h3c Web 配置手册 IKE

Web配置手册 IKE 目录

目录

第1章 IKE配置.......................................................................................................................1-1

1.1 概述....................................................................................................................................1-1

1.1.1 IKE的安全机制.........................................................................................................1-1

1.1.2 IKE的交换过程.........................................................................................................1-2

1.1.3 IKE在IPSec中的作用...............................................................................................1-2

1.1.4 IPSec与IKE的关系..................................................................................................1-3

1.2 配置IKE..............................................................................................................................1-3

1.2.1 配置概述..................................................................................................................1-3

1.2.2 配置IKE全局参数.....................................................................................................1-5

1.2.3 配置IKE安全提议.....................................................................................................1-6

1.2.4 配置IKE DPD...........................................................................................................1-7

1.2.5 配置IKE对等体.........................................................................................................1-8

1.2.6 查看IKE安全联盟.....................................................................................................1-9

1.3 IKE典型配置举例..............................................................................................................1-11

第1章 IKE配置

1.1 概述

在实施IPSec的过程中，可以使用IKE（Internet Key Exchange，因特网密钥交换）

协议来建立SA，该协议建立在由ISAKMP（Internet Security Association and Key

Management Protocol，互联网安全联盟和密钥管理协议）定义的框架上。IKE为

IPSec提供了自动协商交换密钥、建立SA的服务，能够简化IPSec的使用和管理，

大大简化IPSec的配置和维护工作。

IKE不是在网络上直接传输密钥，而是通过一系列数据的交换，最终计算出双方共

享的密钥，并且即使第三者截获了双方用于计算密钥的所有交换数据，也不足以计

算出真正的密钥。

1.1.1 IKE的安全机制

IKE具有一套自保护机制，可以在不安全的网络上安全地认证身份、分发密钥、建

立IPSec SA。

1. 数据认证

数据认证有如下两方面的概念：

z身份认证：身份认证确认通信双方的身份。支持两种认证方法：预共享密钥（pre-shared-key）认证和基于PKI的数字签名（rsa-signature）认证。

