 的协议。GDOI 消息为一组设备创建、维护或删除 SA。vSRX 虚拟防火墙实例和所有 SRX 系列防火墙（SRX5400、SRX5600 和 SRX5800 设备除外）支持 VPNv2 组。

GDOI 协议在 UDP 端口 848 上运行。互联网安全关联和密钥管理协议 （ISAKMP） 定义了两个协商阶段，用于为 IKE IPsec 隧道建立 SA。阶段 1 允许两台设备为其他安全协议（如 GDOI）建立 ISAKMP SA 。

使用组 VPNv2，将在组服务器和组成员之间执行第 1 阶段 ISAKMP SA 协商。服务器和成员必须使用相同的 ISAKMP 策略。服务器和成员之间的 GDOI 交换建立与其他组成员共享的 SA。组成员不需要与其他组成员协商 IPsec。GDOI 交换 必须受 ISAKMP 第 1 阶段 SA 的保护。

有两种类型的 GDOI 交换：

• 交换 允许成员从服务器请求组共享的 SA 和密钥。groupkey-pull 组成员必须通过交换向 组服务器注册。groupkey-pull

• 交换是一条重新生成密钥的消息，允许服务器在现有组 SA 过期之前向成员发送组 SA 和密钥。groupkey-push 重新生成密钥消息是从服务器发送到成员的未经请求的消息。

了解组 VPNv2 服务器和成员

SRX300、SRX320、SRX340、SRX345、SRX550HM、SRX1500、SRX4100、SRX4200和 SRX4600 设备和 vSRX 虚拟防火墙实例支持 VPNv2 组。VPNv2 组的中心是组控制器/密钥服务器 （GCKS）。服务器集群可用于提供 GCKS 冗余。

GCKS 或组服务器执行以下任务：

• 控制组成员身份。

• 生成加密密钥。

• 向成员发送新的组 SA 和密钥。组成员根据组服务器提供的组 SA 和密钥加密流量。

一个组服务器可以为多个组提供服务。单个安全设备可以是多个组的成员。

每个组都由一个组标识符表示，该标识符是介于 1 和 4,294,967,295 之间的数字。组服务器和组成员通过组标识符链接在一起。每个组只能有一个组标识符，多个组不能使用相同的组标识符。

以下是组 VPNv2 服务器和成员操作的高级视图：

1. 组服务器侦听 UDP 端口 848 以供成员注册。

2. 若要向组服务器注册，成员首先向服务器建立 IKE SA。成员设备必须提供正确的 IKE 第 1 阶段身份验证才能加入组。支持基于每个成员的预共享密钥身份验证。

3. 成功进行身份验证和注册后，成员设备通过 GDOI 交换从服务器检索指定组标识符的组 SA 和密钥。groupkey-pull

4. 服务器将成员添加到组的成员资格中。

5. 组成员交换使用组 SA 密钥加密的数据包。

服务器使用重新生成密钥 （GDOI ） 消息向组成员发送 SA 和密钥刷新。groupkey-push 服务器在 SA 过期之前发送重新生成密钥消息，以确保有效的密钥可用于加密组成员之间的流量。

服务器发送的重新生成密钥消息需要来自每个组成员的确认 （ack） 消息。如果服务器未收到来自成员的确认消息，则会以配置 的方式重新传输重新生成密钥消息（默认值为 10 秒）。retransmission-period 如果配置 后成员没有回复（默认值为 2 次），则该成员将从服务器的注册成员中删除。number-of-retransmission 服务器和成员之间的 IKE SA 也将被删除。

当组 SA 发生更改时，服务器还会发送重新生成密钥消息，以便向成员提供新密钥。

了解组 VPNv2 限制

组 VPNv2 服务器仅与支持 RFC 6407（组 解释域 （GDOI））的组 VPNv2 成员一起运行。

SRX300、SRX320、SRX340、SRX345、SRX550HM、SRX1500、SRX4100、SRX4200和 SRX4600 设备和 vSRX 虚拟防火墙实例支持 VPNv2 组。此版本的组 VPNv2 不支持以下内容：

