参数

说明

策略名称

IPsec策略的名称，一个设备可以存在多条策略，策略名称用于本地区分IPsec策略

优先级

IPsec策略的顺序号，一个IPsec策略是若干具有相同名称、不同顺序号的IPsec策略表项的集合。在同一个IPsec策略中，顺序号越小的IPsec策略表项优先级越高，流量需要匹配IPsec策略时会从顺序号小的IPsec策略开始匹配，匹配到了就会进入IPsec隧道转发

设备角色

表示该设备在IPsec组网中的角色，取值包括：

·     对端/分支节点：点到多点组网的分支设备是分支节点，点到点组网的设备是对等节点

·     中心节点：点到多点组网的中心设备是中心节点

IP地址类型

建立IPsec隧道的本端地址类型，取值包括：

·     IPv4：地址类型为IPv4

·     IPv6：地址类型为IPv6

智能选路

配置是否开启智能选路功能

IPsec智能选路功能（IPsec Smart Link）在有多条可使用的链路能够到达目的网络的情况下，实时的自动探测链路的时延、丢包率，动态切换到满足通信质量要求的链路上建立IPsec隧道。IPv6地址不支持智能选路

接口

指定应用该IPsec策略的接口。如果开启了智能选路功能，需要将本端待选择接口都添加进去，供智能选路选择

本端地址

指定应用该IPsec策略接口的IP地址。如果开启了智能选路功能，需要将本端待选择接口的IP地址都添加进去，供智能选路选择

对端IP地址/主机名

指定IPsec隧道的对端IP地址/主机名。如果开启了智能选路，需要将对端接口的IP地址都添加进去

描述

IPsec策略的描述信息，方便网络管理人员了解策略的使用目的

参数

说明

协商模式

IKE协商模式，取值包括：

·     主模式：强制使用主模式协商，主模式更安全

·     野蛮模式：强制使用野蛮模式协商，野蛮模式更快速

·     国密主模式：必须使用RSA-DE或者SM2-DE数字信封方式认证的认证方式，协商方式与主模式一致，安全性更高

认证方式

IKE认证方式，取值包括：

·     预共享密钥：手动分配所需的共享密钥的认证方式。点到点对等体的预共享密钥必须一致

·     数字认证：通信双方使用由CA颁发的数字证书向对端证明自己的身份。不需要配置预共享密钥，需要额外配置PKI域和证书访问策略，有关PKI域和证书访问策略配置，请参考PKI联机帮助

预共享密钥

选择认证方式为预共享密钥需要配置。需要保证点到点对等体的预共享密钥一致

PKI域

选择认证方式为数字认证需要配置。PKI是利用公钥理论和技术来实现并提供信息安全服务的具有通用性的安全基础设施，有关PKI的配置，请参考PKI联机帮助

证书访问策略

选择认证方式为数字认证可以配置。通过配置证书的访问控制策略，可以对安全应用中的用户访问权限进行进一步的控制，保证了与之通信的服务器端的安全性，有关证书访问策略配置，请参考PKI联机帮助

