在运行 Junos OS 的设备上配置 VPN

本节介绍使用以下 IKE 身份验证方法在 Junos OS 设备上的 IPsec VPN 配置示例：

在运行 Junos OS 的设备上配置 VPN 概述

本节介绍使用以下 IKE 身份验证方法在 Junos OS 设备上的 IPsec VPN 配置示例：

图 1 说明了本节所述所有示例中使用的 VPN 拓扑。在这里，H0 和 H1 是主机 PC，R0 和 R2 是 IPsec VPN 隧道的两个端点，R1 是在两个不同网络之间路由流量的路由器。

注意：

路由器 R1 可以是基于 Linux 的路由器、瞻博网络设备或任何其他供应商路由器。
图 1：VPN 拓扑 VPN Topology

表 1 提供了支持的 IKE 协议、隧道模式、第 1 阶段协商模式、身份验证方法或算法、加密算法、IKE 身份验证和加密（第 1 阶段，IKE 建议）以及 IPsec 身份验证和加密（第 2 阶段，IPsec 建议）支持的 DH 组的完整列表。列出的协议、模式和算法是 22.2 R1 通用标准支持和必需的。

表 1：VPN 组合矩阵

IKE 协议

隧道模式

第 1 阶段协商模式

第 1 阶段提案（P1、IKE）

身份验证方法

身份验证算法

DH集团

加密算法

IKEv1

主要

路线

预共享密钥

SHA-256

组14

IKEv2

    

RSA 签名-2048

SHA-384

组19

AES-128-CBC
     

ECDSA 签名-256

  

组20

AES-128-GCM
     

ECDSA 签名-384

  

组24

AES-192-CBC
           

AES-256-CBC
           

AES-256-GCM
             

IKE 协议

隧道模式

第 1 阶段协商模式

第 2 阶段提议（P2、IPsec）

身份验证算法

卫生署集团

加密方法

加密算法

IKEv1

主要

路线

HMAC-SHA1-96

组14

Esp

3DES-CBC

IKEv2

    

HMAC-SHA-256-128

组19

  

AES-128-CBC
       

组20

  

AES-128-GCM
       

组24

  

AES-192-CBC
           

AES-192-GCM
           

AES-256-CBC
           

AES-256-GCM
注意：

以下部分提供了所选算法的 IKEv1 IPsec VPN 示例配置示例。可以在配置中替换身份验证和加密算法，以实现用户所需的配置。将命令用于 set security ike gateway <gw-name> version v2-only IKEv2 IPsec VPN。

使用用于 IKE 身份验证的预共享密钥配置 IPsec VPN

在本节中，您将使用预共享密钥作为 IKE 身份验证方法，配置运行 IPsec VPN Junos OS 的设备。IKE 或 IPsec 身份验证或加密中使用的算法如表 2 所示

表 2：IKE 或 IPsec 身份验证和加密

IKE 协议

隧道模式

第 1 阶段协商模式

第 1 阶段提案（P1、IKE）

身份验证方法

身份验证算法

DH集团

加密算法

IKEv1

主要

路线

预共享密钥

SHA-256

组14

AES-256-CBC

IKE 协议

隧道模式

第 1 阶段协商模式

第 2 阶段提议（P2、IPsec）

身份验证算法

卫生署集团

加密方法

加密算法

IKEv1

主要

路线

HMAC-SHA-256-128

组14

Esp

AES-256-CBC
注意：

运行 Junos OS 的设备使用基于证书的身份验证或预共享密钥来实现 IPsec。TOE 接受最多 255 个字符（及其二进制等效项）的 ASCII 预共享或基于位的密钥，这些密钥包含大写和小写字母、数字和特殊字符，例如 ！、@、#、$、%^、&、*、（ 和 ）。设备接受预共享文本密钥，并根据配置为 IKE 交换哈希算法的 RFC 2409 或 IKEv2 的 RFC 4306 将文本字符串转换为身份验证值。Junos OS 未对预共享密钥施加最低复杂性要求。因此，建议用户仔细选择足够复杂的长预共享密钥。

使用预共享密钥配置的 IPsec VPN 作为启动器上的 IKE 身份验证

要在启动器上使用预共享密钥 IKE 身份验证配置 IPsec VPN，请执行以下操作：

  1. 配置 IKE 提议。

    ike-proposal1下面是授权管理员提供的 IKE 提议名称。

  2. 配置 IKE 策略。

    此处是 ike-policy1 IKE 策略名称， ike-proposal1 也是授权管理员提供的 IKE 提议名称。 出现提示时，您必须输入并重新输入预共享密钥。例如，预共享密钥可以是 CertSqa@jnpr2014。

    也可以以十六进制格式输入预共享密钥。例如：

    在这里，十六进制预共享密钥可以是 cc2014bae9876543。

  3. 配置 IPsec 提议。

    ipsec-proposal1下面是授权管理员提供的 IPsec 提议名称。

  4. 配置 IPsec 策略。

    此处是 ipsec-policy1 IPsec 策略名称， ipsec-proposal1 也是授权管理员提供的 IPsec 提议名称。

  5. 配置 IKE。

    此处是 gw1 IKE 网关名称，是对等方 VPN 端点 IP，是本地 VPN 端点 IP， 192.0.2.8 192.0.2.5 ge-0/0/2 是作为 VPN 端点的本地出站接口。对于 IKEv2，还需要以下附加配置

