目  录

1 IPsec

1.1 IPsec配置命令

1.1.1 ah authentication-algorithm

1.1.2 display ipsec policy

1.1.3 display ipsec sa

1.1.4 display ipsec statistics

1.1.5 display ipsec transform-set

1.1.6 display ipsec tunnel

1.1.7 encapsulation-mode

1.1.8 esp authentication-algorithm

1.1.9 esp encryption-algorithm

1.1.10 ipsec policy (system view)

1.1.11 ipsec transform-set

1.1.12 reset ipsec sa

1.1.13 reset ipsec statistics

1.1.14 sa authentication-hex

1.1.15 sa encryption-hex

1.1.16 sa spi

1.1.17 sa string-key

1.1.18 transform

1.1.19 transform-set

 

1 IPsec

1.1  IPsec配置命令

1.1.1  ah authentication-algorithm

【命令】

ah authentication-algorithm { md5 | sha1 }

undo ah authentication-algorithm

【视图】

安全提议视图

【缺省级别】

2：系统级

【参数】

md5：采用MD5认证算法。

sha1：采用SHA-1认证算法。

【描述】

ah authentication-algorithm命令用来配置AH协议采用的认证算法。undo ah authentication-algorithm命令用来恢复缺省情况。

缺省情况下，未指定AH协议采用的认证算法。

需要注意的是，只有先使用transform命令选择了ah或ah-esp安全协议后，才能够配置ah认证算法。

相关配置可参考命令ipsec transform-set和transform。

【举例】

# 配置IPsec安全提议prop1，设定AH协议采用SHA-1算法。

<Sysname> system-view

[Sysname] ipsec transform-set prop1

[Sysname-ipsec-transform-set-prop1] transform ah

[Sysname-ipsec-transform-set-prop1] ah authentication-algorithm sha1

1.1.2  display ipsec policy

【命令】

display ipsec policy [ brief | name policy-name [ seq-number ] ] [ | { begin | exclude | include } regular-expression ]

【视图】

任意视图

【缺省级别】

1：监控级

【参数】

brief：显示所有IPsec安全策略的简要信息。

name：显示指定IPsec安全策略的详细信息。

policy-name：指定IPsec安全策略的名字，为1～15个字符的字符串。

seq-number：指定IPsec安全策略的顺序号，取值范围为1～65535。

|：使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍，请参见“基础配置指导”中的“CLI”。

begin：从包含指定正则表达式的行开始显示。

exclude：只显示不包含指定正则表达式的行。

include：只显示包含指定正则表达式的行。

regular-expression：表示正则表达式，为1～256个字符的字符串，区分大小写。

【描述】

display ipsec policy命令用来显示IPsec安全策略的信息。

需要注意的是：

·     如果不指定任何参数，则显示所有IPsec安全策略的详细信息。

·     如果指定了name policy-name，而没有指定seq-number，则显示指定的IPsec安全策略组的详细信息。

相关配置可参考命令ipsec policy (system-view)。

【举例】

# 显示所有安全策略的简要信息。

<Sysname> display ipsec policy brief

IPsec-Policy-Name     Mode    acl    ike-peer name    Mapped Template

------------------------------------------------------------------------

policy1-1             manual

policy1-100           manual

policy1-200           manual

 

IPsec-Policy-Name     Mode    acl     Local-Address  Remote-Address

------------------------------------------------------------------------

policy1-1             manual

policy1-100           manual

policy1-200           manual  

表1-1 display ipsec policy brief命令显示信息描述表

字段	描述
IPsec-Policy-Name	IPsec安全策略的名字和顺序号（例如map-1表示安全策略组名为map、顺序号为1）
Mode	IPsec安全策略采用的协商方式 ·     manual：手工方式
acl	IPsec安全策略引用的访问控制列表
ike-peer name	对等体的名称
Mapped Template	引用的IPsec安全策略模板名
Local-Address	本端的IP地址
Remote-Address	对端的IP地址

 

# 显示所有安全策略的详细信息。

<Sysname> display ipsec policy

===========================================

IPsec Policy Group: "policy1"

Interface:

===========================================

 

  -----------------------------

  IPsec policy name: "policy1"

  sequence number: 1

  acl version: IPv4

  mode: manual

  -----------------------------

    security data flow :

    transform-set name:

    inbound AH setting:

      AH spi:

      AH string-key:

      AH authentication hex key:

    inbound ESP setting:

      ESP spi:

      ESP string-key:

      ESP encryption hex key:

