MSR系列路由器利用NQA探测在固定时间段内保持IPsec隧道的连通性配置举例

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

 

Copyright © 2014杭州华三通信技术有限公司 版权所有，保留一切权利。 非经本公司书面许可，任何单位和个人不得擅自摘抄、复制本文档内容的部分或全部， 并不得以任何形式传播。本文档中的信息可能变动，恕不另行通知。

 

目  录

1 简介

2 配置前提

3 配置举例

3.1 组网需求

3.2 配置思路

3.3 使用版本

3.4 配置注意事项

3.5 配置步骤

3.5.1 Router A的配置

3.5.2 Router B的配置

3.6 验证配置

3.7 配置文件

4 相关资料

 

1  简介

本文档介绍利用NQA探测在固定时间段内保持IPsec隧道的连通性的典型配置举例。

2  配置前提

本文档不严格与具体软、硬件版本对应，如果使用过程中与产品实际情况有差异，请参考相关产品手册，或以设备实际情况为准。

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

本文档假设您已了解NQA、NTP、防火墙和IPsec的相关特性。

3  配置举例

3.1  组网需求

如图1所示，Router A和Router B是企业总部和分支的安全网关，两者之间已建立IPsec VPN隧道，并且Router A和Router B已配置了内网到外网的NAT转换，Router A已通过DHCP服务器自动获取了地址。要求在Router A上配置NQA探测来刷新链路状态，保持隧道的连通性，并通过防火墙来控制进行NQA探测的时段。

图1 利用NQA探测在固定时间段内保持IPsec隧道的连通性配置组网图

 

3.2  配置思路

·     要在固定时间段进行NQA的探测必须要先配置时间段。为了保证时间的准确性，可以先设置系统的时区，并用NTP与知名的网络时间服务器进行时间同步。

·     为了保证在规定时间内进行探测，可以利用防火墙来控制进行NQA探测的时间段。

·     为了方便统计与查看NQA的探测情况，可开启NQA测试组的历史记录功能。

3.3  使用版本

本举例是在Release 2317版本上进行配置和验证的。

3.4  配置注意事项

·     IPsec响应端使用野蛮模式的时候不用配置ACL。

·     在进行UDP-echo测试之前，需要在NQA服务器端配置UDP监听功能。

·     IPsec安全提议缺省配置中，未配置ESP协议的认证算法，需手动指定。

3.5  配置步骤

3.5.1  Router A的配置

# 配置NTP功能进行时间同步。

<RouterA> system-view

[RouterA] ntp-service unicast-server 207.46.232.182

[RouterA] ntp-service unicast-server 207.46.197.32

[RouterA] ntp-service unicast-server 192.43.244.18

# 配置接口Ethernet0/0的IP地址。

[RouterA] interface ethernet 0/0

[RouterA-Ethernet0/0] ip address 1.1.1.1 255.255.255.0

[RouterA-Ethernet0/0] quit

# 配置系统所在的时区为美国东部时区。

[RouterA] clock timezone EST minus 5

# 创建名为time的时间段，范围为每天的8点到12点。

[RouterA] time-range time 08:00 to 12:00 daily

# 创建ACL3001，只允许在规定的时间范围内进行NQA的探测。

[RouterA] acl number 3001

[RouterA-acl-adv-3001] rule 0 permit udp destination 1.1.1.2 0 destination-port eq