IKE提议

IKE定义了一套属性数据来描述IKE第一阶段使用怎样的参数来与对端进行协商，这套属性称为IKE提议，取值如下：

·     新建IKE提议：新建IKE提议，参数需与对端设备保持一致

·     NONE：不配置IKE提议，使用默认提议与对端协商

本端ID

本端ID用于标识本端设备的身份，供对端设备认证自身的合法性。类型与值都需要与对端设备上配置的“对端ID”参数保持一致，取值包括：

·     IPV4地址：本端接口的IPV4地址

·     IPV6地址：本端接口的IPV6地址

·     FQDN： Fully Qualified Domain Name，完全合格域名

·     User-FQDN：本端用户FQDN

对端ID

对端ID用于认证对端设备的身份，此参数需要向对端管理员获取。类型与值都需要与对端设备上设置的“本端ID”参数保持一致，取值包括：

·     IPV4地址：对端接口的IPV4地址

·     IPV6地址：对端接口的IPV6地址

·     FQDN： Fully Qualified Domain Name，完全合格域名

·     User-FQDN：对端用户FQDN

参数

说明

VRF

受保护的数据流按照何种路由转发，取值包括：

·     公网：数据流按照设备的公网路由转发

·     新建VRF：数据流按照设备的VPN路由转发，需在弹出的“新建VRF”页面填写该VPN信息，有关新建VRF的配置，请参考VRF联机帮助

源IP地址

受保护数据流的源IP地址。可以是地址也可以是地址段，如果不限制则填写any

目的IP地址

受保护数据流的目的IP地址。可以是地址也可以是地址段，如果不限制则填写any

协议

受保护数据流的协议类型，取值包括：

·     any：允许任意协议受到保护

·     TCP：允许TCP协议受到保护

·     UDP：允许UDP协议受到保护

·     ICMP：允许ICMP协议受到保护

动作

选择对满足上述条件的数据流进行处理，取值包括：

·     保护：表示允许该数据流进入隧道

·     不保护：表示不允许该数据流进入隧道

触发模式

选择IPsec隧道建立的触发方式，取值包括：

·     流量触发：仅在有对应的保护流量通过时才会与对端协商建立IPsec隧道

·     自动触发：在配置完成后就与对端协商建立IPsec隧道

参数

说明

封装模式

IPsec报文的封装模式，取值包括：

·     隧道模式：该模式下的安全协议用于保护整个IP数据包

·     传输模式：该模式下的安全协议用于保护IP协议层以上的数据

安全协议

IPsec对保护的报文采用何种封装格式以及安全服务，取值包括：

·     ESP：提供对报文载荷部分的认证和加密功能，认证能力不如AH

·     AH：提供对整个报文的认证能力，但没有加密能力，无法防止窃听

·     AH-ESP：提供对整个报文的认证和加密功能，提高了整体的安全性

ESP认证算法

ESP协议的认证算法，安全协议选择ESP或者AH-ESP需要配置，配置的ESP认证算法类型需与对端保持一致，取值包括：

·     md5：采用HMAC-MD5-96认证算法

·     sha1：采用HMAC-SHA1-96认证算法

·     sha256：采用HMAC-SHA-256认证算法

·     sha384：采用HMAC-SHA-384认证算法

·     sha512：采用HMAC-SHA-512认证算法

·     sm3：采用HMAC-SM3-96认证算法

ESP加密算法

ESP协议的加密算法，安全协议选择ESP或者AH-ESP需要配置，配置的ESP加密算法类型需与对端保持一致，取值包括：

·     3des-cbc：采用CBC模式的3DES算法

·     aes-cbc-128：采用CBC模式的AES算法

·     aes-cbc-192：采用CBC模式的AES算法

·     aes-cbc-256：采用CBC模式的AES算法

·     des-cbc：采用CBC模式的DES算法

·     null：采用NULL加密算法，表示不进行加密

·     sm1-cbc-128：采用CBC模式的SM1算法，本参数仅适用于IKEv1协商

·     sm4-cbc：采用CBC模式的SM4算法，本参数仅适用于IKEv1协商

AH认证算法

AH协议的认证算法，安全协议选择AH或者AH-ESP需要配置，配置的AH认证算法类型需与对端保持一致，取值包括：

·     md5：采用HMAC-MD5-96认证算法

·     sha1：采用HMAC-SHA1-96认证算法

·     sha256：采用HMAC-SHA-256认证算法

·     sha384：采用HMAC-SHA-384认证算法

·     sha512：采用HMAC-SHA-512认证算法

·     sm3：采用HMAC-SM3-96认证算法，本参数仅适用于IKEv1协商

PFS

PFS（Perfect Forward Secrecy，完善的前向安全性）是一种安全特性，它解决了密钥之间相互无关性的需求。组号越大密钥越长，安全性越高，但计算时间也越长。取值包括：

