07-安全命令参考

ah authentication-algorithm { md5 | sha1 } *

undo ah authentication-algorithm

IPsec安全提议视图

2：系统级

md5：采用MD5认证算法。

sha1：采用SHA-1认证算法。

ah authentication-algorithm命令用来配置AH协议采用的认证算法。undo ah authentication-algorithm命令用来恢复缺省情况。

· 在FIPS模式下，设备不支持MD5算法，缺省认证算法为SHA-1。

· 在非FIPS模式下，未指定AH协议采用的认证算法。

需要注意的是，只有先使用transform命令选择了ah或ah-esp安全协议后，才能够配置ah认证算法。

# 配置IPsec安全提议prop1，设定AH协议采用SHA-1算法。

[Sysname] ipsec transform-set prop1

[Sysname-ipsec-transform-set-prop1] transform ah

[Sysname-ipsec-transform-set-prop1] ah authentication-algorithm sha1

1.1.2 connection-name

connection-name name

undo connection-name

IPsec安全策略视图/IPsec安全策略模板视图

2：系统级

name：IPsec连接的名称，为1～32个字符的字符串，不区分大小写。

connection-name命令用来配置IPsec连接名，该连接名用于描述一个IPsec安全策略。undo connection-name命令用来恢复缺省情况。

缺省情况下，无IPsec连接名。

# 配置一个IPsec连接名来描述序号为1的IPsec安全策略policy1。

[Sysname] ipsec policy policy1 1 isakmp

[Sysname-ipsec-policy-isakmp-policy1-1] connection-name CenterToA

1.1.3 display ipsec policy

display ipsec policy [ brief | name policy-name [ seq-number ] ] [ | { begin | exclude | include } regular-expression ]

1：监控级

brief：显示所有安全策略的简要信息。

name：显示指定安全策略的详细信息。

policy-name：指定安全策略的名字，为1～15个字符的字符串。

seq-number：指定安全策略的顺序号，取值范围为1～65535。

|：使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍，请参见“基础配置指导”中的“CLI”。

begin：从包含指定正则表达式的行开始显示。

exclude：只显示不包含指定正则表达式的行。

include：只显示包含指定正则表达式的行。

regular-expression：表示正则表达式，为1～256个字符的字符串，区分大小写。

display ipsec policy命令用来显示IPsec安全策略的信息。

· 如果不指定任何参数，则显示所有IPsec安全策略的详细信息。

· 如果指定了name policy-name，而没有指定seq-number，则显示指定的IPsec安全策略组的详细信息。

<Sysname> display ipsec policy brief

# 显示所有安全策略的简要信息。

IPsec-Policy-Name Mode acl ike-peer name Mapped Template

------------------------------------------------------------------------

bbbbbbbbbbbbbbb-1 template aaaaaaaaaaaaaaa

map-1 isakmp 3000 peer

nat-1 isakmp 3500 nat

test-1 isakmp 3200 test

toccccc-1 isakmp 3003 tocccc

IPsec-Policy-Name Mode acl Local-Address Remote-Address

------------------------------------------------------------------------

表1-1 display ipsec policy brief命令显示信息描述表

字段	描述
IPsec-Policy-Name	安全策略的名字和顺序号（例如map-1表示安全策略组名为map、顺序号为1）
Mode	安全策略采用的协商方式 · manual：手工方式 · isakmp：IKE协商方式 · template：策略模板方式目前，无线控制器不支持手工方式
acl	安全策略引用的访问控制列表
ike-peer name	对等体的名称
Mapped Template	引用的安全策略模板名
Local-Address	本端的IP地址
Remote-Address	对端的IP地址

# 显示所有安全策略的详细信息。

<Sysname> display ipsec policy

===========================================

IPsec Policy Group: "policy_isakmp"

Interface: Vlan-interface2

===========================================

------------------------------------

IPsec policy name: "policy_isakmp"

sequence number: 10

acl version: IPv4

mode: isakmp

-------------------------------------

security data flow : 3000

selector mode: standard

ike-peer name: per

perfect forward secrecy:

transform-set name: prop1

synchronization inbound anti-replay-interval: 1000 packets

synchronization outbound anti-replay-interval: 10000 packets

IPsec sa local duration(time based): 3600 seconds

IPsec sa local duration(traffic based): 1843200 kilobytes

policy enable: True

tfc enable: False

表1-2 display ipsec policy命令显示信息描述表

字段	描述
IPsec Policy Group	IPsec安全策略组的名称
security data flow	IPsec安全策略引用的访问控制列表
Interface	应用了IPsec安全策略的接口名称
IPsec policy name	IPsec安全策略的名称
sequence number	IPsec安全策略的顺序号
acl version	访问控制列表的版本，目前仅支持ACL4 若未引用访问控制列表，则显示为None
mode	IPsec安全策略采用的协商方式 · mannul：手工方式 · isakmp：IKE协商方式 · template：策略模板方式目前，WX系列无线控制器不支持手工方式
policy template name	IPsec安全策略模板名称
selector mode	IPsec安全策略的数据流保护方式 · standard：标准方式 · aggregation：聚合方式 · per-host：主机方式
ike-peer name	IPsec安全策略引用的IKE对等体名称
perfect forward secrecy	是否使用完善的前向安全（Perfect Forward Secrecy）特性
transform-set name	IPsec安全策略引用的提议的名字
policy enable	IPsec安全策略是否被使能
tfc enable	TFC填充功能是否被使能
synchronization inbound anti-replay-interval	入方向同步防重放窗口的间隔，单位为报文数
synchronization outbound anti-replay-interval	出方向同步防重放序号的间隔，单位为报文数
inbound/outbound AH/ESP setting	输入/输出端采用AH/ESP协议的有关设置，包括SPI和密钥

1.1.4 display ipsec policy-template

display ipsec policy-template [ brief | name template-name [ seq-number ] ] [ | { begin | exclude | include } regular-expression ]

1：监控级

brief：显示所有IPsec安全策略模板的简要信息。

name：显示指定IPsec安全策略模板的详细信息。

template-name：指定IPsec安全策略模板的名字，为1～15个字符的字符串。

seq-number：指定IPsec安全策略模板的顺序号，取值范围为1～65535。

|：使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍，请参见“基础配置指导”中的“CLI”。

begin：从包含指定正则表达式的行开始显示。

exclude：只显示不包含指定正则表达式的行。

include：只显示包含指定正则表达式的行。

regular-expression：表示正则表达式，为1～256个字符的字符串，区分大小写。

display ipsec policy-template命令用来显示IPsec安全策略模板的信息。

相关配置可参考命令ipsec policy-template。

· 如果不指定任何参数，则显示所有IPsec安全策略模板的详细信息。

· 如果指定了name template-name，而没有指定seq-number，则显示指定的IPsec安全策略模板组的详细信息。

<Sysname> display ipsec policy-template brief

# 显示所有IPsec安全策略模板的简要信息。

Policy-Template-Name acl Remote-Address

------------------------------------------------------

test-300 2200

表1-3 display ipsec policy-template brief命令显示信息描述表

字段	描述
Policy-Template-Name	IPsec安全策略模板的名字和顺序号（例如test-300表示IPsec安全策略组名为test、顺序号为300）
acl	IPsec安全策略模板引用的访问控制列表
Remote Address	对端的IP地址

# 显示所有IPsec安全策略模板详细信息。

<Sysname> display ipsec policy-template

===============================================

IPsec Policy Template Group: "test"

===============================================

---------------------------------

Policy template name: "test"

sequence number: 1

---------------------------------

security data flow :

ACL’s Version: acl4

ike-peer name: per

perfect forward secrecy: DH group 5

transform-set name: testprop

synchronization inbound anti-replay-interval: 1000 packets

synchronization outbound anti-replay-interval: 10000 packets

IPsec sa local duration(time based): 3600 seconds

IPsec sa local duration(traffic based): 1843200 kilobytes

表1-4 display ipsec policy-template命令显示信息描述表

字段	描述
IPsec Policy Template Group	IPsec安全策略模板组名称
Policy template name	IPsec安全策略模板名称
sequence number	IPsec安全策略模板的序号
security data flow	IPsec安全策略模板引用的访问控制列表
ACL’s Version	访问控制列表的版本，目前仅支持IPv4 ACL
ike-peer name	IPsec安全策略模板引用的IKE对等体名称
perfect forward secrecy	是否使用完善的前向安全（Perfect Forward Secrecy）特性
DH group	使用的DH组，取值可包括1、2、5、14
transform-set name	IPsec安全策略模板引用的提议的名字
synchronization inbound anti-replay-interval	入方向IPsec SA防重放窗口的间隔，以报文数量为单位
synchronization outbound anti-replay-interval	出方向IPsec SA防重放序号的间隔，以报文数量为单位
IPsec sa local duration(time based)	安全联盟的基于时间的本地生存时间
IPsec sa local duration(traffic based)	安全联盟的基于流量的本地生存时间

1.1.5 display ipsec sa

display ipsec sa [ active | brief | policy policy-name [ seq-number ] | remote ip-address | standby ] [ | { begin | exclude | include } regular-expression ]

1：监控级

active：显示双机热备环境下主用安全联盟的详细信息。本参数的支持情况与设备的型号有关，请参见“命令参考导读”中的“命令行及参数差异情况”部分的介绍。

brief：显示所有的安全联盟的简要信息。

policy：显示由指定IPsec安全策略创建的安全联盟的详细信息。

policy-name：指定IPsec安全策略的名字，为1～15个字符的字符串。

seq-number：指定IPsec安全策略的顺序号，取值范围为1～65535。

remote ip-address：显示指定对端IP地址的安全联盟的详细信息。

standby：显示双机热备环境下备用安全联盟的详细信息。本参数的支持情况与设备的型号有关，请参见“命令参考导读”中的“命令行及参数差异情况”部分的介绍。

|：使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍，请参见“基础配置指导”中的“CLI”。

begin：从包含指定正则表达式的行开始显示。

exclude：只显示不包含指定正则表达式的行。

include：只显示包含指定正则表达式的行。

regular-expression：表示正则表达式，为1～256个字符的字符串，区分大小写。

需要注意的是，当未指定任何参数时，显示所有的安全联盟的信息。

display ipsec sa命令用来显示安全联盟的相关信息。

相关配置可参考命令reset ipsec sa和ipsec sa global-duration。

<Sysname> display ipsec sa brief

# 显示安全联盟的简要信息。

total phase-2 IPv4 SAs: 2

Src Address Dst Address SPI Protocol Algorithm

--------------------------------------------------------

10.1.1.1 10.1.1.2 300 ESP E:DES;