      ESP authentication hex key:

    outbound AH setting:

      AH spi:

      AH string-key:

      AH authentication hex key:

    outbound ESP setting:

      ESP spi:

      ESP string-key:

      ESP encryption hex key:

      ESP authentication hex key:  

表1-2 display ipsec policy命令显示信息描述表

字段	描述
IPsec Policy Group	IPsec安全策略组的名称
security data flow	IPsec安全策略引用的访问控制列表
Interface	应用了IPsec安全策略的接口名称
IPsec policy name	IPsec安全策略的名称
sequence number	IPsec安全策略的顺序号
acl version	访问控制列表的版本，包括ACL4和ACL6两个版本 若未引用访问控制列表，则显示为None
mode	IPsec安全策略采用的协商方式 ·     mannul：手工方式
transform-set name	IPsec安全策略引用的提议的名字
inbound/outbound AH/ESP setting	输入/输出端采用AH/ESP协议的有关设置，包括SPI和密钥

 

1.1.3  display ipsec sa

【命令】

display ipsec sa [ brief | policy policy-name [ seq-number ] ] [ | { begin | exclude | include } regular-expression ]

【视图】

任意视图

【缺省级别】

1：监控级

【参数】

brief：显示所有的安全联盟的简要信息。

policy：显示由指定IPsec安全策略创建的安全联盟的详细信息。

policy-name：指定IPsec安全策略的名字，为1～15个字符的字符串。

seq-number：指定IPsec安全策略的顺序号，取值范围为1～65535。

|：使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍，请参见“基础配置指导”中的“CLI”。

begin：从包含指定正则表达式的行开始显示。

exclude：只显示不包含指定正则表达式的行。

include：只显示包含指定正则表达式的行。

regular-expression：表示正则表达式，为1～256个字符的字符串，区分大小写。

【描述】

display ipsec sa命令用来显示安全联盟的相关信息。

需要注意的是，当未指定任何参数时，显示所有的安全联盟的信息。

相关配置可参考命令reset ipsec sa。

【举例】

# 显示安全联盟的简要信息。

<Sysname> display ipsec sa brief

Src Address  Dst Address  SPI    Protocol     Algorithm

--------------------------------------------------------

--           --           300    ESP          E:DES;

                                              A:HMAC-MD5-96

--           --           300    ESP          E:DES;

                                              A:HMAC-MD5-96

表1-3 display ipsec sa brief命令显示信息描述表

字段	描述
Src Address	本端的IP地址
Dst Address	对端的IP地址
SPI	安全参数索引
Protocol	IPsec采用的安全协议
Algorithm	安全协议采用的认证算法和加密算法，其中，以“E:”开头表示加密算法；以“A:”开头表示认证算法；NULL表示未指定相关算法

 

# 显示所有安全联盟的详细信息。

<Sysname> display ipsec sa

===============================

Protocol: OSPFv3

===============================

 

  -----------------------------

  IPsec policy name: "manual"

  sequence number: 1

  acl version: ACL4

  mode: manual

  -----------------------------

    connection id: 2

    encapsulation mode: transport

    perfect forward secrecy:

    tunnel:

    flow :

 

    [inbound AH SAs]

      spi: 1234563 (0x12d683)

      transform-set: AH-MD5HMAC96

      No duration limit for this sa

 

    [outbound AH SAs]

      spi: 1234563 (0x12d683)

      transform-set: AH-MD5HMAC96

      No duration limit for this sa

表1-4 display ipsec sa命令显示信息描述表

字段	描述
Protocol	应用了IPsec安全策略的协议
IPsec policy name	采用的IPsec安全策略名
sequence number	IPsec安全策略顺序号
acl version	访问控制列表的版本，包括ACL4和ACL6两个版本 若未引用访问控制列表，则显示为None
mode	IPsec协商方式
connection id	安全隧道标识符
encapsulation mode	采用的封装模式，有两种：传输（transport）和隧道（tunnel）模式
perfect forward secrecy	是否使用完善的前向安全（Perfect Forward Secrecy）特性
tunnel	安全隧道
flow	数据流
inbound	输入端安全联盟的信息
spi	安全参数索引号
transform-set	安全提议所采用的安全协议及算法
sa duration	安全联盟生命周期

 

1.1.4  display ipsec statistics

【命令】

display ipsec statistics [ tunnel-id integer ] [ | { begin | exclude | include } regular-expression ]