z身份保护：身份数据在密钥产生之后加密传送，实现了对身份数据的保护。

2. DH

DH（Diffie-Hellman，交换及密钥分发）算法是一种公共密钥算法。通信双方在不

传输密钥的情况下通过交换一些数据，计算出共享的密钥。即使第三者（如黑客）

截获了双方用于计算密钥的所有交换数据，由于其复杂度很高，不足以计算出真正

的密钥。所以，DH交换技术可以保证双方能够安全地获得公有信息。

3. PFS

PFS（Perfect Forward Secrecy，完善的前向安全性）特性是一种安全特性，指一

个密钥被破解，并不影响其他密钥的安全性，因为这些密钥间没有派生关系。对于

IPSec，是通过在IKE阶段2协商中增加一次密钥交换来实现的。PFS特性是由DH

算法保障的。

1.1.2 IKE的交换过程

IKE使用了两个阶段为IPSec进行密钥协商并建立SA：

(1) 第一阶段，通信各方彼此间建立了一个已通过身份认证和安全保护的通道，即

建立一个ISAKMP SA。第一阶段有主模式（Main Mode）和野蛮模式

（Aggressive Mode）两种IKE交换方法。

(2) 第二阶段，用在第一阶段建立的安全隧道为IPSec协商安全服务，即为IPSec

协商具体的SA，建立用于最终的IP数据安全传输的IPSec SA。

Peer 2

Peer 1

图1-1主模式交换过程

如图1-1所示，第一阶段主模式的IKE协商过程中包含三对消息：

z第一对叫SA交换，是协商确认有关安全策略的过程；

z第二对消息叫密钥交换，交换Diffie-Hellman公共值和辅助数据（如：随机数），密钥材料在这个阶段产生；

z最后一对消息是ID信息和认证数据交换，进行身份认证和对整个SA交换进行认证。

野蛮模式交换与主模式交换的主要差别在于，野蛮模式不提供身份保护，只交换3

条消息。在对身份保护要求不高的场合，使用交换报文较少的野蛮模式可以提高协

商的速度；在对身份保护要求较高的场合，则应该使用主模式。

1.1.3 IKE在IPSec中的作用

z因为有了IKE，IPSec很多参数（如：密钥）都可以自动建立，降低了手工配置的复杂度。

z IKE协议中的DH交换过程，每次的计算和产生的结果都是不相关的。每次SA 的建立都运行DH交换过程，保证了每个SA所使用的密钥互不相关。

z IPSec使用IP报文头中的序列号实现防重放。此序列号是一个32比特的值，此数溢出后，为实现防重放，SA需要重新建立，这个过程需要IKE协议的配

合。

z对安全通信的各方身份的的认证和管理，将影响到IPSec的部署。IPSec的大规模使用，必须有CA（Certificate Authority，认证中心）或其他集中管理身

份数据的机构的参与。

z IKE提供端与端之间动态认证。

1.1.4 IPSec与IKE的关系

图1-2IPSec与IKE的关系图

从图1-2中我们可以看出IKE和IPSec的关系：

z IKE是UDP之上的一个应用层协议，是IPSec的信令协议；

z IKE为IPSec协商建立SA，并把建立的参数及生成的密钥交给IPSec；

z IPSec使用IKE建立的SA对IP报文加密或认证处理。

1.2 配置IKE

1.2.1 配置概述

进行IKE配置之前，用户需要确定以下几个因素，以便配置过程的顺利进行。

z确定IKE交换过程中算法的强度，即确定安全保护的强度（包括身份认证方法、加密算法、认证算法、DH组）：不同的算法的强度不同，算法强度越高，受

保护数据越难被破解，但消耗的计算资源越多。一般来说，密钥越长的算法强度越高。

z确定通信双方预先约定的预共享密钥或所属的PKI域。关于PKI的配置，请参见“Web配置手册 PKI”。

在界面左侧的导航栏中选择“虚拟专用网 > IKE”，展开IKE模块的菜单，如图1-3所示。

图1-3IKE模块的菜单

1. IKE配置

IKE配置的推荐步骤如表1-1所示。

表1-1IKE配置步骤

步骤配置任务说明

1 1.2.

2 配置IKE全

局参数

可选

设置IKE本端名称和NAT Keepalive报文时间间隔参数

2 1.2.

3 配置IKE安

全提议

可选

IKE安全提议定义了一套属性数据来描述IKE协商怎样进行安全

通信。用户可以创建多条不同优先级的IKE提议，在进行IKE协

商的时候，会从优先级最高的IKE提议进行匹配，如果匹配则直

接使用该IKE提议来建立安全隧道，否则继续查找。协商双方必

须至少有一条匹配的IKE提议才能协商成功。匹配的原则是协商

双方具有相同的加密算法、认证方法、认证算法和DH组；生存

周期由协商发起方决定，不需要匹配

缺省情况下，系统提供一条缺省的IKE提议，此缺省的IKE提议

具有最低的优先级。缺省的提议具有缺省的参数，包括：

z认证方法：Preshared Key

z认证算法：SHA

z加密算法：DES-CBC

z DH组：Group1

z SA生存周期：86400秒

步骤配置任务说明

3 1.2.

4 配置IKE

DPD

可选

DPD（Dead Peer Detection，对等体存活检测）用于IPSec邻

居状态的检测。在IKE对等体中若配置了启动DPD功能，并指

定了一个DPD，则当接收端在触发DPD的时间间隔内收不到对

端的IPSec加密报文时，能够触发DPD查询，主动向对端发送

请求报文，对IKE对等体是否存在进行检测

4 1.2.