A:HMAC-MD5-96

10.1.1.2 10.1.1.1 400 ESP E:DES;

A:HMAC-MD5-96

total phase-2 IPv6 SAs: 0

Src Address Dst Address SPI Protocol Algorithm

-----------------------------------------------------------------------------

表1-5 display ipsec sa brief命令显示信息描述表

字段	描述
Src Address	本端的IP地址
Dst Address	对端的IP地址
SPI	安全参数索引
Protocol	IPsec采用的安全协议
Algorithm	安全协议采用的认证算法和加密算法，其中，以“E:”开头表示加密算法；以“A:”开头表示认证算法；NULL表示未指定相关算法

# 显示所有安全联盟的详细信息。

<Sysname> display ipsec sa

===============================

Interface: Vlan-interface2

path MTU: 1500

===============================

-----------------------------

IPsec policy name: "r2"

sequence number: 1

acl version: ACL4

mode: isakmp

-----------------------------

connection id: 3

encapsulation mode: tunnel

tunnel:

local address: 2.2.2.2

remote address: 1.1.1.2

flow:

sour addr: 192.168.2.0/255.255.255.0 port: 0 protocol: IP

dest addr: 192.168.1.0/255.255.255.0 port: 0 protocol: IP

[inbound ESP SAs]

spi: 3564837569 (0xd47b1ac1)

transform-set: ESP-ENCRYPT-DES ESP-AUTH-MD5

sa duration (kilobytes/sec): 4294967295/604800

sa remaining duration (kilobytes/sec): 1843200/2686

max received sequence-number: 5

anti-replay check enable: Y

anti-replay window size: 32

udp encapsulation used for nat traversal: N

status: active

[outbound ESP SAs]

spi: 801701189 (0x2fc8fd45)

transform-set: ESP-ENCRYPT-DES ESP-AUTH-MD5

sa duration (kilobytes/sec): 4294967295/604800

sa remaining duration (kilobytes/sec): 1843200/2686

max sent sequence-number: 6

udp encapsulation used for nat traversal: N

表1-6 display ipsec sa命令显示信息描述表

字段	描述
Interface	应用了IPsec安全策略的接口
path MTU	从该接口发送出去的最大IP数据报文长度
IPsec policy name	采用的安全策略名
sequence number	IPsec安全策略顺序号
acl version	访问控制列表的版本，目前仅支持IPv4 ACL 若未引用访问控制列表，则显示为None
mode	IPsec协商方式
connection id	安全隧道标识符
encapsulation mode	采用的封装模式，有两种：传输（transport）和隧道（tunnel）模式
tunnel	安全隧道
local address	安全隧道本端的IP地址
remote address	安全隧道对端的IP地址
flow	数据流
sour addr	数据流的源地址
dest addr	数据流的目的地址
port	端口号
protocol	协议类型
inbound	输入端安全联盟的信息
spi	安全参数索引号
transform-set	IPsec安全提议所采用的安全协议及算法
sa duration	安全联盟生命周期
sa remaining duration	安全联盟剩余的生命周期
max received sequence-number	接收的报文最大序列号（安全协议提供的防重放功能）
udp encapsulation used for nat traversal	此安全联盟是否使用NAT穿越功能
outbound	输出端安全联盟的信息
max sent sequence-number	发送的报文最大序列号（安全协议提供的防重放功能）
anti-replay check enable	抗重放检测开关是否使能
anti-replay window size	抗重放窗口宽度

1.1.6 display ipsec statistics

display ipsec statistics [ tunnel-id integer ] [ | { begin | exclude | include } regular-expression ]

1：监控级

tunnel-id integer：显示指定IPsec隧道的报文统计信息。其中，integer为隧道的ID号，取值范围为1～2000000000。

|：使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍，请参见“基础配置指导”中的“CLI”。

begin：从包含指定正则表达式的行开始显示。

exclude：只显示不包含指定正则表达式的行。

include：只显示包含指定正则表达式的行。

regular-expression：表示正则表达式，为1～256个字符的字符串，区分大小写。

相关配置可参考命令reset ipsec statistics。

display ipsec statistics命令用来显示IPsec处理报文的统计信息。

需要注意的是，如果不指定任何参数，则显示所有IPsec处理的报文统计信息。

<Sysname> display ipsec statistics

# 显示所有IPsec处理的报文统计信息。

the security packet statistics:

input/output security packets: 47/62

input/output security bytes: 3948/5208

input/output dropped security packets: 0/45

dropped security packet detail:

not enough memory: 0

can't find SA: 45

queue is full: 0

authentication has failed: 0

wrong length: 0

replay packet: 0

packet too long: 0

wrong SA: 0

# 显示隧道ID为3的IPsec报文统计信息。

<Sysname> display ipsec statistics tunnel-id 3

------------------------------------------------

Connection ID : 3

------------------------------------------------

the security packet statistics:

input/output security packets: 5124/8231

input/output security bytes: 52348/64356

input/output dropped security packets: 0/0

dropped security packet detail:

not enough memory: 0

queue is full: 0

authentication has failed: 0

wrong length: 0

replay packet: 0

packet too long: 0

wrong SA: 0

表1-7 display ipsec statistics命令显示信息描述表

字段	描述
Connection ID	隧道ID号
input/output security packets	受安全保护的输入/输出数据包
input/output security bytes	受安全保护的输入/输出字节数
input/output dropped security packets	被设备丢弃了的受安全保护的输入/输出数据包
dropped security packet detail	被丢弃的输入/输出数据包的详细信息（包括以下各项）
not enough memory	因为内存不足而被丢弃的数据包的数目
can't find SA	因为找不到安全联盟而被丢弃的数据包的数目
queue is full	因为队列满而被丢弃的数据包的数目
authentication has failed	因为认证失败而被丢弃的数据包的数目
wrong length	因为数据包长度不正确而被丢弃的数据包的数目
replay packet	重放的数据包的数目
packet too long	因为数据包过长而被丢弃的数据包的数目
wrong SA	因为安全联盟不正确而被丢弃的数据包的数目

1.1.7 display ipsec transform-set

display ipsec transform-set [ transform-set-name ] [ | { begin | exclude | include } regular-expression ]

1：监控级

transform-set-name：显示指定的IPsec安全提议。transform-set-name表示IPsec安全提议的名字，为1～32个字符的字符串。如果不指定本参数，则显示所有IPsec安全提议的信息。

|：使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍，请参见“基础配置指导”中的“CLI”。

begin：从包含指定正则表达式的行开始显示。

exclude：只显示不包含指定正则表达式的行。

include：只显示包含指定正则表达式的行。

regular-expression：表示正则表达式，为1～256个字符的字符串，区分大小写。

相关配置可参考命令ipsec transform-set。

display ipsec transform-set命令用来显示IPsec安全提议的信息。

如果没有指定IPsec安全提议的名字，则显示所有IPsec安全提议的信息。

<Sysname> display ipsec transform-set

# 显示所有IPsec安全提议的信息。

IPsec transform-set name: tran1

encapsulation mode: tunnel

ESN : disable

ESN scheme: NO

transform: esp-new

ESP protocol:

Integrity: md5-hmac-96

Encryption: des

IPsec transform-set name: tran2

encapsulation mode: transport

ESN : disable

ESN scheme: NO

transform: esp-new

ESP protocol:

Integrity: md5-hmac-96

Encryption: des

表1-8 display ipsec transform-set命令显示信息描述表

字段	描述
IPsec transform-set name	IPsec安全提议的名字
encapsulation mode	提议采用的封装模式，包括两种：传输（transport）和隧道（tunnel）模式
ESN	ESN功能是否使能
ESN scheme	ESN取值（NO表示不支持，YES表示支持）
transform	提议采用的安全协议，包括三种：AH协议、ESP协议、AH-ESP（先采用ESP协议，再采用AH协议）
AH protocol	AH协议采用的认证算法
ESP protocol	ESP协议采用的认证算法和加密算法

1.1.8 display ipsec tunnel

display ipsec tunnel [ active | standby ] [ | { begin | exclude | include } regular-expression ]

1：监控级

active：显示双机热备环境下主用IPsec隧道的相关信息。本参数的支持情况与设备的型号有关，请参见“命令参考导读”中的“命令行及参数差异情况”部分的介绍。

standby：显示双机热备环境下备用IPsec隧道的相关信息。本参数的支持情况与设备的型号有关，请参见“命令参考导读”中的“命令行及参数差异情况”部分的介绍。

|：使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍，请参见“基础配置指导”中的“CLI”。

begin：从包含指定正则表达式的行开始显示。

exclude：只显示不包含指定正则表达式的行。

include：只显示包含指定正则表达式的行。

regular-expression：表示正则表达式，为1～256个字符的字符串，区分大小写。

display ipsec tunnel命令用来显示IPsec隧道的信息。

不指定任何参数的情况下，则显示所有IPsec隧道的信息。

<Sysname> display ipsec tunnel

# 显示IPsec隧道的信息。

total tunnel : 2

------------------------------------------------

connection id: 3

SA's SPI:

inbound: 187199087 (0xb286e6f) [ESP]

outbound: 3562274487 (0xd453feb7) [ESP]

tunnel:

local address: 44.44.44.44

remote address : 44.44.44.55

flow:

sour addr : 44.44.44.0/255.255.255.0 port: 0 protocol : IP

dest addr : 44.44.44.0/255.255.255.0 port: 0 protocol : IP

# 显示聚合方式下的IPsec隧道信息。

<Sysname> display ipsec tunnel

total tunnel: 2

------------------------------------------------

connection id: 4

SA's SPI:

inbound : 2454606993 (0x924e5491) [ESP]

outbound : 675720232 (0x2846ac28) [ESP]

tunnel :

local address: 44.44.44.44

remote address : 44.44.44.45

flow :

as defined in acl 3001

表1-9 display ipsec tunnel命令显示信息描述表

字段	描述
connection id	连接标识符，用来唯一地标识一个IPsec Tunnel
SA's SPI	出方向和入方向的安全策略索引
tunnel	IPsec隧道端点的地址
flow	IPsec隧道保护的数据流，包括源地址、目的地址、源端口、目的端口、协议
as defined in acl 3001	IPsec隧道保护ACL 3001中定义的所有数据流