【视图】

任意视图

【缺省级别】

1：监控级

【参数】

tunnel-id integer：显示指定IPsec隧道的报文统计信息。其中，integer为隧道的ID号，取值范围为1～2000000000。

|：使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍，请参见“基础配置指导”中的“CLI”。

begin：从包含指定正则表达式的行开始显示。

exclude：只显示不包含指定正则表达式的行。

include：只显示包含指定正则表达式的行。

regular-expression：表示正则表达式，为1～256个字符的字符串，区分大小写。

【描述】

display ipsec statistics命令用来显示IPsec处理报文的统计信息。

需要注意的是，如果不指定任何参数，则显示所有IPsec处理的报文统计信息。

相关配置可参考命令reset ipsec statistics。

【举例】

# 显示所有IPsec处理的报文统计信息。

<Sysname> display ipsec statistics

  the security packet statistics:

    input/output security packets: 47/62

    input/output security bytes: 3948/5208

    input/output dropped security packets: 0/45

    dropped security packet detail:

      not enough memory: 0

      can't find SA: 45

      queue is full: 0

      authentication has failed: 0

      wrong length: 0

      replay packet: 0

      packet too long: 0

      wrong SA: 0

# 显示隧道ID为3的IPsec报文统计信息。

<Sysname> display ipsec statistics tunnel-id 3

------------------------------------------------

  Connection ID : 3

 ------------------------------------------------

  the security packet statistics:

    input/output security packets: 5124/8231

    input/output security bytes: 52348/64356

    input/output dropped security packets: 0/0

    dropped security packet detail:

      not enough memory: 0

      queue is full: 0

      authentication has failed: 0

      wrong length: 0

      replay packet: 0

      packet too long: 0

      wrong SA: 0

表1-5 display ipsec statistics命令显示信息描述表

字段	描述
Connection ID	隧道ID号
input/output security packets	受安全保护的输入/输出数据包
input/output security bytes	受安全保护的输入/输出字节数
input/output dropped security packets	被设备丢弃了的受安全保护的输入/输出数据包
dropped security packet detail	被丢弃的输入/输出数据包的详细信息（包括以下各项）
not enough memory	因为内存不足而被丢弃的数据包的数目
can't find SA	因为找不到安全联盟而被丢弃的数据包的数目
queue is full	因为队列满而被丢弃的数据包的数目
authentication has failed	因为认证失败而被丢弃的数据包的数目
wrong length	因为数据包长度不正确而被丢弃的数据包的数目
replay packet	重放的数据包的数目
packet too long	因为数据包过长而被丢弃的数据包的数目
wrong SA	因为安全联盟不正确而被丢弃的数据包的数目

 

1.1.5  display ipsec transform-set

【命令】

display ipsec transform-set [ transform-set-name ] [ | { begin | exclude | include } regular-expression ]

【视图】

任意视图

【缺省级别】

1：监控级

【参数】

transform-set-name：显示指定的IPsec安全提议。transform-set-name表示IPsec安全提议的名字，为1～32个字符的字符串。如果不指定本参数，则显示所有IPsec安全提议的信息。

|：使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍，请参见“基础配置指导”中的“CLI”。

begin：从包含指定正则表达式的行开始显示。

exclude：只显示不包含指定正则表达式的行。

include：只显示包含指定正则表达式的行。

regular-expression：表示正则表达式，为1～256个字符的字符串，区分大小写。

【描述】

display ipsec transform-set命令用来显示IPsec安全提议的信息。

如果没有指定IPsec安全提议的名字，则显示所有IPsec安全提议的信息。

相关配置可参考命令ipsec transform-set。

【举例】

# 显示所有IPsec安全提议的信息。

<Sysname> display ipsec transform-set

  IPsec transform-set name: tran1

    encapsulation mode: transport

    transform: esp-new

    ESP protocol: authentication md5-hmac-96, encryption des

表1-6 display ipsec transform-set命令显示信息描述表

字段	描述
IPsec transform-set name	IPsec安全提议的名字
encapsulation mode	提议采用的封装模式，包括两种：传输（transport）和隧道（tunnel）模式
transform	提议采用的安全协议，包括三种：AH协议、ESP协议、先ESP协议再AH协议
AH protocol	AH协议采用的认证算法
ESP protocol	ESP协议采用的认证算法和加密算法

 

1.1.6  display ipsec tunnel

【命令】

display ipsec tunnel [ | { begin | exclude | include } regular-expression ]