·     dh-group1：采用768-bit Diffie-Hellman组

·     dh-group2：采用1024-bit Diffie-Hellman组

·     dh-group5：采用1536-bit Diffie-Hellman组

·     dh-group14：采用2048-bit Diffie-Hellman组

·     dh-group24：采用2048-bit和256_bit子群Diffie-Hellman组

IPsec SA生存时间

只要IPsec SA存在时间或者保护流量达到设定值，该条IPsec SA就会失效，取值包括：

·     基于时间：IPsec SA存在时间的设定值

·     基于流量：IPsec SA保护流量的设定值

IPsec SA空闲超时时间

在指定时间内未接收到需要保护的流量，则删除IPsec SA

DPD检测

Dead Peer Detection，对等体存活检测，在超时重传时间内主动检测对端是否存活，取值包括：

·     按需检测：指定按需探测模式，根据流量来探测对端是否存活

·     按时检测：指定定时探测模式，按照触发IKE DPD探测的时间间隔定时探测对端是否存活

·     检测时间间隔：指定触发IKE DPD探测的时间间隔

·     重传时间间隔：指定DPD报文的重传时间间隔

内网VRF

IPsec对等体的地址包含在哪种路由表中，取值包括：

·     公网：IPsec对等体的地址包含在公网路由表

·     新建VRF：IPsec对等体的地址包含在VPN路由表，需在弹出的“新建VRF”页面填写该VPN信息，有关新建VRF的配置，请参考VRF联机帮助

QoS预分类

开启后QoS基于原始报文的IP头部QoS信息进行分类，关闭则基于封装后的外层IP头部Qos信息进行分类

参数

说明

策略名称

IPsec策略的名称，一个设备可以存在多条策略，策略名称用于本地区分IPsec策略

优先级

IPsec策略的顺序号，一个IPsec策略是若干具有相同名称、不同顺序号的IPsec策略表项的集合。在同一个IPsec策略中，顺序号越小的IPsec策略表项优先级越高，流量需要匹配IPsec策略时会从顺序号小的IPsec策略开始匹配，匹配到了就会进入IPsec隧道转发

设备角色

表示该设备在IPsec组网中的角色，取值包括：

·     对端/分支节点：点到多点组网的分支设备是分支节点，点到点组网的设备是对等节点

·     中心节点：点到多点组网的中心设备是中心节点

IP地址类型

建立IPsec隧道的本端地址类型，取值包括：

·     IPv4：地址类型为IPv4

·     IPv6：地址类型为IPv6

接口

指定应用该IPsec策略的接口。

本端地址

指定应用该IPsec策略接口的IP地址。

描述

IPsec策略的描述信息，方便网络管理人员了解策略的使用目的

参数

说明

协商模式

IKE协商模式，取值包括：

·     主模式：强制使用主模式协商，主模式更安全

·     野蛮模式：强制使用野蛮模式协商，野蛮模式更快速

·     国密主模式：必须使用RSA-DE或者SM2-DE数字信封方式认证的认证方式，协商方式与主模式一致，安全性更高

预共享密钥

分支节点认证方式为预共享密钥时需要配置，需要保证点到多点对等体的预共享密钥一致

PKI域

分支节点选择认证方式为数字认证需要配置。PKI是利用公钥理论和技术来实现并提供信息安全服务的具有通用性的安全基础设施，有关PKI的配置，请参考PKI联机帮助

证书访问策略

分支节点选择认证方式为数字认证可以配置。通过配置证书的访问控制策略，可以对安全应用中的用户访问权限进行进一步的控制，保证了与之通信的服务器端的安全性，有关证书访问策略配置，请参考PKI联机帮助