5 配置IKE对

等体

必选

创建并配置IPSec IKE对等体的相关参数

注意：

若已存在的IPSec IKE的对等体配置发生了修改，则要在“虚拟

专用网 > IPSec > 安全联盟”页面和“虚拟专用网 > IKE > 安全

联盟”页面单击

<全部删除>按钮，来清除原有的IPSec SA与IKE SA，否则会导致重新协商SA失败

2. IKE显示和维护

在完成上述配置后，可在Web界面上查看配置后IKE的运行情况，通过查看显示信

息验证配置的效果。

IKE显示和维护包括的操作如表1-2所示。

表1-2IKE显示和维护

编号操作说明

1 1.2.6 查看IKE安全联盟查看当前IKE安全联盟的简要信息

1.2.2 配置IKE全局参数

在导航栏中选择“虚拟专用网 > IKE > 全局设置”，进入IKE全局设置的页面，如图

1-4所示。

图1-4全局设置

IKE全局参数的详细配置如表1-3所示。

表1-3 IKE 全局参数的详细配置 配置项

说明 IKE 本端名称 设置本端安全网关的名称 当IKE 协商的发起端使用安全网关名称进行协商时，本端需要设置该参数，发起端会发送自己的“IKE 本端名称”给对端来标识自己的身份，而对端使

用“对端网关名称”参数来认证发起端，故此时“对端网关名称”应与发起

端上的“IKE 本端名称”保持一致

缺省情况下，使用设备名作为IKE 本端名称

NAT Keepalive

报文时间间隔 设置ISAKMP SA 向对端发送NAT Keepalive 报文的时间间隔

由于在NAT 网关上的NAT 映射会话有一定存活时间，因此一旦安全隧道建立后如果长时间没有报文穿越，NAT 会话表项会被删除，这样将导致在NAT

外侧的隧道无法继续传输数据。为防止NAT 表项老化，ISAKMP SA 以一定

的时间间隔向对端发送NAT Keepalive 报文，以维持NAT 会话的存活

可点击返回“表1-1 IKE 配置步骤”。

1.2.3 配置IKE 安全提议

在导航栏中选择“虚拟专用网 > IKE > 安全提议”，进入IKE 安全提议的显示页面，如图1-5所示。单击<新建>按钮，进入新建IKE 安全提议的配置页面。

图1-5 安全提议

新建IKE 安全提议的详细配置如表1-4所示。

表1-4 新建IKE 安全提议的详细配置

配置项

说明 IKE 安全提议号 设置IKE 安全提议的序号

该序号同时表示优先级，数值越小，优先级越高，即在进行IKE 协商的时候，

会从序号最小的IKE 提议进行匹配

认证方法 设置IKE 安全提议所采用的认证方法

z

Preshared Key ：采用预共享密钥的认证方法 z RSA Signature ：采用RSA 数字签名的认证方法

配置项 说明

认证算法 设置IKE 安全提议所采用的认证算法

z

SHA1：采用HMAC-SHA1认证算法

z MD5：采用HMAC-MD5认证算法

加密算法 设置IKE 安全提议所采用的加密算法

z

DES-CBC ：采用CBC 模式的DES 算法，采用56 bits 的密钥进行加密z 3DES-CBC ：采用CBC 模式的3DES 算法，采用168 bits 的密钥进行