1.1.9 encapsulation-mode

encapsulation-mode { transport | tunnel }

undo encapsulation-mode

IPsec安全提议视图

2：系统级

transport：采用传输模式。

tunnel：采用隧道模式。

相关配置可参考命令ipsec transform-set。

encapsulation-mode命令用来配置安全协议对IP报文的封装形式。undo encapsulation-mode命令用来恢复缺省情况。

缺省情况下，安全协议采用隧道模式对IP报文进行封装。

# 配置名为tran1的安全提议采用传输模式对IP报文进行封装。

[Sysname] ipsec transform-set tran1

[Sysname-ipsec-transform-set-tran1] encapsulation-mode transport

1.1.10 esp authentication-algorithm

esp authentication-algorithm { md5 | sha1 } *

undo esp authentication-algorithm

IPsec安全提议视图

2：系统级

md5：采用MD5认证算法，密钥长度128位。

sha1：采用SHA-1认证算法，密钥长度160位。

esp authentication-algorithm命令用来配置ESP协议采用的认证算法。undo esp authentication-algorithm命令用来恢复缺省情况。

· 在FIPS模式下，设备不支持MD5算法，缺省认证算法为SHA-1。

· 在非FIPS模式下，未指定ESP协议采用的认证算法。

· MD5算法的计算速度比SHA-1算法快，而SHA-1算法的安全强度比MD5算法高。对于保密及安全性要求较高的地方，建议采用SHA-1算法；对于普通安全需求，采用MD5算法即可。

· 未配置FIPS模式时，ESP协议采用的加密算法和认证算法不能同时设置为空；配置了FIPS模式时，ESP协议必须同时设置加密算法和认证算法。

相关配置可参考命令ipsec transform-set、esp encryption-algorithm。

# 配置IPsec安全提议prop1采用ESP协议并使用SHA-1认证算法。

[Sysname] ipsec transform-set prop1

[Sysname-ipsec-transform-set-prop1] transform esp

[Sysname-ipsec-transform-set-prop1] esp authentication-algorithm sha1

1.1.11 esp encryption-algorithm

esp encryption-algorithm { 3des | aes-cbc-128 | aes-cbc-192 | aes-cbc-256 | des } *

undo esp encryption-algorithm

IPsec安全提议视图

2：系统级

3des：CBC模式的3DES算法，3DES算法采用168比特的密钥进行加密。

aes-cbc-128：CBC模式的AES算法，密钥长度为128比特。

aes-cbc-192：CBC模式的AES算法，密钥长度为192比特。

aes-cbc-256：CBC模式的AES算法，密钥长度为256比特。

des：CBC模式的DES算法，密钥长度为56比特。

esp encryption-algorithm命令用来配置ESP协议采用的加密算法。undo esp encryption-algorithm命令用来恢复缺省情况。

· 在FIPS模式下，设备不支持DES和3DES算法，缺省认证算法为AES-128。

· 在非FIPS模式下，未指定ESP协议采用的加密算法。

需要注意的是：未配置FIPS模式时，ESP协议允许对报文同时进行加密和认证，或只加密，或只认证。在实际配置过程中，ESP协议采用的加密算法和认证算法不能同时为空，要求至少指定其中之一；配置了FIPS模式时，ESP协议必须对报文同时进行加密和认证。

相关配置可参考命令display ipsec transform-set和esp authentication-algorithm。

# 配置IPsec安全提议prop1采用ESP协议并使用3DES加密算法。

[Sysname] ipsec transform-set prop1

[Sysname-ipsec-transform-set-prop1] transform esp

[Sysname-ipsec-transform-set-prop1] esp encryption-algorithm 3des

1.1.12 ike-peer (IPsec policy view/IPsec policy template view)

undo ike-peer peer-name

ike-peer peer-name

IPsec安全策略视图/IPsec安全策略模板视图

2：系统级

peer-name：IKE对等体名，为1～32个字符的字符串。

相关配置可参考命令ipsec policy。

ike-peer命令用来在IKE协商方式配置的IPsec安全策略或者IPsec安全策略模板中引用IKE对等体。undo ike peer命令用来取消在IPsec安全策略或者IPsec安全策略模板中引用IKE对等体。

# 配置在IPsec安全策略中引用IKE对等体。

[Sysname] ipsec policy policy1 10 isakmp

[Sysname-ipsec-policy-isakmp-policy1-10] ike-peer peer1

1.1.13 ipsec anti-replay check

【命令】

ipsec anti-replay check

undo ipsec anti-replay check

【视图】

系统视图

【缺省级别】

2：系统级

【参数】

无

【描述】

ipsec anti-replay check命令用来开启IPsec抗重放检测功能。undo ipsec anti-replay check用来关闭IPsec抗重放检测功能。

缺省情况下，IPsec抗重放检测功能处于开启状态。

【举例】

# 开启IPsec抗重放检测。

<Sysname> system-view

[Sysname] ipsec anti-replay check

1.1.14 ipsec anti-replay window

【命令】

ipsec anti-replay window width

undo ipsec anti-replay window

【视图】

系统视图

【缺省级别】

2：系统级

【参数】

width：IPsec抗重放窗口的宽度，可取的值为32、64、128、256、512、1024。

【描述】

ipsec anti-replay window命令用来配置IPsec抗重放窗口的宽度。undo ipsec anti-replay window命令用来恢复缺省情况。

缺省情况下，IPsec抗重放窗口的宽度为32。

需要注意的是，修改后的配置仅对于新协商成功的IPsec SA生效。

【举例】

# 配置IPsec抗重放窗口的宽度为64。

<Sysname> system-view

[Sysname] ipsec anti-replay window 64

1.1.15 ipsec invalid-spi-recovery enable

【命令】

ipsec invalid-spi-recovery enable

undo ipsec invalid-spi-recovery enable

【视图】

系统视图

【缺省级别】

2：系统级

【参数】

无

【描述】

ipsec invalid-spi-recovery enable命令用来使能IPsec无效SPI（Security Parameter Index，安全参数索引）恢复功能。undo ipsec invalid-spi-recovery enable命令用来恢复缺省情况。

缺省情况下，IPsec无效SPI恢复功能处于关闭状态，将丢弃收到的无效SPI的IPsec报文。

使能了IPsec无效SPI恢复功能的接收端收到无效SPI的IPsec报文后，即根据报文中的SPI查找不到指定的IPsec SA时，则触发本端IKE向报文的源端发送INVALID SPI NOTIFY消息，通知源端删除此SPI对应的SA，若源端后续还存在到本端的流量时，则可触发IPsec通信两端重建SA。

【举例】

# 使能IPsec无效SPI恢复功能。

<Sysname> system-view

[Sysname] ipsec invalid-spi-recovery enable

1.1.16 ipsec policy (interface view)

ipsec policy policy-name

undo ipsec policy [ policy-name ]

2：系统级

policy-name：指定应用在接口上的IPsec安全策略组的名字，为1～15个字符的字符串。在系统视图下，必须已经配置了名字为policy-name的IPsec安全策略组。

ipsec policy命令用来在接口上应用指定的IPsec安全策略组。undo ipsec policy命令用来从接口上取消应用的IPsec安全策略组，使此接口不再具有IPsec的安全保护功能。

· 在一个接口上，只能应用一个IPsec安全策略组。在一个接口上应用一个IPsec安全策略组，实际上是同时应用了IPsec安全策略组中所有的IPsec安全策略，从而能够对不同的数据流采用不同的安全联盟进行保护。如果要在接口上应用另一个IPsec安全策略组，必须先从接口上取消应用的IPsec安全策略组。一个IPsec安全策略组可应用到多个接口上。

· 当从一个接口发送报文时，将按照顺序号从小到大的顺序查找IPsec安全策略组中每一条IPsec安全策略。如果报文匹配了一条IPsec安全策略引用的访问控制列表，则使用这条IPsec安全策略对报文进行处理；如果报文没有匹配IPsec安全策略引用的访问控制列表，则继续查找下一条IPsec安全策略；如果报文对所有IPsec安全策略引用的访问控制列表都不匹配，则报文直接被发送（IPsec不对报文加以保护）。

# 在Vlan-interface3接口上应用名为pg1的IPsec安全策略组。

[Sysname] interface vlan-interface 3

[Sysname-Vlan-interface3] ipsec policy pg1

1.1.17 ipsec policy (system view)

ipsec policy policy-name seq-number isakmp

undo ipsec policy policy-name [ seq-number ]

2：系统级

policy-name：IPsec安全策略的名字，为1～15个字符的字符串，不区分大小写，不能包括减号“-”。

seq-number：IPsec安全策略的顺序号，取值范围为1～65535。

isakmp：指定通过IKE协商建立安全联盟。

ipsec policy命令用来创建一条IPsec安全策略，并进入IPsec安全策略视图。undo ipsec policy命令用来删除指定的IPsec安全策略。

缺省情况下，没有任何IPsec安全策略存在。

· 使用此命令创建IPsec安全策略时，必须指定协商方式，但进入已创建的IPsec安全策略时，可以不指定协商方式。

· 不能修改已创建的IPsec安全策略的协商方式，只能先删除该IPsec安全策略，再重新创建。

· 具有相同名字的IPsec安全策略一起组成一个IPsec安全策略组。由名字和顺序号一起确定一条唯一的IPsec安全策略。在一个IPsec安全策略组中，顺序号seq-number越小的IPsec安全策略，优先级越高。