IKE提议

IKE定义了一套属性数据来描述IKE第一阶段使用怎样的参数来与对端进行协商，这套属性称为IKE提议，取值如下：

·     新建IKE提议：新建IKE提议，参数需与对端设备保持一致

·     NONE：不配置IKE提议，使用默认提议与对端协商

本端ID

本端ID用于标识本端设备的身份，供对端设备认证自身的合法性。需要与对端设备上设置的“对端ID”参数保持一致

·     IPV4地址：本端接口的IPV4地址

·     IPV6地址：本端接口的IPV6地址

·     FQDN： Fully Qualified Domain Name，完全合格域名

·     User-FQDN：本端用户FQDN

参数

说明

封装模式

IPsec报文的封装模式，取值包括：

·     隧道模式：该模式下的安全协议用于保护整个IP数据包

·     传输模式：该模式下的安全协议用于保护IP协议层以上的数据

安全协议

IPsec对保护的报文采用何种封装格式以及安全服务，取值包括：

·     ESP：提供对报文载荷部分的认证和加密功能，认证能力不如AH

·     AH：提供对整个报文的认证能力，但没有加密能力，无法防止窃听

·     AH-ESP：提供对整个报文的认证和加密功能，提高了整体的安全性

ESP认证算法

ESP协议的认证算法，安全协议选择ESP或者AH-ESP需要配置，配置的ESP认证算法类型需与对端保持一致，取值包括：

·     md5：采用HMAC-MD5-96认证算法

·     sha1：采用HMAC-SHA1-96认证算法

·     sha256：采用HMAC-SHA-256认证算法

·     sha384：采用HMAC-SHA-384认证算法

·     sha512：采用HMAC-SHA-512认证算法

·     sm3：采用HMAC-SM3-96认证算法

ESP加密算法

ESP协议的加密算法，安全协议选择ESP或者AH-ESP需要配置，配置的ESP加密算法类型需与对端保持一致，取值包括：

·     3des-cbc：采用CBC模式的3DES算法

·     aes-cbc-128：采用CBC模式的AES算法

·     aes-cbc-192：采用CBC模式的AES算法

·     aes-cbc-256：采用CBC模式的AES算法

·     des-cbc：采用CBC模式的DES算法

·     null：采用NULL加密算法，表示不进行加密

·     sm1-cbc-128：采用CBC模式的SM1算法，本参数仅适用于IKEv1协商

·     sm4-cbc：采用CBC模式的SM4算法，本参数仅适用于IKEv1协商

AH认证算法

AH协议的认证算法，安全协议选择AH或者AH-ESP需要配置，配置的AH认证算法类型需与对端保持一致，取值包括：

·     md5：采用HMAC-MD5-96认证算法

·     sha1：采用HMAC-SHA1-96认证算法

·     sha256：采用HMAC-SHA-256认证算法

·     sha384：采用HMAC-SHA-384认证算法

·     sha512：采用HMAC-SHA-512认证算法

·     sm3：采用HMAC-SM3-96认证算法，本参数仅适用于IKEv1协商

PFS

PFS（Perfect Forward Secrecy，完善的前向安全性）是一种安全特性，它解决了密钥之间相互无关性的需求。组号越大密钥越长，安全性越高，但计算时间也越长。取值包括：