加密

z AES-128：采用CBC 模式的AES 算法，采用128 bits 的密钥进行加密

z AES-192：采用CBC 模式的AES 算法，采用192 bits 的密钥进行加密

z

AES-256：采用CBC 模式的AES 算法，采用256 bits 的密钥进行加密DH 组 设置IKE 阶段1密钥协商时所采用的DH 密钥交换参数

z Group1：采用768-bit 的Diffie-Hellman 组

z Group2：采用1024-bit 的Diffie-Hellman 组

z Group5：采用1536-bit 的Diffie-Hellman 组

z

Group14：采用2048-bit 的Diffie-Hellman 组 SA 生存周期

设置IKE 安全提议的ISAKMP SA 生存周期

在设定的生存周期超时前，会提前协商另一个SA 来替换旧的SA 。在新的

SA 还没有协商完之前，依然使用旧的SA ；在新的SA 建立后，将立即使用

新的SA ，而旧的SA 在生存周期超时后，被自动清除

注意：

因为IKE 协商需要进行DH 计算，在低端设备上需要经过较长的时间，为使

ISAKMP SA 的更新不影响安全通信，建议设置SA 生存周期大于10分钟

可点击返回“表1-1 IKE 配置步骤”。

1.2.4 配置IKE DPD

在导航栏中选择“虚拟专用网 > IKE > DPD ”，进入DPD 的显示页面，如图1-6所示。单击<新建>按钮，进入新建IKE DPD 的配置页面。

图1-6 DPD

新建IKE DPD 的详细配置如表1-5所示。

表1-5 新建IKE DPD 的详细配置 配置项

说明 DPD 名称

设置要创建的IKE DPD 的名称 触发DPD 时间间隔

设置经过多长时间没有从对端收到IPSec 报文，则触发DPD 等待DPD 响应报文的时间 设置经过多长时间没有收到DPD 响应报文，则重传DPD 报

可点击返回“表1-1 IKE 配置步骤”。

1.2.5 配置IKE 对等体

在导航栏中选择“虚拟专用网 > IKE > 对等体”，进入IKE 对等体的显示页面，如图1-7所示。单击<新建>按钮，进入新建IKE 对等体的配置页面。

图1-7 对等体

新建IKE 对等体的详细配置如表1-6所示。

表1-6 新建IKE 对等体的详细配置 配置项

说明 对等体名称 设置要创建的IKE 对等体的名称

协商模式 设置IKE 第一阶段的协商模式为Main 或Aggressive

注意：

当安全隧道一端的IP 地址为自动获取时（如一端用户为拨号方式），则协

商模式必须配置为“Aggressive ”。这种情况下，只要建立安全联盟时使用

的用户名和密码正确，就可以建立安全联盟

本端ID 类型 设置IKE 第一阶段的协商过程中使用的本端ID 的类型

z IP 地址：表示选择IP 地址作为IKE 协商过程中使用的ID

z

网关名称：表示选择网关名称作为IKE 协商过程中使用的ID 注意：

当协商模式为Main 时，只能使用IP 地址类型的身份进行IKE 协商，建立安

全联盟

配置项说明

本端IP地址设置IKE协商时的本端网关的IP地址

缺省情况下，本端IP地址使用应用安全策略的接口的主地址。只有当用户需要指定特殊的本端网关地址时才需要设置此配置项

对端IP地址设置IPSec隧道对端的IP地址

可以是一个IP地址，也可以是一个IP地址范围

z若本端为IKE协商的发起端，则此配置项所配的IP地址必须唯一，且与响应端的“本端IP地址”保持一致

z若本端为IKE协商的响应端，则此配置项所配的IP地址必须包含发起端的“本端IP地址”

对端网关名称设置IKE协商时，对端的安全网关名称

当IKE协商的发起端配置了“本端ID类型”为“网关名称”时，发起端会发送自己的“IKE本端名称”给对端来标识自己的身份，而对端使用“对端网关名称”参数来认证发起端，故此时“对端网关名称”应与发起端上的“IKE 本端名称”保持一致

预共享密钥PKI域根据IKE安全提议中设置的“认证方法”选择二者中的一个配置

z若“认证方法”设置为“Preshared Key”，则这里选择“预共享密钥”，即设置IKE协商采用预共享密钥认证时，所使用的预共享密钥

z若“认证方法”设置为“RSA Signature”，则这里选择“PKI域”，即设置IKE协商采用数字签名认证时，证书所属的PKI域

启用DPD功能设置为IKE对等体应用一个IKE DPD

可选的IKE DPD需先在“虚拟专用网 > IKE > DPD”中创建

启用NAT穿越设置IPSec/IKE的NAT穿越功能

主模式下的IKE不支持NAT穿越功能，即当“协商模式”选择“Main”时，此配置项不可用

注意：

为了节省IP地址空间，ISP经常会在公网中加入NAT网关，以便于将私有IP地址分配给用户，此时可能会导致IPSec/IKE隧道的两端一端为公网地址，另一端为私网地址，所以必须在私网侧启用NAT穿越，保证隧道能够正常协商建立