· 不带seq-number参数的undo命令用来删除一个IPsec安全策略组。

相关配置可参考命令ipsec policy (Interface view)和display ipsec policy。

# 配置名字为policy1，顺序号为100，采用IKE方式协商安全联盟的IPsec安全策略。

[Sysname] ipsec policy policy1 100 isakmp

[Sysname-ipsec-policy-isakmp-policy1-100]

1.1.18 ipsec policy isakmp template

ipsec policy policy-name seq-number isakmp template template-name

undo ipsec policy policy-name [ seq-number ]

2：系统级

policy-name：IPsec安全策略的名字，为1～15个字符的字符串，不区分大小写，不能包括减号“-”。

seq-number：IPsec安全策略的顺序号，取值范围为1～65535，值越小优先级越高。

isakmp template template-name：指定被引用的IPsec安全策略模板的名字。

ipsec policy isakmp template命令用来引用IPsec安全策略模板创建一条IPsec安全策略，该IPsec安全策略由IKE协商建立安全联盟。undo ipsec policy命令用来删除指定的IPsec安全策略。

· 不带seq-number参数的undo命令用来删除一个IPsec安全策略组；

· 在配置此命令前，必须已经创建IPsec安全策略模板。

· 引用IPsec安全策略模板创建一条IPsec安全策略之后，就不能进入该IPsec安全策略视图下进行IPsec安全策略的配置与修改了，只能进入IPsec安全策略模板视图下配置或修改。

· 不能修改已创建的IPsec安全策略的协商方式，只能先删除该IPsec安全策略，再重新创建。

相关配置可参考命令ipsec policy (system view)和ipsec policy-template。

# 引用策略模板temp1创建名字为policy2，顺序号为200的一条IPsec安全策略。

[Sysname] ipsec policy policy2 200 isakmp template temp1

1.1.19 ipsec policy-template

ipsec policy-template template-name seq-number

undo ipsec policy-template template-name [ seq-number ]

2：系统级

template-name：为IPsec安全策略模板的名字，为1～41个字符的字符串，不区分大小写，不能包括减号“-”。

seq-number：为此IPsec安全策略模板的顺序号，取值范围为1～65535。在一个IPsec安全策略模板中，顺序号越小的IPsec安全策略模板，优先级越高。

ipsec policy-template命令用来创建一个IPsec安全策略模板，并进入IPsec安全策略模板视图。undo ipsec policy-template命令用来删除指定的一个IPsec安全策略模板。

缺省情况下，没有任何IPsec安全策略模板存在。

需要注意的是，不带seq-number参数的undo命令用来删除一个IPsec安全策略模板组。

# 创建一个模板名字为template1，顺序号为100的IPsec安全策略模板。

[Sysname] ipsec policy-template template1 100

[Sysname-ipsec-policy-template-template1-100]

1.1.20 ipsec sa global-duration

ipsec sa global-duration { time-based seconds | traffic-based kilobytes }

undo ipsec sa global-duration { time-based | traffic-based }

2：系统级

seconds：指定基于时间的全局生存周期，取值范围为180～604800，单位为秒。

kilobytes：指定基于流量的全局生存周期，取值范围为2560～4294967295，单位为千字节。如果流量达到此值，则生存周期到期。

ipsec sa global-duration命令用来配置全局的安全联盟生存周期。undo ipsec sa global-duration命令用来恢复缺省情况。

缺省情况下，安全联盟基于时间的全局生存周期为3600秒，基于流量的全局生存周期为1843200千字节。

· 当IKE协商安全联盟时，如果采用的IPsec安全策略没有配置自己的生存周期，将采用此命令所定义的全局生存周期与对端协商。如果IPsec安全策略配置了自己的生存周期，则系统使用IPsec安全策略自己的生存周期与对端协商。

· IKE为IPsec协商建立安全联盟时，采用本地配置的生存周期和对端提议的生存周期中较小的一个。

· 可同时配置基于时间和基于流量的生存周期，只要到达指定的时间或指定的流量，SA就会老化。

相关配置可参考命令sa duration和display ipsec sa duration。

# 配置全局的安全联盟生存周期为2小时。

[Sysname] ipsec sa global-duration traffic-based 10240

[Sysname] ipsec sa global-duration time-based 7200

# 配置全局的安全联盟生周期为10M字节，即传输10M字节的流量后，当前的安全联盟即过期。

1.1.21 ipsec transform-set

ipsec transform-set transform-set-name

undo ipsec transform-set transform-set-name

2：系统级

transform-set-name：指定IPsec安全提议的名字，为1～32个字符的字符串，不区分大小写。

ipsec transform-set命令用来创建一个IPsec安全提议，并进入IPsec提议视图。undo ipsec transform-set命令用来删除指定的IPsec安全提议。

缺省情况下，没有任何IPsec安全提议存在。

# 创建名为tran1的IPsec安全提议，并进入IPsec安全提议视图。

[Sysname] ipsec transform-set tran1

[Sysname-ipsec-transform-set-tran1]

1.1.22 ipsec synchronization enable

【命令】

ipsec synchronization enable

undo ipsec synchronization enable

【视图】

系统视图

【缺省级别】

2：系统级

【参数】

无

【描述】

ipsec synchronization enable命令用来开启IPsec双机热备功能。undo ipsec synchronization enable命令用来关闭IPsec双机热备功能。

缺省情况下，IPsec双机热备功能处于开启状态。

关闭IPsec双机热备功能将会删除当前设备上所有主用/备用IKE SA和主用/备用IPsec SA。

本命令的支持情况与设备的型号有关，请参见“命令参考导读”中的“命令行及参数差异情况”部分的介绍。

【举例】

# 开启IPsec双机热备功能。

<Sysname> system-view

[Sysname] ipsec synchronization enable

1.1.23 policy enable

undo policy enable

policy enable

IPsec安全策略视图/IPsec安全策略模板视图

2：系统级

policy enable命令用来使能IPsec安全策略。undo policy enable命令用来去使能IPsec安全策略。

缺省情况下，IPsec安全策略处于使能状态。

需要注意的是：如果IKE对等体未使能IPsec安全策略，则不能触发IKE协商或是作为响应方参与IKE协商。

相关配置可参考命令ipsec policy (system view)和ipsec policy-template。

# 使能名字为policy1，顺序号为100的IPsec安全策略。

[Sysname] ipsec policy policy1 100 isakmp

[Sysname-ipsec-policy-isakmp-policy1-100] policy enable

1.1.24 reset ipsec sa

reset ipsec sa [ active | parameters dest-address protocol spi | policy policy-name [ seq-number ] | remote ip-address | standby ]

2：系统级

active：指定双机热备环境下的所有主用安全联盟。本参数的支持情况与设备的型号有关，请参见“命令参考导读”中的“命令行及参数差异情况”部分的介绍。

parameters：指定一个安全联盟所对应的目的IP地址、安全协议和SPI。

dest-address：指定目的地址。

protocol：指定安全协议，可选关键字为ah或esp，不区分大小写。

spi：指定安全参数索引，取值范围为256～4294967295。

policy：指定安全策略。

policy-name：指定IPsec安全策略的名字，为1～15个字符的字符串，区分大小写，字符可以是英文字母或者数字。

seq-number：指定安全策略的顺序号，取值范围为1～65535。如果不指定seq-number，则是指名字为policy-name的安全策略组中所有安全策略。

remote ip-address：指定安全联盟对应的对端IP地址。

ip-address：指定对端IP地址。

standby：指定双机热备环境下的所有备份安全联盟。本参数的支持情况与设备的型号有关，请参见“命令参考导读”中的“命令行及参数差异情况”部分的介绍。

如果不指定任何参数，则清除所有的IPsec SA。

reset ipsec sa命令用来清除已经建立的IPsec SA。

相关配置可参考命令display ipsec sa。

· 通过IKE协商建立的IPsec SA被清除后，如果有报文重新触发IKE协商，IKE将重新协商建立新的IPsec SA。

· 如果指定了parameters关键字，由于IPsec SA是成对出现的，清除了一个方向的IPsec SA，另一个方向的IPsec SA也会被清除。

在双机热备环境中，执行本命令后的具体情况如下：

· 清除设备上的主用IPsec SA的同时，本设备会通知处于备用状态的设备将相应的备用IPsec SA也清除掉。

· 清除设备上的备用IPsec SA之后，本设备会请求处于主用状态的设备将相应的主用IPsec SA重新同步给本设备。

如果既未指定active关键字也未指定standby关键字，则本命令将会清除设备上的所有的或符合指定条件的主用和备用IPsec SA，但备用IPsec SA被删除之后，设备会请求处于主用状态的设备重新同步所有备用的IPsec SA。

<Sysname> reset ipsec sa remote 10.1.1.2

# 清除所有IPsec SA。

<Sysname> reset ipsec sa

# 清除对端地址为10.1.1.2的IPsec SA。

# 清除安全策略模板policy1中的所有IPsec SA。

<Sysname> reset ipsec sa policy policy1

# 清除安全策略名字为policy1、顺序号为10的IPsec SA。

<Sysname> reset ipsec sa policy policy1 10

# 清除对端地址为10.1.1.2、安全协议为AH、安全参数索引为10000的IPsec SA。

<Sysname> reset ipsec sa parameters 10.1.1.2 ah 10000

1.1.25 reset ipsec statistics

reset ipsec statistics

1：监控级

reset ipsec statistics命令用来清除IPsec的报文统计信息，所有的统计信息都被设置成零。

相关配置可参考命令display ipsec statistics。

<Sysname> reset ipsec statistics

# 清除IPsec的报文统计信息。

1.1.26 sa duration

undo sa duration { time-based | traffic-based }

sa duration { time-based seconds | traffic-based kilobytes }

安全策略视图/安全策略模板视图

2：系统级

seconds：指定基于时间的生存周期，取值范围为180～604800，单位为秒。

kilobytes：指定基于流量的生存周期，取值范围为2560～4294967295，单位为千字节。

sa duration命令用来为IPsec安全策略配置安全联盟的生存周期。undo sa duration命令用来恢复缺省情况。

缺省情况下，IPsec安全策略的安全联盟生存周期为当前全局的安全联盟生存周期值。

· 当IKE协商安全联盟时，如果采用的IPsec安全策略没有配置自己的生存周期，将采用全局生存周期（通过命令ipsec sa global-duration设置）与对端协商。如果IPsec安全策略配置了自己的生存周期，则系统使用IPsec安全策略自己的生存周期与对端协商。