·     dh-group1：采用768-bit Diffie-Hellman组

·     dh-group2：采用1024-bit Diffie-Hellman组

·     dh-group5：采用1536-bit Diffie-Hellman组

·     dh-group14：采用2048-bit Diffie-Hellman组

·     dh-group24：采用2048-bit和256_bit子群Diffie-Hellman组

IPsec SA生存时间

只要IPsec SA存在时间或者保护流量达到设定值，该条IPsec SA就会失效，取值包括：

·     基于时间：IPsec SA存在时间的设定值

·     基于流量：IPsec SA保护流量的设定值

IPsec SA空闲超时时间

在指定时间内未接收到需要保护的流量，则删除IPsec SA

DPD检测

Dead Peer Detection，对等体存活检测，在超时重传时间内主动检测对端是否存活，取值包括：

·     按需检测：指定按需探测模式，根据流量来探测对端是否存活

·     按时检测：指定定时探测模式，按照触发IKE DPD探测的时间间隔定时探测对端是否存活

·     检测时间间隔：指定触发IKE DPD探测的时间间隔

·     重传时间间隔：指定DPD报文的重传时间间隔

内网VRF

IPsec对等体的地址包含在哪种路由表中，取值包括：

·     公网：IPsec对等体的地址包含在公网路由表

·     新建VRF：IPsec对等体的地址包含在VPN路由表，需在弹出的“新建VRF”页面填写该VPN信息，有关新建VRF的配置，请参考VRF联机帮助

QoS预分类

开启后QoS基于原始报文的IP头部QoS信息进行分类，关闭则基于封装后的外层IP头部Qos信息进行分类

参数

说明

优先级

IKE提议的优先级，协商响应方以对端发送的IKE提议优先级，按照从高到低的顺序与本端所有的IKE提议进行匹配，直到找到一个匹配的提议来使用。匹配的IKE提议将被用来建立IKE SA

认证方式

IKE提议使用的认证方式，取值包括：

·     预共享密钥：指定认证方法为预共享密钥方法

·     RSA数字签名：指定认证方法为RSA数字签名方法

·     DSA数字签名：指定认证方法为DSA数字签名方法

·     RSA数字信封：指定认证方法为RSA数字信封方法

·     SM2数字信封：指定认证方法为SM2数字信封方法

认证算法

IKE提议使用的认证算法，取值包括：

·     md5：指定认证算法为HMAC-MD5

·     sha：指定认证算法为HMAC-SHA1

·     sha256：指定认证算法为HMAC-SHA256

·     sha384：指定认证算法为HMAC-SHA384

·     sha512：指定认证算法为HMAC-SHA512

·     sm3：指定认证算法为HMAC-SM3

加密算法

IKE提议使用的加密算法，取值包括：

·     3des-cbc：指定IKE安全提议采用的加密算法为CBC模式的3DES算法，3DES算法采用168比特的密钥进行加密

·     aes-cbc-128：指定IKE安全提议采用的加密算法为CBC模式的AES算法，AES算法采用128比特的密钥进行加密

·     aes-cbc-192：指定IKE安全提议采用的加密算法为CBC模式的AES算法，AES算法采用192比特的密钥进行加密

·     aes-cbc-256：指定IKE安全提议采用的加密算法为CBC模式的AES算法，AES算法采用256比特的密钥进行加密

·     des-cbc：指定IKE安全提议采用的加密算法为CBC模式的DES算法，DES算法采用56比特的密钥进行加密

·     sm1-cbc-128：指定IKE安全提议采用的加密算法为CBC模式的SM1算法，SM1算法采用128比特的密钥进行加密

·     sm4-cbc：指定IKE安全提议采用的加密算法为CBC模式的SM4算法，SM4算法采用128比特的密钥进行加密

DH

IKE一阶段密钥协商时所使用的DH密钥交换参数,取值包括：

·     group1：指定阶段1密钥协商时采用768-bit的Diffie-Hellman group

·     group2：指定阶段1密钥协商时采用1024-bit的Diffie-Hellman group

·     group5：指定阶段1密钥协商时采用1536-bit的Diffie-Hellman group

·     group14：指定阶段1密钥协商时采用2048-bit的Diffie-Hellman group

·     group24：指定阶段1密钥协商时采用含256-bit的sub-group的2048-bit Diffie-Hellman group

IKE SA生存周期

IKE提议的IKE SA存活时间

参数

说明

DPD检测

本功能用于检测对端是否存活

检测方式

DPD的检测方式，取值包括：

·     按需检测：在本端需要发送报文时触发探测

·     定时检测：定时触发探测

检测时间间隔

触发IKE DPD探测的时间间隔，有如下两种方式：

·     对于按需探测模式，指定经过多长时间没有从对端收到IPsec报文，则触发一次DPD探测

·     对于定时探测模式，指触发一次DPD探测的时间间隔

重传时间间隔

DPD报文的重传时间间隔

开启针对无效IPsec SPI的IKE SA恢复功能

SA由SPI唯一标识，接收方根据IPsec报文中的SPI在SA数据库中查找对应的IPsec SA，若接收方找不到处理该报文的IPsec SA，则认为此报文的SPI无效。如果接收端当前存在IKE SA，则会向对端发送删除对应IPsec SA的通知消息，如果接收端当前不存在IKE SA，就不会触发本端向对端发送删除IPsec SA的通知消息，如果开启了IPsec无效SPI恢复IKE SA功能，就会触发本端与对端协商新的IKE SA并发送删除消息给对端，从而使链路恢复正常。通常情况下，建议关闭针对无效IPsec SPI的IKE SA恢复功能