【视图】

任意视图

【缺省级别】

1：监控级

【参数】

|：使用正则表达式对显示信息进行过滤。有关正则表达式的详细介绍，请参见“基础配置指导”中的“CLI”。

begin：从包含指定正则表达式的行开始显示。

exclude：只显示不包含指定正则表达式的行。

include：只显示包含指定正则表达式的行。

regular-expression：表示正则表达式，为1～256个字符的字符串，区分大小写。

【描述】

display ipsec tunnel命令用来显示IPsec隧道的信息。

【举例】

# 显示IPsec隧道的信息。

<Sysname> display ipsec tunnel

    total tunnel : 1

------------------------------------------------

    connection id: 5

    perfect forward secrecy:

    SA's SPI:

        inbound:  12345 (0x3039) [ESP]

        outbound: 12345 (0x3039) [ESP]

    tunnel:

    flow:

    current Encrypt-card:

# 显示聚合方式下的IPsec隧道信息。

<Sysname> display ipsec tunnel

    total tunnel: 1

    ------------------------------------------------

    connection id: 4

    perfect forward secrecy:

    SA's SPI:

        inbound :  2454606993 (0x924e5491) [ESP]

        0utbound : 675720232 (0x2846ac28) [ESP]

    tunnel :

        local address:  44.44.44.44

        remote address : 44.44.44.45

    flow :

        as defined in acl 3001

    current Encrypt-card :

表1-7 display ipsec tunnel命令显示信息描述表

字段	描述
connection id	连接标识符，用来唯一地标识一个IPsec Tunnel
perfect forward secrecy	完善的前向安全，标志IKE第二阶段快速模式使用哪个DH组
SA's SPI	出方向和入方向的IPsec安全策略索引
tunnel	IPsec隧道端点的地址
flow	IPsec隧道保护的数据流，包括源地址、目的地址、源端口、目的端口、协议
as defined in acl 3001	IPsec隧道保护ACL 3001中定义的所有数据流
current Encrypt-card	当前Tunnel使用的加密卡接口，若未使用，则不显示

 

1.1.7  encapsulation-mode

【命令】

encapsulation-mode { transport | tunnel }

undo encapsulation-mode

【视图】

IPsec安全提议视图

【缺省级别】

2：系统级

【参数】

transport：采用传输模式。

tunnel：采用隧道模式。

【描述】

encapsulation-mode命令用来配置安全协议对IP报文的封装形式。undo encapsulation-mode命令用来恢复缺省情况。

缺省情况下，安全协议采用隧道模式对IP报文进行封装。

若要配置应用于IPv6路由协议的手工IPsec安全策略，则该IPsec安全策略引用的安全提议仅支持传输模式的封装模式。

相关配置可参考命令ipsec transform-set。

【举例】

# 配置名为tran1的安全提议采用传输模式对IP报文进行封装。

<Sysname> system-view

[Sysname] ipsec transform-set tran1

[Sysname-ipsec-transform-set-tran1] encapsulation-mode transport

1.1.8  esp authentication-algorithm

【命令】

esp authentication-algorithm { md5 | sha1 }

undo esp authentication-algorithm

【视图】

IPsec安全提议视图

【缺省级别】

2：系统级

【参数】

md5：采用MD5认证算法，密钥长度128位。

sha1：采用SHA-1认证算法，密钥长度160位。

【描述】

esp authentication-algorithm命令用来配置ESP协议采用的认证算法。undo esp authentication-algorithm命令用来配置ESP协议不对报文进行认证。

缺省情况下，未指定ESP协议采用的认证算法。

需要注意的是：

·     MD5算法的计算速度比SHA-1算法快，而SHA-1算法的安全强度比MD5算法高。对于保密及安全性要求较高的地方，建议采用SHA-1算法；对于普通安全需求，采用MD5算法即可。

·     ESP协议采用的加密算法和认证算法不能同时设置为空。当加密算法不为空时，undo esp authentication-algorithm命令才起作用

相关配置可参考命令ipsec transform-set、esp encryption-algorithm。

【举例】

# 配置IPsec安全提议prop1采用ESP协议并使用SHA-1认证算法。

<Sysname> system-view

[Sysname] ipsec transform-set prop1

[Sysname-ipsec-transform-set-prop1] transform esp

[Sysname-ipsec-transform-set-prop1] esp authentication-algorithm sha1

1.1.9  esp encryption-algorithm

【命令】

esp encryption-algorithm { 3des | aes-cbc-128 | aes-cbc-192 | aes-cbc-256 | des }

undo esp encryption-algorithm

【视图】

IPsec安全提议视图

【缺省级别】

2：系统级

【参数】

3des： CBC模式的3DES算法，3DES算法采用168比特的密钥进行加密。

aes-cbc-128：CBC模式的AES算法，密钥长度为128比特。

aes-cbc-192：CBC模式的AES算法，密钥长度为192比特。

aes-cbc-256：CBC模式的AES算法，密钥长度为256比特。

des：CBC模式的DES算法，密钥长度为56比特。

【描述】

esp encryption-algorithm命令用来配置ESP协议采用的加密算法。undo esp encryption-algorithm命令用来恢复缺省情况。