· IKE为IPsec协商建立安全联盟时，采用本地配置的生存周期和对端提议的生存周期中较小的一个。

相关配置可参考命令ipsec sa global-duration和ipsec policy (system view)。

# 配置IPsec安全策略policy1的安全联盟生存时间为两个小时，即7200秒。

[Sysname] ipsec policy policy1 100 isakmp

[Sysname-ipsec-policy-isakmp-policy1-100] sa duration time-based 7200

# 配置IPsec安全策略policy1的安全联盟生存周期为20M字节，即传输20480千字节的流量后，当前的安全联盟就过期。

[Sysname] ipsec policy policy1 100 isakmp

[Sysname-ipsec-policy-isakmp-policy1-100] sa duration traffic-based 20480

1.1.27 security acl

security acl acl-number [ aggregation | per-host ]

undo security acl

IPsec安全策略视图/IPsec安全策略模板视图

2：系统级

acl-number：指定IPsec安全策略所引用的访问控制列表号，取值范围为3000～3999。

aggregation：指定IPsec安全策略的数据流保护方式为聚合方式。如果不指定该参数，则IPsec安全策略的数据流保护方式为标准方式。

per-host：指定IPsec安全策略的数据流保护方式为主机方式。

security acl命令用来配置IPsec安全策略引用的访问控制列表。undo security acl命令用来取消IPsec安全策略引用的访问控制列表。

缺省情况下，IPsec安全策略没有指定访问控制列表。

配置IKE协商安全策略的情况下，IPsec安全策略的数据流保护方式包括以下三种：

· 标准方式：一条隧道保护一条数据流。ACL中的每一个规则对应的数据流都会由一条单独创建的隧道来保护；

· 聚合方式：一条隧道保护ACL中定义的所有数据流。ACL中的所有规则对应的数据流只会由一条创建的隧道来保护。

· 主机方式：一条隧道保护一条主机到主机之间的数据流。ACL中的每一个规则对应的不同主机之间的数据流，都会由一条单独创建的隧道来保护。

· 聚合方式仅用于和老版本的设备互通。这种情况下，要求两端的配置必须一致，即两端同时配置聚合方式。

· 若不指定aggregation和per-host参数，则表示IPsec安全策略的数据流保护方式为标准方式。

· 一条安全策略只能引用一条访问控制列表，如果设置安全策略引用了多于一个访问控制列表，最后配置的那条访问控制列表才有效。

· 主机方式仅支持在IKE协商方式下的IPsec策略视图下配置。

· 若需要采用主机方式来保护主机之间的数据流，则只需要在IPsec协商发起方的IPsec策略中引用主机方式的ACL，响应方的IPsec策略中无需指定该参数。

· 由于在对等体保护的主机数目较多时，采用主机方式会导致触发IPsec建立大量的SA并迅速大量消耗系统资源，因此建议慎重使用主机方式。

# 配置IPsec安全策略引用ACL 3002，并设置数据流保护方式为聚合方式。

[Sysname] acl number 3002

[Sysname-acl-adv-3002] rule 0 permit ip source 10.1.2.1 0.0.0.255 destination 10.1.2.2 0.0.0.255

[Sysname-acl-adv-3002] rule 1 permit ip source 10.1.3.1 0.0.0.255 destination 10.1.3.2 0.0.0.255

[Sysname] ipsec policy policy2 1 isakmp

[Sysname-ipsec-policy-isakmp-policy2-1] security acl 3002 aggregation

# 配置IPsec安全策略引用ACL 3003，并设置数据流保护方式为主机方式。

[Sysname] acl number 3003

[Sysname-acl-adv-3003] rule permit ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255

[Sysname-acl-adv-3003] quit

[Sysname] ipsec policy policy3 10 isakmp

[Sysname-ipsec-policy-isakmp-policy3-10] security acl 3003 per-host

1.1.28 synchronization anti-replay-interval

【命令】

synchronization anti-replay-interval inbound inbound-number outbound outbound-number

undo synchronization anti-replay-interval

【视图】

安全策略视图/安全策略模板视图

【缺省级别】

2：系统级

【参数】

inbound-number：同步入方向防重放窗口的间隔，单位为报文数，即主设备在入方向上每接收多少个报文后才会向备用设备同步一次防重放窗口，取值范围为0～1000，取值为0表示不同步防重放窗口。

outbound-number：同步出方向防重放序号的间隔，单位为报文数，即主设备在出方向上每发送多少个报文后才会向备用设备同步一次防重放序号，取值范围为1000～100000。

【描述】

synchronization anti-replay-interval命令用来配置IPsec双机热备环境下由主设备向备用设备发送防重放同步信息的间隔，包括同步入方向防重放窗口的间隔和同步出方向防重放序号的间隔。undo synchronization anti-replay-interval命令用来恢复缺省情况。

缺省情况下，同步入方向防重放窗口的间隔为每接收1000个报文同步一次；同步出方向防重放序号的间隔为每发送100000个报文同步一次。

在IPsec双机热备环境下，通过给备用设备同步防重放信息，使得备用设备可以在主设备发生故障后，代替主设备正确处理对端发送的IPsec报文，防止主备切换后原本合法的IPsec报文被切换后的设备认为是重放报文而丢弃。

若将同步防重放信息的间隔调小一些，可以增强互为备份的两台设备上的防重放窗口和防重放序号的一致性，这同时会增加防重放同步信息的发送频率，因此会对报文的转发性能产生一定的影响，建议根据设备的实际情况做适当调整。

相关配置可参考命令display ipsec policy和display ipsec policy-template。

本命令的支持情况与设备的型号有关，请参见“命令参考导读”中的“命令行及参数差异情况”部分的介绍。

【举例】

# 设置同步入方向防重放窗口的间隔为800个报文，同步出方向防重放序号的间隔为50000个报文。

<Sysname> system-view

[Sysname] ipsec policy test 10 isakmp

[Sysname-ipsec-policy-isakmp-test-10] synchronization anti-replay-interval inbound 800 outbound 50000

1.1.29 transform

transform { ah | ah-esp | esp }

2：系统级

ah：采用AH协议。

ah-esp：先用ESP协议对报文进行保护，再用AH协议进行保护。

esp：采用ESP协议。

相关配置可参考命令ipsec transform-set。

transform命令用来配置提议采用的安全协议。undo transform命令用来恢复缺省情况。

缺省情况下，采用ESP协议。

需要注意的是，在安全隧道的两端，IPsec提议所使用的安全协议需要匹配。

# 配置一个采用AH协议的IPsec安全提议。

[Sysname] ipsec transform-set prop1

[Sysname-ipsec-transform-set-prop1] transform ah

1.1.30 transform-set

transform-set transform-set-name&<1-6>

undo transform-set [ transform-name-set ]

IPsec安全策略视图/IPsec安全策略模板视图

2：系统级

transform-set-name&<1-6>：所采用的提议名字，为1～32个字符的字符串。&<1-6>表示前面的参数最多可以输入6次。

transform-set命令用来配置IPsec安全策略所引用的IPsec安全提议。undo transform-set命令用来取消IPsec安全策略引用的IPsec安全提议。

缺省情况下，IPsec安全策略没有引用任何IPsec安全提议。

· 引用的IPsec安全提议必须已经存在。

· 如果IPsec安全策略是IKE（isakmp）协商方式的，则一条IPsec安全策略最多可以引用六个IPsec安全提议，IKE协商时将在IPsec安全策略中搜索能够完全匹配的IPsec安全提议。

相关配置可参考命令ipsec transform-set和ipsec policy (system view)。

# 配置IPsec安全策略引用名字为tran1的IPsec安全提议。

[Sysname] ipsec transform-set tran1

[Sysname-ipsec-transform-set-tran1] quit

[Sysname] ipsec policy policy1 100 isakmp

[Sysname-ipsec-policy-isakmp-policy1-100] transform-set tran1

2 IKE

2.1 IKE配置命令

2.1.1 authentication-algorithm

authentication-algorithm { md5 | sha | sha256 }

undo authentication-algorithm

IKE提议视图

2：系统级

md5：指定认证算法为HMAC-MD5。

sha：指定认证算法为HMAC-SHA1。

sha256：指定认证算法为HMAC-SHA256。

authentication-algorithm命令用来指定一个供IKE提议使用的认证算法。undo authentication-algorithm命令用来恢复缺省情况。

缺省情况下，IKE提议使用SHA1认证算法。

需要注意的是，在FIPS模式下不支持MD5算法，缺省使用SHA2-256算法。

相关配置可参考命令ike proposal和display ike proposal。

# 指定IKE提议10的认证算法为MD5。

[Sysname] ike proposal 10

[Sysname-ike-proposal-10] authentication-algorithm md5

2.1.2 authentication-method

authentication-method { pre-share | rsa-signature }

undo authentication-method

IKE提议视图

2：系统级

pre-share：指定认证方法为预共享密钥方法。

rsa-signature：指定认证方法为RSA数字签名方法。

authentication-method命令用来指定一个供IKE提议使用的认证方法。undo authentication-method命令用来恢复缺省情况。

缺省情况下，IKE提议使用预共享密钥的认证方法。

相关配置可参考命令ike proposal和display ike proposal。

# 指定IKE提议10的认证方法为预共享密钥。

[Sysname] ike proposal 10

[Sysname-ike-proposal-10] authentication-method pre-share

2.1.3 certificate domain

certificate domain domain-name

undo certificate domain

IKE-Peer视图

2：系统级

domain-name：指定的PKI域名称，为1～15个字符的字符串。

certificate domain命令用来配置IKE协商采用数字签名认证时，证书所属的PKI域。undo certificate domain命令用来取消配置证书所属的PKI域。