发送Keepalive报文的时间间隔

IKE SA向对端发送IKE Keepalive报文的时间间隔

Keepalive报文的超时时间

本端等待对端发送IKE Keepalive报文的超时时间

发送NAT Keepalive报文的时间间隔

仅需在NAT之后的设备上进行配置。NAT之后的IKE网关设备需要定时向NAT之外的IKE网关设备发送NAT Keepalive报文，以便维持NAT设备上对应的IPsec流量的会话存活，从而让NAT之外的设备可以访问NAT之后的设备。需要确保配置的时间小于NAT设备上会话表项的存活时间

IKE SA最大数

允许建立的IKE SA的最大数

同时处于协商状态的IKE SA和IPsec SA的最大总和数

同时处于协商状态的IKE SA和IPsec SA的最大总和数，建议参考设备实际性能进行配置，以充分利用设备处理能力

本端ID

本端身份信息，用于在IKE认证协商阶段向对端标识自己的身份，取值包括：

·     NONE：表示未配置本端ID，此时使用系统视图下ike identity命令配置的身份信息作为本端身份信息。若没有配置，则使用IP地址标识本端的身份，该IP地址为IPsec安全策略应用的接口的IP地址

·     IPv4地址：标识本端身份的IPv4地址

·     IPv6地址：标识本端身份的IPv6地址

·     FQDN：标识本端身份的FQDN名称

·     User-FQDN：标识本端身份的user FQDN名称

·     DN：使用从本端数字证书中获得的DN名作为本端身份

参数

说明

根据保护数据流的范围检查解封装后的IPsec报文

开启该功能后可以保证ACL检查不通过的报文被丢弃，从而提高网络安全性

记录报文日志

开启IPsec报文日志记录功能后，设备会在丢弃IPsec报文的情况下输出相应的日志信息

开启抗重放检测功能

开启IPsec抗重放检测功能，将检测到的重放报文在解封装处理之前丢弃，可以降低设备资源的消耗

抗重放窗口宽度

抗重放检测功能允许接收报文的窗口宽度

开启冗余备份功能

开启冗余备份功能后，当发生主备切换时，可以保证主备IPsec流量不中断和抗重放保护不间断

分片处理

IPsec分片处理，有如下两种方式：

·     加密前分片：设备会在报文分片前判断报文在经过IPsec封装之后大小是否会超过发送接口的MTU值，如果该报文的DF位被置位。那么设备会丢弃该报文，并发送ICMP差错控制报文

·     加密后分片：无论报文封装后大小是否超过发送接口的MTU值，设备会直接对其先进行IPsec封装处理，再由后续业务对其进行分片

设置外层IP头的DF位

本功能用来为所有接口设置IPsec封装后外层IP头的DF位,取值包括：

·     CLEAR：表示清除外层IP头的DF位，IPsec封装后的报文可被分片

·     COPY：表示外层IP头的DF位从原始报文IP头中拷贝

·     SET：表示设置外层IP头的DF位，IPsec封装后的报文不能分片

IPsec SA空闲超时时间

全局IPsec SA空闲超时时间

IPsec SA生存时间

只要IPsec SA存在时间或者保护流量达到设定值，该条IPsec SA就会失效

基于时间

IPsec SA存在时间的设定值

基于流量

IPsec SA保护流量的设定值

IPsec隧道最大数

本端允许建立IPsec隧道的最大数，内存充足时可以设置较大的数值，提高IPsec的并发性能；内存不足时可以设置较小的数值，降低IPsec占用内存的资源