 8000 time-range time

[RouterA-acl-adv-3001] quit

# 创建一个IKE对等体，并进入IKE-Peer视图。

[RouterA] ike peer peer

# 配置IKE第一阶段的协商模式为野蛮模式。

[RouterA-ike-peer-peer] exchange-mode aggressive

# 配置预共享密钥。

[RouterA-ike-peer-peer] pre-shared-key 123

# 配置对端安全网关IP地址。

[RouterA-ike-peer-peer] remote-address 1.1.1.2

# 启用NAT穿越功能。

[RouterA-ike-peer-peer] nat traversal

[RouterA-ike-peer-peer] quit

# 采用安全提议的缺省配置。

[RouterA] ipsec proposal def

# 配置ESP协议采用md5认证算法。

[RouterA-ipsec-transform-set-def] esp authentication-algorithm md5

[RouterA-ipsec-transform-set-def] quit

# 创建IPsec安全策略policy，其协商方式为isakmp。

[RouterA] ipsec policy policy 1 isakmp

# 配置IPsec安全策略引用的访问控制列表。

[RouterA-ipsec-policy-isakmp-policy-1] security acl 3001

# 配置IPsec安全策略所引用的IPsec安全提议。

[RouterA-ipsec-policy-isakmp-policy-1] transform-set def

# 在IPsec安全策略中引用IKE对等体。

[RouterA-ipsec-policy-isakmp-policy-1] ike-peer peer

[RouterA-ipsec-policy-isakmp-policy-1] quit

# 利用防火墙来控制进行NQA探测的时间段。

[RouterA] interface ethernet 0/0

[RouterA-Ethernet0/0] firewall packet-filter 3001 outbound

# 在接口上应用安全策略。

[RouterA-Ethernet0/0] ipsec policy policy

[RouterA-Ethernet0/0] quit

# 创建UDP-echo类型的测试组。

[RouterA] nqa entry admin test

[RouterA-nqa-admin-test] type udp-echo

# 配置测试操作的目的地址为1.1.1.2，目的端口号为8000。

[RouterA-nqa-admin-test-udp-echo] destination ip 1.1.1.2

[RouterA-nqa-admin-test-udp-echo] destination port 8000

# 测试组连续两次测试开始时间的时间间隔为3000毫秒。

[RouterA-nqa-admin-test-udp-echo] frequency 3000

# 开启NQA测试组的历史记录保存功能。

[RouterA-nqa-admin-test-udp-echo] history-record enable

# 配置一次NQA测试中进行探测的次数为2。

[RouterA-nqa-admin-test-udp-echo] probe count 2

# 配置NQA探测超时时间为50000毫秒。

[RouterA-nqa-admin-test-udp-echo] probe timeout 50000

[RouterA-nqa-admin-test-udp-echo] quit

# 立即启动测试操作，并一直进行测试。

[RouterA] nqa schedule admin test start-time now lifetime forever

3.5.2  Router B的配置

# 配置NTP功能进行时间同步。

<RouterB> system-view

[RouterB] ntp-service unicast-server 207.46.232.182

[RouterB] ntp-service unicast-server 207.46.197.32

[RouterB] ntp-service unicast-server 192.43.244.18

# 配置系统所在的时区为美国东部时区。

[RouterB] clock timezone EST minus 5

# 配置接口Ethernet0/0的IP地址。

<RouterB> system-view

[RouterB] interface ethernet 0/0

[RouterB-Ethernet0/0] ip address 1.1.1.2 255.255.255.0

[RouterB-Ethernet0/0] quit

# 创建一个IKE对等体，并进入IKE-Peer视图。

[RouterB] ike peer peer

# 配置IKE第一阶段的协商模式为野蛮模式。

[RouterB-ike-peer-peer] exchange-mode aggressive

# 配置预共享密钥。

[RouterB-ike-peer-peer] pre-shared-key 123

# 启用NAT穿越功能。

[RouterB-ike-peer-peer] nat traversal

[RouterB-ike-peer-peer] quit

# 采用安全提议的缺省配置。

[RouterB] ipsec proposal def

# 配置ESP协议采用md5认证算法。

[RouterB-ipsec-transform-set-def] esp authentication-algorithm md5

[RouterB-ipsec-transform-set-def] quit

# 创建IPsec安全策略模板policy，并进入IPsec安全策略模板视图。

[RouterB] ipsec policy-template policy 1

# 在IPsec安全策略中引用IKE对等体。

[RouterB-ipsec-policy-template-policy-1] ike-peer peer

# 配置IPsec安全策略所引用的IPsec安全提议。

[RouterB-ipsec-policy-template-policy-1] proposal def

# 引用IPsec安全策略模板创建一条IPsec安全策略。

[RouterB-ipsec-policy-template-policy-1] ipsec policy policy1 1 isakmp template

Policy

[RouterB-ipsec-policy-template-policy-1] quit

# 在接口Ethernet0/0上应用安全策略。

[RouterB] interface ethernet 0/0

[RouterB-Ethernet0/0] ipsec policy policy1

[RouterB-Ethernet0/0] quit

# 开启NQA服务器功能，配置监听的IP地址为1.1.1.2，UDP端口号为8000。

[RouterB] nqa server enable

[RouterB] nqa server udp-echo 1.1.1.2 8000

3.6  验证配置

完成以上配置后，Router A到达配置的时间范围内，开始进行NQA探测，并触发IKE进行协商建立SA。IKE协商成功后便可以创建IPsec SA，从而保持VPN的连通性。

# 显示UDP-echo测试的历史记录。

[RouterA] display nqa history

  NQA entry (admin admin, tag test) history record(s):