相关配置可参考命令authentication-method，以及“安全命令参考/PKI”中的命令pki domain。

# 配置IKE协商所使用的PKI域为abcde。

[Sysname] ike peer peer1

[Sysname-ike-peer-peer1] certificate domain abcde

2.1.4 dh

【命令】

非FIPS模式：

dh { group1 | group2 | group5 | group14 }

undo dh

FIPS模式：

dh group14

undo dh

【视图】

IKE提议视图

【缺省级别】

2：系统级

【参数】

group1：指定阶段1密钥协商时采用768-bit的Diffie-Hellman组。

group2：指定阶段1密钥协商时采用1024-bit的Diffie-Hellman组。

group5：指定阶段1密钥协商时采用1536-bit的Diffie-Hellman组。

group14：指定阶段1密钥协商时采用2048-bit的Diffie-Hellman组。

【描述】

dh命令用来配置IKE阶段1密钥协商时所使用的DH密钥交换参数。undo dh命令用来恢复缺省情况。

缺省情况下，IKE阶段1密钥协商时所使用的DH密钥交换参数为group1，即768-bit的Diffie-Hellman组；FIPS模式下DH密钥交换参数缺省为group14。

相关配置可参考命令ike proposal和display ike proposal。

【举例】

# 指定IKE提议10使用768-bit的Diffie-Hellman组。

<Sysname> system-view

[Sysname] ike proposal 10

[Sysname-ike-proposal-10] dh group1

2.1.5 display ike dpd

display ike dpd [ dpd-name ] [ | { begin | exclude | include } regular-expression ]

1：监控级

dpd-name：指定DPD的名字，为1～32个字符的字符串。

|：使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍，请参见“基础配置指导”中的“CLI”。

begin：从包含指定正则表达式的行开始显示。

exclude：只显示不包含指定正则表达式的行。

include：只显示包含指定正则表达式的行。

regular-expression：表示正则表达式，为1～256个字符的字符串，区分大小写。

display ike dpd命令用来显示DPD配置的参数。

如果不指定参数dpd-name，将显示所有DPD配置的参数。

相关配置可参考命令ike dpd。

<Sysname> display ike dpd

# 显示DPD配置的参数。

---------------------------

IKE dpd: dpd1

references: 1

interval-time: 10

time_out: 5

---------------------------

表2-1 display ike dpd命令显示信息描述表

字段	描述
references	引用该DPD配置的IKE对等体的个数
Interval-time	经过多长时间没有从对端收到IPsec报文则触发DPD，单位为秒
time_out	DPD报文的重传时间间隔，单位为秒

2.1.6 display ike peer

display ike peer [ peer-name ] [ | { begin | exclude | include } regular-expression ]

1：监控级

peer-name：IKE对等体名，为1～32个字符的字符串。

|：使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍，请参见“基础配置指导”中的“CLI”。

begin：从包含指定正则表达式的行开始显示。

exclude：只显示不包含指定正则表达式的行。

include：只显示包含指定正则表达式的行。

regular-expression：表示正则表达式，为1～256个字符的字符串，区分大小写。

display ike peer命令用来显示IKE对等体配置的参数。

相关配置可参考命令ike peer。

<Sysname> display ike peer

# 显示IKE对等体配置的参数信息。

---------------------------

IKE Peer: rtb4tunn

exchange mode: main on phase 1

pre-shared-key ******

peer id type: ip

peer ip address: 44.44.44.55

local ip address:

peer name:

nat traversal: disable

dpd: dpd1

---------------------------

表2-2 display ike peer命令显示信息描述表

字段	描述
exchange mode	IKE第一阶段的协商模式
pre-shared-key	IKE第一阶段协商所使用的预共享密钥，配置值显示为******
peer id type	IKE第一阶段的协商过程中使用ID的类型
peer ip address	对端安全网关的IP地址
local ip address	本端安全网关的IP地址
peer name	对端安全网关的名字
nat traversal	是否启动IPsec/IKE的NAT穿越功能
dpd	对等体存活检测的名称

2.1.7 display ike proposal

display ike proposal [ | { begin | exclude | include } regular-expression ]

1：监控级

|：使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍，请参见“基础配置指导”中的“CLI”。

begin：从包含指定正则表达式的行开始显示。

exclude：只显示不包含指定正则表达式的行。

include：只显示包含指定正则表达式的行。

regular-expression：表示正则表达式，为1～256个字符的字符串，区分大小写。

display ike proposal命令用来显示所有IKE提议配置的参数。

IKE提议按照优先级的先后顺序显示。

相关配置可参考命令authentication-method、ike proposal、encryption-algorithm、authentication-algorithm、dh和sa duration。

<Sysname> display ike proposal

# 显示IKE提议配置的参数信息。

priority authentication authentication encryption Diffie-Hellman duration

method algorithm algorithm group (seconds)

--------------------------------------------------------------------------

10 PRE_SHARED SHA DES_CBC MODP_1024 5000

11 PRE_SHARED MD5 DES_CBC MODP_768 50000

default PRE_SHARED SHA DES_CBC MODP_768 86400

表2-3 display ike proposal命令显示信息描述表

字段	描述
priority	IKE提议的优先级
authentication method	IKE提议使用的认证方法
authentication algorithm	IKE提议使用的认证算法
encryption algorithm	IKE提议使用的加密算法
Diffie-Hellman group	IKE阶段1密钥协商时所使用的DH密钥交换参数
duration (seconds)	IKE提议的ISAKMP SA存活时间（秒）

2.1.8 display ike sa

display ike sa [ active | standby | verbose [ connection-id connection-id | remote-address remote-address ] ] [ | { begin | exclude | include } regular-expression ]

1：监控级

active：显示双机热备环境下主用IKE SA和IPsec SA的摘要信息。请参见“命令参考导读”中的“命令行及参数差异情况”部分的介绍。

standby：显示双机热备环境下备用IKE SA和IPsec SA的摘要信息。请参见“命令参考导读”中的“命令行及参数差异情况”部分的介绍。

verbose：显示当前IKE SA的详细信息。

connection-id connection-id：按照连接标识符显示IKE SA的详细信息，取值范围为1～2000000000。

remote-address：按照对端IP地址显示IKE SA的详细信息。

remote-address：指定对端IP地址。

|：使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍，请参见“基础配置指导”中的“CLI”。

begin：从包含指定正则表达式的行开始显示。

exclude：只显示不包含指定正则表达式的行。

include：只显示包含指定正则表达式的行。

regular-expression：表示正则表达式，为1～256个字符的字符串，区分大小写。

display ike sa命令用来显示当前IKE SA的信息。

需要注意的是，若不选择任何参数则显示当前IKE SA和IPsec SA的摘要信息。

<Sysname> display ike sa verbose

# 显示当前IKE SA和IPsec SA的摘要信息。

<Sysname> display ike sa

total phase-1 SAs: 1

connection-id peer flag phase doi

----------------------------------------------------------

1 202.38.0.2 RD|ST 1 IPSEC

2 202.38.0.2 RD|ST 2 IPSEC

flag meaning

RD--READY ST--STAYALIVE RL--REPLACED FD—FADING TO—TIMEOUT

表2-4 display ike sa命令显示信息描述表

字段	描述
total phase-1 SAs	所有第一阶段安全联盟的总数
connection-id	IKE SA和IPsec SA的标识符
peer	此安全联盟的对端的IP地址
flag	显示此安全联盟的状态： · RD（READY）：表示此安全联盟已建立成功 · ST（STAYALIVE）：表示此端是隧道协商发起方 · RL（REPLACED）：表示此隧道已经被新的隧道代替，一段时间后将被删除 · FD（FADING）：表示此隧道已发生过一次软超时，目前还在使用，在硬超时发生时，会删除此隧道 · TO（TIMEOUT）：表示此安全联盟在上次keepalive超时发生后还没有收到keepalive报文，如果在下次keepalive超时发生时仍没有收到keepalive报文，此安全联盟将被删除
phase	此安全联盟所属阶段： · Phase 1：建立安全隧道进行通信的阶段，此阶段建立IKE SA · Phase 2：协商安全服务的阶段，此阶段建立IPsec SA
doi	安全联盟所属解释域

# 显示当前IKE SA的详细信息。

---------------------------------------------

connection id: 2

transmitting entity: initiator

---------------------------------------------

local ip: 4.4.4.4

local id type: IPV4_ADDR

local id: 4.4.4.4

remote ip: 4.4.4.5

remote id type: IPV4_ADDR

remote id: 4.4.4.5

authentication-method: PRE-SHARED-KEY

authentication-algorithm: HASH-SHA1

encryption-algorithm: DES-CBC

life duration(sec): 86400

remaining key duration(sec): 86379

exchange-mode: MAIN

# 按照连接标识符显示IKE SA的详细信息。

<Sysname> display ike sa verbose connection-id 2

---------------------------------------------

connection id: 2

transmitting entity: initiator

status: active

---------------------------------------------

local ip: 4.4.4.4

local id type: IPV4_ADDR

local id: 4.4.4.4

remote ip: 4.4.4.5

remote id type: IPV4_ADDR

remote id: 4.4.4.5

authentication-method: PRE-SHARED-KEY

authentication-algorithm: HASH-SHA1

encryption-algorithm: DES-CBC

life duration(sec): 86400

remaining key duration(sec): 82480

exchange-mode: MAIN

# 按照对端地址显示IKE SA的详细信息。

<Sysname> display ike sa verbose remote-address 4.4.4.5

---------------------------------------------

connection id: 2

transmitting entity: initiator

status: active

---------------------------------------------

local ip: 4.4.4.4

local id type: IPV4_ADDR

local id: 4.4.4.4

remote ip: 4.4.4.5

remote id type: IPV4_ADDR

remote id: 4.4.4.5

authentication-method: PRE-SHARED-KEY

authentication-algorithm: HASH-SHA1

encryption-algorithm: DES-CBC

life duration(sec): 86400

remaining key duration(sec): 82236

exchange-mode: MAIN

nat traversal: NO

表2-5 display ike sa verbose命令显示信息描述表

字段	描述
connection id	IKE SA和IPsec SA的标识符
transmitting entity	IKE协商中的实体
local ip	本端安全网关的IP地址
local id type	本端安全网关的ID类型
local id	本端安全网关的ID
remote ip	对端安全网关的IP地址
remote id type	对端安全网关的ID类型
remote id	对端安全网关的ID
authentication-method	IKE提议使用的认证方法
authentication-algorithm	IKE提议使用的认证算法
encryption-algorithm	IKE提议使用的加密算法
life duration(sec)	IKE SA的生命周期（秒）
remaining key duration(sec)	IKE SA的剩余生命周期（秒）
exchange-mode	IKE第一阶段的协商模式
nat traversal	是否使能NAT穿越功能