  6. 配置 VPN。

    vpn1下面是授权管理员提供的 VPN 隧道名称。

  7. 配置出站流策略。

    此处和 trustZone untrustZone 是预配置的安全区域和 trustLan 预 untrustLan 配置的网络地址。

  8. 配置入站流策略。

    此处和 trustZone untrustZone 是预配置的安全区域和 trustLan 预 untrustLan 配置的网络地址。

  9. 提交配置。

使用预共享密钥配置IPsec VPN 作为响应程序上的 IKE 身份验证

要在响应程序上使用预共享密钥 IKE 身份验证配置 IPsec VPN，请执行以下操作：

  1. 配置 IKE 提议。

    注意：

    ike-proposal1下面是授权管理员提供的 IKE 提议名称。

  2. 配置 IKE 策略。

    注意：

    此处是 ike-policy1 IKE 策略名称， ike-proposal1 也是授权管理员提供的 IKE 提议名称。
    注意：

    出现提示时，您必须输入并重新输入预共享密钥。例如，预共享密钥可以是 CertSqa@jnpr2014。
    注意：

    也可以以十六进制格式输入预共享密钥。例如，

    在这里，十六进制预共享密钥可以是 cc2014bae9876543。

  3. 配置 IPsec 提议。

    注意：

    ipsec-proposal1下面是授权管理员提供的 IPsec 提议名称。

  4. 配置 IPsec 策略。

    注意：

    此处是 ipsec-policy1 IPsec 策略名称， ipsec-proposal1 也是授权管理员提供的 IPsec 提议名称。

  5. 配置 IKE。

    注意：

    此处是 gw1 IKE 网关名称，是对等方 VPN 端点 IP，是本地 VPN 端点 IP， 192.0.2.5 192.0.2.8 ge-0/0/2 是作为 VPN 端点的本地出站接口。对于 IKEv2，还需要以下附加配置。

  6. 配置 VPN。

    注意：

    vpn1下面是授权管理员提供的 VPN 隧道名称。

  7. 配置出站流策略。

    注意：

    此处和 trustZone untrustZone 是预配置的安全区域和 trustLan 预 untrustLan 配置的网络地址。

  8. 配置入站流策略。

    注意：

    此处和 trustZone untrustZone 是预配置的安全区域和 trustLan 预 untrustLan 配置的网络地址。

  9. 提交配置。

使用 RSA 签名配置 IPsec VPN 以进行 IKE 身份验证

以下部分提供了使用 RSA 签名作为 IKE 身份验证方法为 IPsec VPN 配置 Junos OS 设备的示例，而 IKE/IPsec 身份验证/加密中使用的算法如下表所示。在本节中，您将使用 RSA 签名作为 IKE 身份验证方法，配置运行 Junos OS 的 IPsec VPN 的设备。IKE 或 IPsec 身份验证或加密中使用的算法如 表 3 所示。

表 3：IKE/IPsec 身份验证和加密

IKE 协议

隧道模式

第 1 阶段协商模式

第 1 阶段提案（P1、IKE）

身份验证方法

身份验证算法

DH集团

加密算法

IKEv1

主要

路线

RSA 签名-2048

SHA-256

组19

AES-128-CBC

IKE 协议

隧道模式

第 1 阶段协商模式

第 2 阶段提议（P2、IPsec）

身份验证算法

卫生署集团

加密方法

加密算法

IKEv1

主要

路线

HMAC-SHA-256-128

组19

Esp

AES-128-CBC

将带有 RSA 签名的 IPsec VPN 配置为发起方或响应方上的 IKE 身份验证

要在启动器上使用 RSA 签名 IKE 身份验证配置 IPsec VPN，请执行以下操作：

  1. 配置 PKI。请参阅 示例：配置 PKI。

  2. 生成 RSA 密钥对。请参阅 示例：生成公钥-私钥对。

  3. 生成并加载 CA 证书。请参阅 示例：手动加载 CA 和本地证书。

  4. 加载 CRL。请参阅 示例：手动将 CRL 加载到设备上 。

  5. 生成并加载本地证书。请参阅 示例：手动加载 CA 和本地证书。

  6. 配置 IKE 提议。

    注意：

    此处是 ike-proposal1 授权管理员提供的名称。

  7. 配置 IKE 策略。

    注意：

    此处为 ike-policy1 授权管理员提供的 IKE 策略名称。

  8. 配置 IPsec 提议。

    注意：

    此处是 ipsec-proposal1 授权管理员提供的名称。

  9. 配置 IPsec 策略。

    注意：

    此处是 ipsec-policy1 授权管理员提供的名称。

  10. 配置 IKE。

    注意：

    此处为 192.0.2.8 对等方 VPN 端点 IP、 192.0.2.5 本地 VPN 端点 IP， fe-0/0/1 以及作为 VPN 端点的本地出站接口。IKEv2 也需要以下配置。