缺省情况下，未指定ESP协议采用的加密算法。

需要注意的是：

·     ESP协议允许对报文同时进行加密和认证，或只加密，或只认证。在实际配置过程中，ESP协议采用的加密算法和认证算法不能同时为空，要求至少指定其中之一。

·     只有配置了ESP协议采用的认证算法的情况下，才允许使用undo esp encryption-algorithm命令取消配置的加密算法。

相关配置可参考命令display ipsec transform-set和esp authentication-algorithm。

【举例】

# 配置IPsec安全提议prop1采用ESP协议并使用3DES加密算法。

<Sysname> system-view

[Sysname] ipsec transform-set prop1

[Sysname-ipsec-transform-set-prop1] transform esp

[Sysname-ipsec-transform-set-prop1] esp encryption-algorithm 3des

1.1.10  ipsec policy (system view)

【命令】

ipsec policy policy-name seq-number [ manual ]

undo ipsec policy policy-name [ seq-number ]

【视图】

系统视图

【缺省级别】

2：系统级

【参数】

policy-name：IPsec安全策略的名字，为1～15个字符的字符串，不区分大小写，不能包括减号“-”。

seq-number：IPsec安全策略的顺序号，取值范围为1～65535。

manual：指定用手工方式建立安全联盟。

【描述】

ipsec policy命令用来创建一条IPsec安全策略，并进入IPsec安全策略视图。undo ipsec policy命令用来删除指定的IPsec安全策略。

缺省情况下，没有任何IPsec安全策略存在。

需要注意的是：

·     使用此命令创建IPsec安全策略时，必须指定协商方式，但进入已创建的IPsec安全策略时，可以不指定协商方式。

·     不能修改已创建的IPsec安全策略的协商方式，只能先删除该IPsec安全策略，再重新创建。

·     具有相同名字的IPsec安全策略一起组成一个IPsec安全策略组。由名字和顺序号一起确定一条唯一的IPsec安全策略。在一个IPsec安全策略组中，顺序号seq-number越小的IPsec安全策略，优先级越高。

·     不带seq-number参数的undo命令用来删除一个IPsec安全策略组。

相关配置可参考命令display ipsec policy。

【举例】

# 配置名字为policy1，顺序号为101，采用手工方式建立安全联盟的IPsec安全策略。

<Sysname> system-view

[Sysname] ipsec policy policy1 101 manual

[Sysname-ipsec-policy-manual-policy1-101]

1.1.11  ipsec transform-set

【命令】

ipsec transform-set transform-set-name

undo ipsec transform-set transform-set-name

【视图】

系统视图

【缺省级别】

2：系统级

【参数】

transform-set-name：指定IPsec安全提议的名字，为1～32个字符的字符串，不区分大小写。

【描述】

ipsec transform-set命令用来创建一个IPsec安全提议，并进入IPsec提议视图。undo ipsec transform-set命令用来删除指定的IPsec安全提议。

缺省情况下，没有任何IPsec安全提议存在。

相关配置可参考命令display ipsec transform-set。

【举例】

# 创建名为tran1的IPsec安全提议，并进入IPsec安全提议视图。

<Sysname> system-view

[Sysname] ipsec transform-set tran1

[Sysname-ipsec-transform-set-tran1]

1.1.12  reset ipsec sa

【命令】

reset ipsec sa [ policy policy-name [ seq-number ] ]

【视图】

用户视图

【缺省级别】

2：系统级

【参数】

policy：指定IPsec安全策略。

policy-name：指定IPsec安全策略名字，为1～15个字符的字符串，区分大小写，字符可以是英文字母或者数字。

seq-number：指定IPsec安全策略的顺序号，取值范围为1～65535。如果不指定seq-number，则是指名字为policy-name的IPsec安全策略组中所有IPsec安全策略。