2.1.9 dpd

IKE-Peer视图

2：系统级

dpd-name：指定DPD的名字，为1～32个字符的字符串。

dpd命令用来为IKE对等体应用一个DPD。undo dpd命令用来取消IKE对等体对DPD的应用。

缺省情况下，IKE对等体没有应用DPD。

# 为对等体peer1应用名称为dpd1的DPD。

[Sysname] ike peer peer1

[Sysname-ike-peer-peer1] dpd dpd1

2.1.10 encryption-algorithm

encryption-algorithm { 3des-cbc | aes-cbc [ key-length ] | des-cbc }

undo encryption-algorithm

IKE提议视图

2：系统级

3des-cbc：指定IKE安全提议采用的加密算法为CBC模式的3DES算法。3DES算法采用168 bits的密钥进行加密。

aes-cbc：指定IKE安全提议采用的加密算法为CBC模式的AES算法，AES算法采用128 bits、192bits、256bits的密钥进行加密。

key-length：AES算法采用的密钥长度，取值可以为128、192、256，缺省值为128。

des-cbc：指定IKE安全提议采用的加密算法为CBC模式的DES算法，DES算法采用56 bits的密钥进行加密。

encryption-algorithm命令用来指定一个供IKE提议使用的加密算法。undo encryption-algorithm命令用来恢复缺省情况。

· 在FIPS模式下，设备不支持DES-CBC和3DES-CBC，IKE提议使用CBC模式的128-bit AES-CBC加密算法。

· 在非FIPS模式下， IKE提议使用CBC模式的56-bit DES加密算法。

相关配置可参考命令ike proposal和display ike proposal。

# 指定IKE提议10的加密算法为CBC模式的56-bit DES。

[Sysname] ike proposal 10

[Sysname-ike-proposal-10] encryption-algorithm des-cbc

2.1.11 exchange-mode

exchange-mode { aggressive | main }

undo exchange-mode

IKE-Peer视图

2：系统级

aggressive：野蛮模式。

main：主模式。

exchange-mode命令用来选择IKE阶段的协商模式。undo exchange-mode命令用来恢复缺省情况。

缺省情况下，IKE阶段的协商模式使用主模式。

· 当对端的IP地址为自动获取（如一端用户为拨号方式），且采用预共享密钥认证方式时，建议将本端的协商模式配置为aggressive。

· 在FIPS模式下，设备不支持aggressive协商模式。

相关配置可参考命令id-type。

# 配置IKE使用主模式。

[Sysname] ike peer peer1

[Sysname-ike-peer-peer1] exchange-mode main

2.1.12 id-type

id-type { ip | name | user-fqdn }

IKE-Peer视图

2：系统级

ip：选择IP地址作为IKE协商过程中使用的ID。

name：选择FQDN（Fully Qualified Domain Name，完全合格域名）类型的名字作为IKE协商过程中使用的ID。

user-fqdn：选择User FQDN类型的名字作为IKE协商过程中使用的ID。

id-type命令用来选择IKE协商过程中使用的ID的类型。undo id-type命令用来恢复缺省情况。

缺省情况下，使用IP地址作为IKE协商过程中使用的ID。

· 在预共享密钥认证的主模式下，只能使用IP地址类型的身份进行IKE协商，建立安全联盟。

· 在IKE野蛮模式下，不但可以使用IP地址类型的身份进行协商，也可以使用FQDN或者User FQDN类型的身份进行IKE协商，并建立安全联盟。

· 若选择使用FQDN类型的ID，为保证IKE协商成功，建议本端网关的名称配置为不携带@字符的字符串，例如foo.bar.com。

· 若选择使用User FQDN类型的ID，为保证IKE协商成功，建议本端网关的名称配置为携带@字符的字符串，例如test@foo.bar.com。

相关配置可参考命令local-name、ike local-name、remote-name、remote-address、local-address和exchange-mode。

# 配置使用名字作为IKE协商过程中使用的ID。

[Sysname] ike peer peer1

[Sysname-ike-peer-peer1] id-type name

2.1.13 ike dpd

undo ike dpd dpd-name

ike dpd dpd-name

2：系统级

dpd-name：指定DPD的名字，为1～32个字符的字符串。

ike dpd命令用来创建一个DPD，并进入DPD视图。undo ike dpd命令用来删除指定名字的DPD配置。

# 创建一个名称为dpd2的DPD。

[Sysname] ike dpd dpd2

2.1.14 ike local-name

ike local-name name

undo ike local-name

2：系统级

name：指定IKE协商时的本端安全网关的名字，为1～32个字符的字符串，区分大小写。

ike local-name命令用来配置本端安全网关的名字。undo ike local-name命令用来恢复缺省情况。

缺省情况下，使用设备名作为本端安全网关的名字。

当IKE协商的发起端使用安全网关名字进行协商时（即配置了id-type name或id-type user-fqdn），发起端需要配置本端安全网关的名字，该名字既可以在系统视图下进行配置（使用命令ike local-name），也可以在IKE对等体视图下配置（使用命令local-name），若两个视图下都配置了本端安全网关的名字，则采用IKE对等体视图下的配置。

在IKE协商过程中，发起端会将本端安全网关的名字发送给对端来标识自己的身份，而响应端使用配置的对端安全网关的名字（使用命令remote-name）来认证发起端，故此时响应端上配置的对端安全网关的名字应与发起端上所配的本端安全网关的名字保持一致。

相关配置可参考命令remote-name和id-type。

# 为IKE配置本端安全网关的名字为app。

[Sysname] ike local-name app

2.1.15 ike next-payload check disabled

ike next-payload check disabled

undo ike next-payload check disabled

2：系统级

ike next-payload check disabled命令用来配置在IKE协商过程中取消对最后一个payload的next payload域的检查，以便与某些公司的产品互通。undo ike next-payload check disabled命令用来恢复缺省情况。

缺省情况下，在IKE协商过程中对next payload域进行检查。

# 配置在IKE协商过程中取消对最后一个payload的next payload域的检查。

[Sysname] ike next-payload check disabled

2.1.16 ike peer (system view)

undo ike peer peer-name

ike peer peer-name

2：系统级

peer-name：IKE对等体名，为1～32个字符的字符串。

ike peer命令用来创建一个IKE对等体，并进入IKE-Peer视图。undo ike peer命令用来删除一个IKE对等体。

# 创建IKE对等体为peer1，并进入IKE-Peer视图。

[Sysname] ike peer peer1

[Sysname-ike-peer-peer1]

2.1.17 ike proposal

ike proposal proposal-number

undo ike proposal proposal-number

2：系统级

proposal-number：IKE提议序号，取值范围为1～65535。该序号同时表示优先级，数值越小，优先级越高。在进行IKE协商的时候，会从序号最小的IKE提议进行匹配，如果匹配则直接使用，否则继续查找。

相关配置可参考命令display ike proposal。

ike proposal命令用来创建IKE提议，并进入IKE提议视图。undo ike proposal命令用来删除一个IKE提议。

缺省情况下，系统提供一条缺省的IKE提议，此缺省的IKE提议具有最低的优先级。缺省的提议具有缺省的参数，如下表所示：

缺省参数	非FIPS模式缺省值	FIPS模式缺省值
加密算法	DES-CBC	AES_CBC_128
认证算法	HMAC-SHA1	SHA
认证方法	预共享密钥	预共享密钥
DH组标识	MODP_768	MODP_1024
安全联盟的存活时间	86400秒	86400秒

# 创建IKE提议10，并进入IKE提议视图。

[Sysname] ike proposal 10

[Sysname-ike-proposal-10]

2.1.18 ike sa keepalive-timer interval

ike sa keepalive-timer interval seconds

undo ike sa keepalive-timer interval

2：系统级

seconds：指定通过ISAKMP SA向对端发送Keepalive报文的时间间隔，取值范围为20～28800，单位为秒。

ike sa keepalive-timer interval命令用来配置ISAKMP SA向对端发送Keepalive报文的时间间隔。undo ike sa keepalive-timer interval命令用来取消该功能。

缺省情况下，ISAKMP SA不向对端发送Keepalive报文。

需要注意的是，本端配置的Keepalive报文的发送时间间隔应小于对端等待Keepalive报文的超时时间。

# 配置本端向对端发送Keepalive报文的时间间隔为200秒。

[Sysname] ike sa keepalive-timer interval 200

2.1.19 ike sa keepalive-timer timeout

ike sa keepalive-timer timeout seconds

undo ike sa keepalive-timer timeout

2：系统级

seconds：指定ISAKMP SA等待对端发送Keepalive报文的超时时间，取值范围为20～28800，单位为秒。

ike sa keepalive-timer timeout命令用来配置ISAKMP SA等待Keepalive报文的超时时间。undo ike sa keepalive-timer timeout命令用来使此功能失效。