可点击返回“表1-1 IKE配置步骤”。

1.2.6 查看IKE安全联盟

在导航栏中选择“虚拟专用网 > IKE > 安全联盟”，进入IKE安全联盟简要信息的显

示页面，如图1-8所示。单击页面上的<清空>按钮，删除的是所有阶段1的ISAKMP

SA。需要注意的是，当删除本地的安全联盟时，如果阶段1的ISAKMP SA还存在，

将在此安全联盟的保护下，向对端发送删除消息，通知对方清除相应的安全联盟；

否则，无法通知对端清除相应的安全联盟

图1-8安全联盟

IKE安全联盟列表的详细说明如表1-7所示。

表1-7IKE安全联盟列表的详细说明标题项说明

连接号显示安全隧道的标识符

对端IP地址显示安全联盟对端的IP地址

标志显示安全联盟的状态

z RD（READY）：表示此安全联盟已建立成功

z ST（STAYALIVE）：表示此端是隧道协商发起方

z RL（REPLACED）：表示此隧道已经被新的隧道代替，一段时间后将被删除

z FD（FADING）：表示此隧道已发生过一次软超时，目前还在使用，在硬超时发生时，会删除此隧道

z TO（TIMEOUT）：表示此安全联盟在上次Keepalive超时发生后还没有收到Keepalive报文，如果在下次Keepalive超时发生时仍没有收到Keepalive报文，此安全联盟将被删除

说明：

IKE通过Keepalive报文维护ISAKMP SA的链路状态。一般在对端配置了等待Keepalive报文的超时时间后，必须在本端配置此Keepalive报文发送时间间隔。当对端在配置的超时时间内未收到此Keepalive报文时，如果该ISAKMP SA带有TIMEOUT标记，则删除该ISAKMP SA以及由其协商的IPSec SA；否则，将其标记为TIMEOUT。Web目前不支持Keepalive报文的配置

阶段显示安全联盟所属的阶段

z Phase 1：建立安全隧道进行通信的阶段，此阶段建立ISAKMP SA z Phase 2：协商安全服务的阶段，此阶段建立IPSec SA

解释域显示安全联盟所属的解释域可点击返回“表1-2 IKE显示和维护”。

1.3 IKE典型配置举例

1. 组网需求

z Host A与Host B之间进行安全通信，在SecPath A与SecPath B之间使用IKE 自动协商建立安全隧道。

z在SecPath A上配置一条IKE提议，其提议号为10，使用的认证算法为MD5。

SecPath B使用缺省的IKE提议。

z为使用预共享密钥认证方法的提议配置预共享密钥。

Host A Host B

图1-9IKE配置组网图

2. 配置步骤

(1) 配置SecPath A

# 配置IKE对等体。

z在导航栏中选择“虚拟专用网 > IKE > 对等体”，单击<新建>按钮。

z输入对等体名称为“peer”。

z选择协商模式为“Main”。

z选择本端ID类型为“IP地址”。

z输入对端IP地址为“2.2.2.2”。

z选中“预共享密钥”前的单选按钮，输入预共享密钥为“abcde”。

z单击<确定>按钮完成操作

# 创建一条IKE安全提议10。

z在导航栏中选择“虚拟专用网 > IKE > 安全提议”页签，单击<新建>按钮。

z输入IKE安全提议号为“10”。

z选择认证方法为“Rreshared Key”。

z选择认证算法为“MD5”。

z选择加密算法为“DES-CBC”。

z输入SA生存周期为“5000”。

z单击<确定>按钮完成操作。

(2) 配置SecPath B

# 配置IKE对等体。

z在导航栏中选择“虚拟专用网 > IKE > 对等体”页签，单击<新建>按钮。

z输入对等体名称为“peer”。

z选择协商模式为“Main”。

z选择本端ID类型为“IP地址”。

z输入对端IP地址为“1.1.1.1”。

z选中“预共享密钥”前的单选按钮，输入预共享密钥为“abcde”。

z单击<确定>按钮完成操作

以上配置可以保证SecPath A和SecPath B之间进行IKE协商。由于SecPath A 配置的提议序号为10，使用的认证算法为MD5，但SecPath B上只有一条缺省的IKE提议，默认的认证算法为SHA。在进行提议匹配的时候，从优先级最高的提议开始，因为SecPath B上没有和SecPath A上提议10相匹配的提议，所以双方能够匹配的只有缺省的IKE提议。另外，在进行提议匹配的时候，SA生存周期是不用进行匹配的，它由IKE协商双方决定。