H3C路由器配置基于路由的IPsec VPN

我们前面介绍了华为路由器如何配置基于路由的IPsec VPN**（** 华为路由器配置基于路由的IPSec VPN），之前还介绍过Juniper防火墙如何配置基于路由的IPsec VPN**（** 配置Juniper虚墙vSRX基于路由的IPsec VPN（CLI方式）），华三也支持，但是我们没写过单独的配置案例，今天就简单发一下H3C路由器如何配置基于路由的IPsec VPN吧。

从配置模式上看，H3C路由器和华为路由器的配置思路基本一致，但在细节上有些差异。

首先，我们的测试拓扑跟之前基本一致。

在网络环境上，还是类似于GRE over IPsec的网络模型；但是，H3C在配置的时候，可以创建IPsec类型的隧道接口，也可以使用GRE类型的隧道接口。为了跟前面的几个实验相接续，我们本次还是使用GRE类型的隧道接口。

跟正常配置IPsec VPN一样，我们先创建一个IKE keychain，因为是要应用在GRE接口上，所以我先把对端的IP地址配置成对端的GRE隧道接口地址。当然，后面我们也会介绍为什么不能这么用。

css 复制代码

#
ike keychain ipsectun
 pre-shared-key address 10.13.1.3 255.255.255.255 key simple ipsectun

然后，我们创建一个IKE安全提议，指定使用的IKE keychain、本端和对端的IP地址信息，这里的IP地址我们还是使用GRE隧道接口的IP地址。

css 复制代码

#
ike profile tun
 keychain ipsectun
 local-identity address 10.13.1.1
 match remote identity address 10.13.1.3 255.255.255.255

接下来，我们再创建一个IPsec安全提议，指定使用的加密算法和认证算法。

properties 复制代码

#
ipsec transform-set tun
 esp encryption-algorithm aes-cbc-128
 esp authentication-algorithm sha1

然后，再创建一个IPsec安全框架，指定使用的IKE安全提议和IPsec安全提议配置，以通过IKE协商建立安全联盟。

cs 复制代码

#    
ipsec profile ipsectun isakmp
 transform-set tun
 ike-profile tun

最后，我们创建一个GRE类型的隧道接口，并在接口下应用IPsec安全框架。

css 复制代码

#
interface Tunnel0 mode gre
 ip address 10.13.1.1 255.255.255.0
 source 12.1.1.1
 destination 23.1.1.3
 tunnel protection ipsec profile ipsectun

配置完成之后，我们就可以通过路由的方式引导受保护流量的转发了。

css 复制代码

ip route-static 10.2.2.0 24 Tunnel0

对应的，我们完成VSR3的设备配置，命令如下：

properties 复制代码

#
interface LoopBack0
 ip address 10.2.2.2 255.255.255.0
#
interface GigabitEthernet1/0
 ip address 23.1.1.3 255.255.255.0
#
interface Tunnel0 mode gre
 ip address 10.13.1.3 255.255.255.0    
 source 23.1.1.3
 destination 12.1.1.1
 tunnel protection ipsec profile ipsectun
#
 ip route-static 10.1.1.0 24 Tunnel0
 ip route-static 12.1.1.0 24 23.1.1.2
#
ipsec transform-set tun
 esp encryption-algorithm aes-cbc-128
 esp authentication-algorithm sha1
#
ipsec profile ipsectun isakmp
 transform-set tun
 ike-profile tun
#
ike profile tun
 keychain ipsectun
 local-identity address 10.13.1.3
 match remote identity address 10.13.1.1 255.255.255.255
#
ike keychain ipsectun
 pre-shared-key address 10.13.1.1 255.255.255.255 key simple ipsectun

此时，我们看一下协商情况。

跟华为的情况有点像，不过华为是隧道接口不配置地址不行，而H3C这个是隧道接口没协商起来。如果先配置GRE隧道，再应用IPsec安全框架配置，你就会发现，是因为应用了IPsec安全框架配置接口协议状态才DOWN的。

查看一下IKE SA和IPsec SA信息。

没有协商起来，也正常，对端的IKE ID也是不可达状态。debug看一下问题原因。

果然，在IKE协商时，携带的还是外层的公网地址作为ID，这样两端互相都不认可。此时，我们先把IKE预共享密钥的对端IP地址修改成物理接口的公网IP地址试一下。

css 复制代码

# VSR1
ike keychain ipsectun
 pre-shared-key address 23.1.1.3 255.255.255.255 key simple ipsectun
# VSR3
ike keychain ipsectun
 pre-shared-key address 12.1.1.1 255.255.255.255 key simple ipsectun