• SNMP。

• 来自思科 GET VPN 服务器的拒绝策略。

• 对第 1 阶段 IKE 身份验证的 PKI 支持。

• 组服务器和成员的共置，其中服务器和成员功能在同一物理设备中共存。

• 配置为机箱群集的组成员。

• 用于配置和监控的 J-Web 界面。

• 组播数据流量。

在无法保留 IP 地址的部署中（例如，在使用 NAT 的互联网上），不支持组 VPNv2。

了解组 VPNv2 服务器成员通信

SRX300、SRX320、SRX340、SRX345、SRX550HM、SRX1500、SRX4100、SRX4200和 SRX4600 设备和 vSRX 虚拟防火墙实例支持 VPNv2 组。服务器成员通信允许服务器向成员发送 GDOI （密钥）消息。groupkey-push 如果未为组配置服务器成员通信，则成员可以发送 GDOI 消息以注册并向服务器重新注册，但服务器无法向成员发送 消息。groupkey-pullgroupkey-push

服务器成员通信是使用 [] 层次结构中的配置语句为组配置的。server-member-communicationedit security group-vpn server 可以定义以下选项：

• 用于向服务器验证成员的身份验证算法（sha-256 或 sha-384）。没有默认算法。

• 用于服务器和成员之间通信的加密算法。您可以指定 aes-128-cbc、aes-192-cbc 或 aes-256-cbc。没有默认算法。

• 发送给组成员的重新生成密钥消息的单播通信类型。

• 密钥加密密钥 （KEK） 的生存期。默认设置为 3600 秒。

• 组服务器在没有响应的情况下向组成员重新传输 邮件的次数（默认值为 2 次）和重新传输之间的时间段（默认值为 10 秒）。groupkey-push

如果未配置组的服务器成员通信，则命令显示 的成员资格列表将显示已在服务器中注册的组成员;成员可以是活动的，也可以不是活动成员。show security group-vpn server registered-members 配置组的服务器成员通信时，将清除组成员身份列表。对于单播通信类型，该 命令仅显示活动成员。show security group-vpn server registered-members

了解组 VPNv2 关键操作

本主题包含以下部分：

• 组键
• 重新键入消息
• 会员注册

在组服务器上配置的组策略

在 VPN 组中，服务器推送到成员的每个组 SA 和密钥都与组策略相关联。组策略描述应使用密钥的流量，包括协议、源地址、源端口、目标地址和目标端口。在服务器上，组策略配置了 [] 层次结构级别的选项。match-policy policy-nameedit security group-vpn server group name ipsec-sa name

单个组不能存在相同（配置了相同源地址、目标地址、源端口、目标端口和协议值）的组策略。如果尝试提交包含组相同组策略的配置，则会返回错误。如果发生这种情况，必须先删除其中一个相同的组策略，然后才能提交配置。

在组成员上配置的 IPsec 策略

在组成员上，IPsec 策略包含以下信息：

• 组流量的传入区域 （）。from-zone

• 组流量的传出区域 （）。to-zone

• 应用 IPsec 策略的组的名称。特定的从区域/到区域对只能引用一个组 VPNv2 名称。

组成员用于连接到组 VPNv2 的接口必须属于传出区域。此接口使用 [] 层次结构级别的语句指定。group-vpn-external-interfaceedit security group-vpn member ipsec vpn vpn-name

在组成员上，IPsec 策略是在 [] 层次结构级别配置的。edit security ipsec-policy 将根据为组配置的排除和失效开放规则进一步检查与 IPsec 策略匹配的流量。

失效关闭

默认情况下，与从组服务器接收的排除或失效开放规则或组策略不匹配的流量将被阻止;这称为 故障关闭。

排除和失效开放规则

在组成员上，可以为每个组配置以下类型的规则：

• 从 VPN 加密中排除的流量。此类流量的示例包括 BGP 或 OSPF 路由协议。要从组中排除流量，请使用配置 。set security group-vpn member ipsec vpn vpn-name exclude rule 最多可以配置 10 个排除规则。

• 对客户操作至关重要的流量，如果组成员未收到 IPsec SA 的有效流量加密密钥 （TEK），则必须以明文（未加密）发送。失效开放规则允许此流量流动，同时阻止所有其他流量。使用 配置启用失效开放。set security group-vpn member ipsec vpn vpn-name fail-open rule 最多可以配置 10 个失效开放规则。

IPsec 策略和规则的优先级

IPsec 策略和规则对组成员具有以下优先级：

1. 排除定义要从 VPN 加密中排除的流量的规则。

2. 从组服务器下载的组策略。

3. 失效开放规则，用于定义在 SA 没有有效 TEK 时以明文形式发送的流量。

4. 阻止流量的故障关闭策略。如果流量与排除或失效开放规则或组策略不匹配，则这是默认值。