爱快从2.67版本号,多了一个期待已久的功能:【IPSec VPN】设置上也相应的简易方便,几张图例则可以清楚的了解!
实现功能:
♦将两地或者多地异地连接成为一个局域网
♦安全性更高,连接速度更快!
一、名词解释
IPsec是Internet工程任务组(IETE)制定的一个开放的网络层安全框架协议。它并不是一个单独的协议,而是一系列为IP网络提供安全性的协议和服务的集合。IPsec主要包括安全协议AH(Authentication Header)和ESP(Encapsulating Security Payload),密钥管理交换协议IKE(Internet Key Exchange)以及用于网络认证及加密的一些算法等。 二、使用说明【服务器状态】:通过启动按钮关闭或者开启IPsec服务。
【名称】:网络中存在多个IPsec时可以通过“名称”来进行区分。
【对方IP或者域名】:建立IpsecVPN的对端外网地址或者域名。
【本地子网】:建立 IPsec VPn的本地网段。注:建立IPsecVPN后只有设置的本地子网才能通过Ipsec访问对端的子网。
【对方子网】:建立IpsecVPn的对端网段。注:本地网段只能与对方子网建立IPsecVPn连接。本地子网不能与对方子网之外的网段,建立IpsecVPN连接。
【IKE协商重试次数】:最大协商失败次数,超过设置次数,就不再进行协商。注:超过协商次数后想恢复此IPsec VPN的链接,可以关闭再启动此Ipsec VPn即可。
【IKE存活时间】:IKE再次协商建立的时间。
【IKE提议】:IKE建立过程中使用的算法。
算法分为下面几种:加密算法、认证算法,秘钥交换算法。
注:两端可以设置为自动协商,可以一端设置特定的方式,另一端进行自动协商。
特别要注意的是当两端为非自动协商模式的话,两端设置必须完全一致。【认证方式】:分为预共享密钥以及自签证书。
预共享秘钥:配置简单,兼容性较好。
自签证书:通过生成的密钥以及证书来进行验证。【ESP存活时间】:通道重新协商时间【ESP加密算法】:IPsec通道的安全策略。【ESP认证算法】:IPsec通道的安全策略【允许压缩】:压缩节省带宽,但是会占用一定的CPu资源。注:需要协商,两端都要支持才可以压缩。范例举例:Ipsec的建立情况
第一种情况:认证方式使用预共享模式
1、网络拓扑如下:IK1下面的192.168.15.0/24网段需要与IK2下面的192.168.38.0/24通过IPsec互通。
默认情况下两IK1与IK2路由下的客户端是不通的。如下图。2、IK1设置
3、IK2设置
两端建议IPSecVPN可以互通。
注:预共享密钥必须设置为一致。允许压缩可节省带宽,但是会占用CPu,
第二种情况:使用自签证书来进行建立IPsec:
其他的设置与上面预共享一致,认证方式处选择自签证书不同。A.认证方式:选择自签证书
B.本地标识输入后点击生成私钥及证书,
C.对方标识填写对端IPsec VPn的标识.
D.对方证书处填写对端Ipsec VPn的证书.特别要注意的是:本地标识与对端标识两端要对应。三、知识扩展AH与ESP:1、Ipsec通过AH(Authentication header,验证头)和ESP(Encapsulating Security Payload,封装安全载荷)两个安全协议实现IP报文的封装/解封装。
AH是报文头验证协议,主要提供数据源验证、数据完整性验证和防报文重放功能,不提供加密功能。
ESp是封装安全载荷协议,主要提供加密、数据源验证、数据完整性验证和防报文重放功能。注:AH和ESP协议提供的安全功能依赖于协议采用的加密、验证算法。2、IPsec网关的加密和验证算法所使用的密钥可以手工配置,也可以动态协商。为了密钥的安全性以及管理简单,Ipsec协议框架中引入IKE协议实现安全联盟动态协商和密钥管理功能。
IKE协议建立在Internet安全联盟和密钥管理协议ISAKMP(internet security association and key management protocol)框架之上,采用DH(diffie-hellman)算法在不安全的网络上安全的分发密钥、验证身份,以保证数据传输的安全性。
IKE现分为IKE V1以及IKE V2版本,爱快使用IKE V2版本,下面会着重讲解下IKEV2Ipsec建立的过程。IPsec建立过程:(重点讲解下IKEV2协商过程)
IKEV2相比于IKEV1版本,简化了消息交换的过程,IKE V1至少需要交换6条消息。IKEV2正常情况下使用2次交换共4条消息就可以完成一个IKE SA和一对Ipsec SA,如果要求建立 IPsec SA大于一对时,每一对SA只需额外增加1次交换,也就是2条消息就可以完成。
IKEV2定义了三种交换:初始交换、创建子SA交换以及通知交换
1、初始交换IKE通信总是从IKE安全联盟初始交换(ike_sa_init交换)和IKE认证交换(ike_auth交换)开始。这2个交换通常由4条消息组成,在某些场景下消息数目可能会增加。所有使用IKE的通信都由请求/响应组成。IKE安全联盟初始交换和IKE认证交换完成后可以建立一个IKE SA和第一对child_sa(即Ipsec SA)如上图:使用两个包来建立IKE sa,使用两个包来建立IPsec SA。2、创建子SA交换:当一个IKE SA需要创建多对Ipsec SA时,需要使用创建子SA交换来协商多于一对的SA,另外创建子SA交换还可以用于进行IKE SA的重协商。
创建子SA交换包含一个交换两个消息。在IKEv1中这个交换称为阶段2交换(快速模式交换)。这个交换必须在IKE初始交换完成之后才能进行,交换的发起者可以是IKE初始交换的发起者,也可以是IKE初始交换的响应者。在交换中的两个消息需要由IKE初始交换协商的密钥进行保护。
类似于IKEV1的PFS,创建子SA交换阶段可以重新进行一次DH交换,生成新的密钥材料。生成密钥材料后,子SA的所有密钥都从这个密钥材料衍生出来。 3、通知交换:运行IKE协商的两端有时会传递一些控制信息,例如错误信息或者通告信息,这些信息在IKEV2中是通过通知交换完成的。
通知交换必须在IKE SA保护下进行,也就是说通知交换只能发生在初始交换之后。注:爱快路由支持的是ikev2 ESP封装,IPsec VPN两端都需要为公网地址,且两端不能过NAT。
万紫千红一堆官方话,下面一张图解决