  11. 配置 VPN。

    注意：

    vpn1下面是授权管理员提供的 VPN 隧道名称。

  12. 配置出站流策略。

    注意：

    此处和 trustZone untrustZone是预配置的安全区域和和trustLanuntrustLan是预配置的网络地址。

  13. 配置入站流策略。

    注意：

    此处和 trustZone untrustZone 是预配置的安全区域和 trustLan 预 untrustLan 配置的网络地址。

  14. 提交配置。

使用 ECDSA 签名配置 IPsec VPN 以进行 IKE 身份验证

在本节中，您将使用 ECDSA 签名作为 IKE 身份验证方法，配置运行 Junos OS 的 IPsec VPN 的设备。IKE 或 IPsec 身份验证或加密中使用的算法如 表 4 所示。

表 4：IKE 或 IPsec 身份验证和加密

IKE 协议

隧道模式

第 1 阶段协商模式

第 1 阶段提案（P1、IKE）

身份验证方法

身份验证算法

DH集团

加密算法

IKEv1

主要

路线

ECDSA 签名-256

SHA-384

组14

AES-256-CBC

IKE 协议

隧道模式

第 1 阶段协商模式

第 2 阶段提议（P2、IPsec）

身份验证算法

卫生署集团

加密方法

加密算法

IKEv1

主要

路线

无算法

组14

Esp

AES-256-GCM

在启动器上使用 ECDSA 签名 IKE 身份验证配置 IPsec VPN

要在启动器上使用 ECDSA 签名 IKE 身份验证配置 IPsec VPN，请执行以下操作：

  1. 配置 PKI。请参阅 示例：配置 PKI。

  2. 生成 RSA 密钥对。请参阅 示例：生成公钥-私钥对。

  3. 生成并加载 CA 证书。请参阅 示例：手动加载 CA 和本地证书。

  4. 加载 CRL。请参阅 示例：手动将 CRL 加载到设备上 。

  5. 生成并加载本地证书。请参阅 示例：手动加载 CA 和本地证书。

  6. 配置 IKE 提议。

    注意：

    ike-proposal1下面是授权管理员提供的 IKE 提议名称。

  7. 配置 IKE 策略。

  8. 配置 IPsec 提议。

    注意：

    ipsec-proposal1下面是授权管理员提供的 IPsec 提议名称。

  9. 配置 IPsec 策略。

    注意：

    此处是 ipsec-policy1 IPsec 策略名称， ipsec-proposal1 也是授权管理员提供的 IPsec 提议名称。

  10. 配置 IKE。

    注意：

    此处是 gw1 IKE 网关名称，是对等方 VPN 端点 IP，是本地 VPN 端点 IP， 192.0.2.8 192.0.2.5 ge-0/0/2 是作为 VPN 端点的本地出站接口。IKEv2 也需要以下配置。

  11. 配置 VPN。

    注意：

    vpn1下面是授权管理员提供的 VPN 隧道名称。

  12. 配置出站流策略。

    注意：

    此处和 trustZone untrustZone 是预配置的安全区域和 trustLan 预 untrustLan 配置的网络地址。

  13. 配置入站流策略。

    注意：

    此处和 trustZone untrustZone 是预配置的安全区域和 trustLan 预 untrustLan 配置的网络地址。

  14. 提交配置。

在响应程序上使用 ECDSA 签名 IKE 身份验证配置 IPsec VPN

要在响应方上使用 ECDSA 签名 IKE 身份验证配置 IPsec VPN，请执行以下操作：

  1. 配置 PKI。请参阅 示例：配置 PKI。

  2. 生成 ECDSA 密钥对。请参阅 示例：生成公钥-私钥对。

  3. 生成并加载 CA 证书。请参阅 示例：手动加载 CA 和本地证书。

  4. 加载 CRL。请参阅 示例：手动将 CRL 加载到设备上 。

  5. 配置 IKE 提议。

    注意：

    ike-proposal1下面是授权管理员提供的 IKE 提议名称。

  6. 配置 IKE 策略。

  7. 配置 IPsec 提议。

    注意：

    ipsec-proposal1下面是授权管理员提供的 IPsec 提议名称。

  8. 配置 IPsec 策略。

    注意：

    此处是 ipsec-policy1 IPsec 策略名称， ipsec-proposal1 也是授权管理员提供的 IPsec 提议名称。

  9. 配置 IKE。

    注意：

    此处是 gw1 IKE 网关名称，是对等方 VPN 端点 IP，是本地 VPN 端点 IP， 192.0.2.5 192.0.2.8 ge-0/0/1 是作为 VPN 端点的本地出站接口。IKEv2 也需要以下配置。

  10. 配置 VPN。

    注意：

    vpn1下面是授权管理员提供的 VPN 隧道名称。

  11. 配置出站流策略。

    注意：

    此处和 trustZone untrustZone 是预配置的安全区域和 trustLan 预 untrustLan 配置的网络地址。

  12. 配置入站流策略。

    注意：

    此处和 trustZone untrustZone 是预配置的安全区域和 trustLan 预 untrustLan 配置的网络地址。

  13. 提交配置。

参见