【描述】

reset ipsec sa命令用来清除已经建立的安全联盟。

如果不指定任何参数，则清除所有的安全联盟。

需要注意的是：通过手工建立的安全联盟被清除后，系统会自动根据对应的手工IPsec安全策略建立新的安全联盟。

相关配置可参考命令display ipsec sa。

【举例】

# 清除所有IPsec SA。

<Sysname> reset ipsec sa

# 清除IPsec安全策略名字为policy1、顺序号为10的IPsec SA。

<Sysname> reset ipsec sa policy policy1 10

1.1.13  reset ipsec statistics

【命令】

reset ipsec statistics

【视图】

用户视图

【缺省级别】

1：监控级

【参数】

无

【描述】

reset ipsec statistics命令用来清除IPsec的报文统计信息，所有的统计信息都被设置成零。

相关配置可参考命令display ipsec statistics。

【举例】

# 清除IPsec的报文统计信息。

<Sysname> reset ipsec statistics

1.1.14  sa authentication-hex

【命令】

sa authentication-hex { inbound | outbound } { ah | esp } [ cipher string-key | simple hex-key ]

undo sa authentication-hex { inbound | outbound } { ah | esp }

【视图】

IPsec安全策略视图

【缺省级别】

2：系统级

【参数】

inbound：入方向，IPsec使用入方向安全联盟处理接收的报文。

outbound：出方向，IPsec使用出方向安全联盟处理发送的报文。

ah：采用AH协议。

esp：采用ESP协议。

cipher string-key ：表示以密文方式设置认证密钥。string-key为1～117个字符的字符串，区分大小写。

simple hex-key：表示以明文方式设置认证密钥。hex-key为以十六进制格式输入的明文密钥，不区分大小写，对于不同的算法，密钥长度不同（MD5：16字节；SHA1：20字节；SHA2：32字节；AES-XBC-MAC：16字节）。

不指定cipher或simple时，表示以明文方式设置认证密钥。

【描述】

sa authentication-hex命令用来对配置安全联盟的认证密钥。undo sa authentication-hex命令用来删除配置的安全联盟的认证密钥。

需要注意的是：

·     此命令仅用于manual方式的IPsec安全策略。

·     在配置manual方式的IPsec安全策略时，必须分别配置inbound和outbound两个方向安全联盟的参数。

·     在安全隧道的两端设置的安全联盟参数必须是完全匹配的。本端的入方向安全联盟的密钥必须和对端的出方向安全联盟的密钥一样；本端的出方向安全联盟密钥必须和对端的入方向安全联盟的密钥一样。

·     在安全隧道的两端，应当以相同的方式输入密钥。如果一端以字符串方式输入密钥，另一端以16进制方式输入密钥，则不能通讯。而且，任何一端出入方向的SA使用的密钥也应当以相同的方式输入。

·     以明文或密文方式设置的认证密钥，均以密文的方式保存在配置文件中。

相关配置可参考命令ipsec policy (System view)。

【举例】

# 配置采用AH协议的入方向安全联盟的认证密钥为明文的0x112233445566778899aabbccddeeff00；出方向安全联盟的认证密钥为明文的0x112233445566778899aabbccddeeff00。

<Sysname> system-view

[Sysname] ipsec policy policy1 100 manual

[Sysname-ipsec-policy-manual-policy1-100] sa authentication-hex inbound ah simple
112233445566778899aabbccddeeff00

[Sysname-ipsec-policy-manual-policy1-100] sa authentication-hex outbound ah simple
112233445566778899aabbccddeeff00

1.1.15  sa encryption-hex

【命令】

sa encryption-hex { inbound | outbound } esp [ cipher string-key | simple hex-key ]

undo sa encryption-hex { inbound | outbound } esp

【视图】

IPsec安全策略视图

【缺省级别】

2：系统级

【参数】

inbound：入方向，IPsec使用入方向安全联盟处理接收的报文。

outbound：出方向，IPsec使用出方向安全联盟处理发送的报文。

esp：采用ESP协议。

cipher string-key ：表示以密文方式设置加密密钥。string-key为1～117个字符的字符串，区分大小写。

simple hex-key：表示以明文方式设置加密密钥。hex-key为以十六进制格式输入的明文密钥，不区分大小写，对于不同的算法，密钥长度不同（DES-CBC：8字节；3DES-CBC：24字节；AES128-CBC：16字节；AES192-CBC：24字节；AES256-CBC：32字节；AESCTR-128：20字节；camellia128-CBC：16字节；camellia192-CBC：24字节；camellia256-CBC：32字节）。