    Index      Response     Status           Time

    1218       11           Succeeded        2013-06-05 10:58:31.4

    1217       8            Succeeded        2013-06-05 10:58:31.4

    1216       10           Succeeded        2013-06-05 10:58:28.4

    1215       8            Succeeded        2013-06-05 10:58:28.4

    1214       10           Succeeded        2013-06-05 10:58:25.4

    1213       7            Succeeded        2013-06-05 10:58:25.4

    1212       10           Succeeded        2013-06-05 10:58:22.4

    1211       8            Succeeded        2013-06-05 10:58:22.4

    1210       10           Succeeded        2013-06-05 10:58:19.4

1209       8            Succeeded        2013-06-05 10:58:19.4

# 可以通过如下显示信息看到，Router A作为发起方已与Router B协商生成了两个阶段的SA。

 [RouterA] display ike sa

    total phase-1 SAs:  1

    connection-id  peer                    flag        phase   doi

  ----------------------------------------------------------------

     1             1.1.1.2                 RD|ST       1       IPSEC

     2             1.1.1.2                 RD|ST       2       IPSEC

 

  flag meaning

  RD--READY ST--STAYALIVE RL--REPLACED FD--FADING TO--TIMEOUT RK—REKEY

# 可以通过如下显示信息查看协商生成的IPsec SA。

[RouterA] display ipsec sa

===============================

Interface: Ethernet0/0

    path MTU: 1500

===============================

 

  -----------------------------

  IPsec policy name: "policy"

  sequence number: 1

  acl version: ACL4

  mode: isakmp

  -----------------------------

    PFS: N, DH group: none

    tunnel:

        local  address: 1.1.1.1

        remote address: 1.1.1.2

    flow:

        sour addr: 0.0.0.0/0.0.0.0  port: 0  protocol: UDP

        dest addr: 1.1.1.2/255.255.255.255  port: 8000  protocol: UDP

 

    [inbound ESP SAs]

      spi: 0xBD7257D2(3178387410)

      transform: ESP-ENCRYPT-NULL ESP-AUTH-MD5

      in use setting: Tunnel

      connection id: 1

      sa duration (kilobytes/sec): 1843200/3600

      sa remaining duration (kilobytes/sec): 1843177/3332

      anti-replay detection: Enabled

        anti-replay window size(counter based): 32

      udp encapsulation used for nat traversal: N

 

    [outbound ESP SAs]

      spi: 0xEA170DA6(3927379366)

      transform: ESP-ENCRYPT-NULL ESP-AUTH-MD5

      in use setting: Tunnel

      connection id: 2

      sa duration (kilobytes/sec): 1843200/3600

      sa remaining duration (kilobytes/sec): 1843177/3332

      anti-replay detection: Enabled

        anti-replay window size(counter based): 32

      udp encapsulation used for nat traversal: N

3.7  配置文件

·     Router A：

#

clock timezone EST minus 05:00:00

#

time-range time 08:00 to 12:00 daily

#

acl number 3001

 rule 0 permit udp destination 1.1.1.2 0 destination-port eq 8000 time-range tim

e

#

ike peer peer

 exchange-mode aggressive

 pre-shared-key cipher $c$3$y3TA3pnujTdYAJ+OmZcOpjnhzzFwkQ==

 remote-address 1.1.1.2

 nat traversal

#

ipsec transform-set def

 encapsulation-mode tunnel

 transform esp

 esp authentication-algorithm md5

#

ipsec policy policy 1 isakmp

 security acl 3001

 ike-peer peer

 transform-set def

#

interface Ethernet0/0

 port link-mode route

firewall packet-filter 3001 outbound

 ip address 1.1.1.1 255.255.255.0

 ipsec policy policy

#

nqa entry admin test

 type udp-echo

  destination ip 1.1.1.2

  destination port 8000

  frequency 3000

  history-record enable

  probe count 2

  probe timeout 50000

#

 nqa schedule admin test start-time now lifetime forever

#

 ntp-service unicast-server 207.46.232.182

 ntp-service unicast-server 207.46.197.32

 ntp-service unicast-server 192.43.244.18

#

·     Router B：

#

clock timezone EST minus 05:00:00

#

ike peer peer

 exchange-mode aggressive

 pre-shared-key cipher $c$3$LGxdivAwVW08EdMCk3IZLKGChom9aQ==

 nat traversal

#

ipsec transform-set def

 encapsulation-mode tunnel

 transform esp

 esp authentication-algorithm md5

#

ipsec policy-template policy 1

 ike-peer peer

 transform-set def

#

ipsec policy policy1 1 isakmp template policy

#

interface Ethernet0/0

 port link-mode route

ip address 1.1.1.2 255.255.255.0

 ipsec policy policy1

#

nqa server enable

 nqa server udp-echo 1.1.1.2 8000

#

ntp-service unicast-server 207.46.232.182

ntp-service unicast-server 207.46.197.32

ntp-service unicast-server 192.43.244.18

#

4  相关资料

·     H3C MSR 系列路由器 命令参考(V5)-R2311

·     H3C MSR 系列路由器 配置指导(V5)-R2311