缺省情况下，ISAKMP SA不向对端发送Keepalive报文。

需要注意的是，本端配置的Keepalive报文的等待超时时间要大于对端发送的时间间隔。由于网络中一般不会出现超过三次的报文丢失，所以，本端的超时时间可以配置为对端配置的Keepalive报文的发送时间间隔的三倍。

# 配置本端等待对端发送Keepalive报文的超时时间为20秒。

[Sysname] ike sa keepalive-timer timeout 20

2.1.20 ike sa nat-keepalive-timer interval

undo ike sa nat-keepalive-timer interval

ike sa nat-keepalive-timer interval seconds

2：系统级

seconds：指定ISAKMP SA向对端发送NAT Keepalive报文的时间间隔，取值范围为5～300，单位为秒。

ike sa nat-keepalive-timer interval命令用来配置ISAKMP SA向对端发送NAT Keepalive报文的时间间隔。undo ike sa nat-keepalive-timer interval命令用来使此功能失效。

缺省情况下，ISAKMP SA向对端发送NAT Keepalive报文的时间间隔为20秒。

# 配置ISAKMP SA向对端发送NAT Keepalive报文的时间间隔为5秒。

[Sysname] ike sa nat-keepalive-timer interval 5

2.1.21 interval-time

interval-time interval-time

undo interval-time

IKE-DPD视图

2：系统级

interval-time：指定经过多长时间没有从对端收到IPsec报文，则触发DPD，取值范围为1～300，单位为秒。

interval-time命令用来为IKE DPD配置触发DPD的时间间隔。undo interval-time命令用来恢复缺省情况。

缺省情况下，触发DPD的时间间隔为10秒。

# 为dpd2配置触发DPD的时间间隔为1秒。

[Sysname] ike dpd dpd2

[Sysname-ike-dpd-dpd2] interval-time 1

2.1.22 local

local { multi-subnet | single-subnet }

IKE-Peer视图

2：系统级

multi-subnet：指定多子网类型。

single-subnet：指定单子网类型。

local命令用来配置IKE协商时本端安全网关的子网类型。undo local命令用来恢复缺省情况。

缺省情况下，为单子网类型。

本命令用于与NETSCREEN设备互通时使用。

# 配置IKE协商时本端安全网关的子网类型为多子网类型。

[Sysname] ike peer xhy

[Sysname-ike-peer-xhy] local multi-subnet

2.1.23 local-address

local-address ip-address

undo local-address

IKE-Peer视图

2：系统级

ip-address：IKE协商时的本端安全网关的IP地址。

local-address命令用来配置IKE协商时的本端安全网关的IP地址。undo local-address命令用来取消本端安全网关的IP地址。

缺省情况下，IKE协商时的本端安全网关IP地址使用应用IPsec安全策略的接口的主地址。只有当用户需要指定特殊的本端安全网关地址时才需要配置此命令。

# 配置本端安全网关IP地址为1.1.1.1。

[Sysname] ike peer xhy

[Sysname-ike-peer-xhy] local-address 1.1.1.1

2.1.24 local-name

local-name name

IKE-Peer视图

2：系统级

name：IKE协商时的本端安全网关的名字，为1～32个字符的字符串，区分大小写。

缺省情况下，未定义本端安全网关的名字，使用系统视图下本端安全网关的名字。

local-name命令用来配置本端安全网关的名字。undo local-name命令用来恢复缺省情况。

相关配置可参考命令remote-name和id-type。

# 为IKE对等体peer1配置本端安全网关的名字为localgw。

[Sysname] ike peer peer1

[Sysname-ike-peer-peer1] local-name localgw

2.1.25 nat traversal

nat traversal

undo nat traversal

IKE-Peer视图

2：系统级

nat traversal命令用来配置IPsec/IKE的NAT穿越功能。undo nat traversal命令用来取消IPsec/IKE的NAT穿越功能。

缺省情况下，没有配置NAT穿越功能。

# 为IKE对等体peer1配置NAT穿越功能。

[Sysname] ike peer peer1

[Sysname-ike-peer-peer1] nat traversal

2.1.26 peer

peer { multi-subnet | single-subnet }

IKE-Peer视图

2：系统级

multi-subnet：指定多子网类型。

single-subnet：指定单子网类型。

peer命令用来配置IKE协商时对端安全网关的子网类型。undo peer命令用来恢复缺省情况。

缺省情况下，为单子网类型。

本命令用于与NETSCREEN设备互通时使用。

# 配置IKE协商时对端安全网关的子网类型为多子网类型。

[Sysname] ike peer xhy

[Sysname-ike-peer-xhy] peer multi-subnet

2.1.27 pre-shared-key

pre-shared-key [ [ cipher | simple ] key ]

undo pre-shared-key

IKE-Peer视图

2：系统级

cipher：表示以密文方式设置预共享密钥。

simple：表示以明文方式设置预共享密钥。

key：设置的明文密钥或密文密钥，区分大小写。明文密钥为1～128个字符的字符串；密文密钥为1～201个字符的字符串。不指定cipher或simple时，表示以明文方式设置密钥。

如果不指定任何参数，则表示以交互式方式设置预共享密钥，用户以明文方式输入两次预共享密钥，二次输入完全相同时，完成配置。

pre-shared-key命令用来配置IKE协商采用预共享密钥认证时，所使用的预共享密钥，undo pre-shared-key命令用来取消IKE协商所使用的预共享密钥。

以明文或密文方式设置的共享密钥，均以密文的方式保存在配置文件中。

在FIPS模式下，仅支持cipher和交互式方式设置预共享密钥，共享密钥至少需要设置为8位，包含数字、大写字母、小写字母和特殊符号。

在非FIPS模式下，不支持交互式方式设置预共享密钥，仅支持simple、cipher以及直接输入密钥方式设置密钥。

相关配置可参考命令authentication-method。

# 配置IKE协商所使用的预共享密钥为明文abcde。

[Sysname] ike peer peer1

[Sysname-ike-peer-peer1] pre-shared-key simple abcde

# 以交互式方式设置IKE对等体peer1的预共享密钥为123Abc!@#。

<Sysname> system-view

[Sysname] ike peer peer1

[Sysname-ike-peer-peer1] pre-shared-key

Enter pre-share-key: *********

Re-enter pre-share-key: *********

2.1.28 proposal

proposal proposal-number&<1-6>

undo proposal [ proposal-number ]

IKE-Peer视图

2：系统级

proposal-number&<1-6>：IKE安全提议序号，取值范围为1～65535。该序号同时表示优先级，数值越小，优先级越高。

proposal命令用来配置IKE对等体引用的IKE安全提议。undo proposal命令用来取消指定的或所有引用的IKE安全提议。

缺省情况下，IKE对等体未引用任何IKE安全提议，使用系统视图下已配置的IKE安全提议进行IKE协商。

IKE第一阶段的协商过程中，如果本端引用了指定的IKE安全提议，那么就使用指定的安全提议与对端进行协商；如果没有指定，则使用系统视图下已配置的IKE安全提议与对端进行协商。

· 一个IKE对等体中最多可以引用六个IKE安全提议。

· IKE协商中的响应方使用系统视图下已经配置的安全提议与对端发送的安全提议进行协商。

相关配置可参考命令ike proposal和ike peer (System view)。

# 设置IKE对等体peer1引用序号为10的IKE安全提议。

[Sysname] ike peer peer1

[Sysname-ike-peer-peer1] proposal 10

2.1.29 remote-address

remote-address { hostname [ dynamic ] | low-ip-address [ high-ip-address ] }

undo remote-address

IKE-Peer视图

2：系统级

hostname：IPsec对端安全网关的主机名，为1～255个字符的字符串，不区分大小写。该主机名是IPsec对端在网络中的唯一标识，可被DNS服务器解析为IP地址。

dynamic：表示IPsec对端安全网关的主机名会进行动态地址解析。如果不配置该参数，则表示仅在配置对端主机名后执行一次DNS查询。

low-ip-address：IPsec对端安全网关的IP地址。如果配置对端安全网关IP地址为连续的地址范围，则该参数为地址范围中的最小地址。

high-ip-address：如果配置对端安全网关IP地址为连续的地址范围，则该参数为地址范围中的最大地址。

remote-address命令用来配置IPsec对端安全网关的IP地址。undo remote-address命令用来删除IPsec对端安全网关的IP地址。

· 本端通过命令remote-address配置的对端安全网关的IP地址，应该与对端IKE协商时使用的本端安全网关的IP地址一致（可通过local-address命令配置，若不配置，则为应用IPsec安全策略的接口的主地址）。

· 如果配置对端地址为精确值（主机名方式与之等价），则本端可以作为IKE协商的发起端；如果配置对端地址为一个地址范围，则本端只能作为响应方，而这个范围表示的是本端能接受的协商对象的地址范围。

· 如果对端地址经常变动，建议配置对端主机名时采用dynamic 参数，以便本端在IKE协商协商时及时更新对端地址。

相关配置可参考命令id-type ip和local-address。

# 配置对端安全网关IP地址为10.0.0.1。

[Sysname] ike peer peer1

[Sysname-ike-peer-peer1] remote-address 10.0.0.1

# 配置对端安全网关地址为test.com，并采用动态更新方式。

[Sysname] ike peer peer2

[Sysname-ike-peer-peer2] remote-address test.com dynamic

2.1.30 remote-name

remote-name name

IKE-Peer视图

2：系统级

name：指定IKE协商时对端的名字，为1～32字符的字符串。

remote-name命令用来配置对端安全网关的名字。undo remote-name命令用来取消对端安全网关名称的配置。

当IKE协商的发起端使用安全网关名字进行协商时（即配置了id-type name或id-type user-fqdn），发起端会发送自己名字给对端来标识自己的身份，而对端使用remote-name name来认证发起端，故此时name应与发起端上令所配的本端安全网关的名字保持一致。

相关配置可参考命令id-type、local-name和ike local-name。

# 为IKE对等体peer1配置对端安全网关名字为apple。