不指定cipher或simple时，表示以明文方式设置加密密钥。

【描述】

sa encryption-hex命令用来配置安全联盟的加密密钥参数。undo sa encryption-hex命令用来删除配置的安全联盟的加密密钥参数。

需要注意的是：

·     在配置IPsec安全策略时，必须分别配置inbound和outbound两个方向安全联盟的参数。

·     在安全隧道的两端设置的安全联盟参数必须是完全匹配的。本端的入方向安全联盟的加密密钥必须和对端的出方向安全联盟的加密密钥一样；本端的出方向安全联盟的加密密钥必须和对端的入方向安全联盟的加密密钥一样。

·     在安全隧道的两端，应当以相同的方式输入密钥。如果一端以字符串方式输入密钥，另一端以16进制方式输入密钥，则不能通讯。而且，任何一端出入方向的SA使用的密钥也应当以相同的方式输入。

·     以明文或密文方式设置的认证密钥，均以密文的方式保存在配置文件中。

相关配置可参考命令ipsec policy (System view)。

【举例】

# 配置采用ESP协议的入方向安全联盟的加密算法的密钥为明文0x1234567890abcdef；出方向加密算法的密钥为明文1234567890abcdef。

<Sysname> system-view

[Sysname] ipsec policy policy1 100 manual

[Sysname-ipsec-policy-manual-policy1-100] sa encryption-hex inbound esp 1234567890abcdef

[Sysname-ipsec-policy-manual-policy1-100] sa encryption-hex outbound esp 1234567890abcdef

1.1.16  sa spi

【命令】

sa spi { inbound | outbound } { ah | esp } spi-number

undo sa spi { inbound | outbound } { ah | esp }

【视图】

IPsec安全策略视图

【缺省级别】

2：系统级

【参数】

inbound：入方向，IPsec使用入方向安全联盟处理接收的报文。

outbound：出方向，IPsec使用出方向安全联盟处理发送的报文。

ah：采用AH协议。

esp：采用ESP协议。

spi-number：安全联盟三元组标识中的安全参数索引，取值范围为256～4294967295。

【描述】

sa spi命令用来配置安全联盟的安全参数索引参数。undo sa spi命令用来删除配置的安全联盟的安全参数索引参数。

缺省情况下，不存在SA的安全参数索引。

需要注意的是：

·     此命令仅用于manual方式的IPsec安全策略。

·     在配置IPsec安全策略时，必须分别配置inbound和outbound两个方向安全联盟的参数。配置基于ACL的IPsec手工安全策略时，必须保证SA的唯一性，即不同SA对应不同的SPI。

·     在安全隧道的两端设置的安全联盟参数必须是完全匹配的。本端的入方向安全联盟的SPI必须和对端的出方向安全联盟的SPI一样；本端的出方向安全联盟的SPI必须和对端的入方向安全联盟的SPI一样。

在配置应用于IPv6路由协议的IPsec安全策略时，还需要注意的是：

·     本端出方向SA的SPI必须和本端入方向SA的SPI保持一致；

·     同一个范围内的，所有设备上的SA的SPI均要保持一致。该范围内容与协议相关：对于OSPF，是OSPF邻居之间或邻居所在的区域；对于RIPng，是RIPng直连邻居之间或邻居所在的进程；对于BGP，是BGP邻居之间或邻居所在的一个组。

相关配置可参考命令ipsec policy (System view)。

【举例】

# 配置入方向安全联盟的SPI为10000，出方向安全联盟的SPI为10000。

<Sysname> system-view

[Sysname] ipsec policy policy1 100 manual

[Sysname-ipsec-policy-manual-policy1-100] sa spi inbound ah 10000

[Sysname-ipsec-policy-manual-policy1-100] sa spi outbound ah 10000

1.1.17  sa string-key

【命令】

sa string-key { inbound | outbound } { ah | esp } [ cipher | simple ] string-key

undo sa string-key { inbound | outbound } { ah | esp }

【视图】

IPsec安全策略视图

【缺省级别】

2：系统级

【参数】

inbound：入方向，IPsec使用入方向安全联盟处理接收的报文。

outbound：出方向，IPsec使用出方向安全联盟处理发送的报文。

ah：采用AH协议。

esp：采用ESP协议。

cipher：表示以密文方式设置密钥。

simple：表示以明文方式设置密钥。

string-key：设置的明文密钥或密文密钥，区分大小写。明文密钥为1～255个字符的字符串；密文密钥为1～373个字符的字符串。不指定cipher或simple时，表示以明文方式设置密钥。对不同的算法，均可输入不超过长度范围的字符串，系统会根据输入的字符串自动生成符合算法要求的密钥。对于ESP协议，系统会自动地同时生成认证算法的密钥和加密算法的密钥。

【描述】

sa string-key命令用来配置安全联盟的密钥。undo sa string-key命令用来删除配置的安全联盟的密钥。

需要注意的是：

·     此命令仅用于manual方式的IPsec安全策略。

·     在配置IPsec安全策略时，必须分别配置inbound和outbound两个方向安全联盟的参数。

·     在安全隧道的两端设置的安全联盟参数必须是完全匹配的。本端入方向安全联盟的密钥必须和对端出方向安全联盟的密钥一样；本端出方向安全联盟的密钥必须和对端入方向安全联盟的密钥一样。

·     在安全隧道的两端，应当以相同的方式输入密钥。如果一端以字符串方式输入密钥，另一端以16进制方式输入密钥，则不能正确地建立安全隧道。

·     以明文或密文方式设置的密钥，均以密文的方式保存在配置文件中。

在配置应用于IPv6路由协议的IPsec安全策略时，还需要注意的是：

·     本端出方向SA的密钥必须和本端入方向SA的密钥保持一致；

·     同一个范围内的，所有设备上的SA的密钥均要保持一致。该范围内容与协议相关：对于OSPF，是OSPF邻居之间或邻居所在的区域；对于RIPng，是RIPng直连邻居之间或邻居所在的进程；对于BGP，是BGP邻居之间或邻居所在的一个组。

相关配置可参考命令ipsec policy (System view)。

【举例】

# 配置采用AH协议的入方向安全联盟的密钥为明文字符串abcdef；出方向安全联盟的密钥为明文字符串efcdab。

<Sysname> system-view

[Sysname] ipsec policy policy1 100 manual

[Sysname-ipsec-policy-manual-policy1-100] sa string-key inbound ah simple abcdef

[Sysname-ipsec-policy-manual-policy1-100] sa string-key outbound ah simple efcdab

# 在要应用于IPv6路由协议的IPsec安全策略中，配置采用AH协议的入方向安全联盟的密钥为明文字符串abcdef；出方向安全联盟的密钥为明文字符串abcdef。

<Sysname> system-view

[Sysname] ipsec policy policy1 100 manual

[Sysname-ipsec-policy-manual-policy1-100] sa string-key inbound ah simple abcdef

[Sysname-ipsec-policy-manual-policy1-100] sa string-key outbound ah simple abcdef

1.1.18  transform

【命令】

transform { ah | ah-esp | esp }

undo transform

【视图】

安全提议视图

【缺省级别】

2：系统级

【参数】

ah：采用AH协议。

ah-esp：先用ESP协议对报文进行保护，再用AH协议进行保护。

esp：采用ESP协议。

【描述】

transform命令用来配置提议采用的安全协议。undo transform命令用来恢复缺省情况。

缺省情况下，采用ESP协议。

需要注意的是，在安全隧道的两端，IPsec提议所使用的安全协议需要匹配。

相关配置可参考命令ipsec transform-set。

【举例】

# 配置一个采用AH协议的提议。

<Sysname> system-view

[Sysname] ipsec transform-set prop1

[Sysname-ipsec-transform-set-prop1] transform ah

1.1.19  transform-set

【命令】

transform-set transform-set-name

undo transform-set [ transform-name-set ]

【视图】

IPsec安全策略视图

【缺省级别】

2：系统级

【参数】

transform-set-name：所采用的提议名字，为1～32个字符的字符串。

【描述】

transform-set命令用来配置IPsec安全策略所引用的IPsec安全提议。undo transform-set命令用来取消IPsec安全策略引用的IPsec安全提议。

缺省情况下，IPsec安全策略没有引用任何IPsec安全提议。

需要注意的是：

·     引用的IPsec安全提议必须已经存在。

·     如果IPsec安全策略是手工（manual）方式的，则IPsec安全策略在引用提议时只能指定一个IPsec安全提议。如果需要改变已配置好的IPsec安全提议，必须先使用命令undo transform-set取消原先的IPsec安全提议，再配置新的IPsec安全提议。

相关配置可参考命令ipsec transform-set和ipsec policy (System view)。

【举例】

# 配置IPsec安全策略引用名字为tran1的IPsec安全提议。

<Sysname> system-view

[Sysname] ipsec transform-set tran1

[Sysname-ipsec-transform-set-tran1] quit

[Sysname] ipsec policy policy1 100 manual

[Sysname-ipsec-policy-manual-policy1-100] transform-set tran1