华为防火墙IPsec点对点配置实战指南

1. 华为防火墙IPsec点对点配置基础概念

IPsec（Internet Protocol Security）是一种网络协议套件，用于保护IP通信的安全。在企业网络中，特别是分支机构互联场景中，IPsec VPN是最常用的安全通信方式之一。华为防火墙的IPsec点对点配置可以实现两个网络之间的安全通信，确保数据传输的机密性、完整性和可用性。

华为防火墙支持多种IPsec配置方式，其中点对点配置是最基础也是最常用的方式。这种配置适用于两个固定站点之间的安全通信，比如总部和分支机构之间的网络互联。在实际部署中，我们需要考虑以下几个关键要素：

• IKE（Internet Key Exchange）：用于协商安全参数和建立安全关联（SA）
• IPsec策略：定义数据加密和认证的具体方式
• 感兴趣流：确定哪些流量需要被加密传输
• 安全策略：防火墙需要放行相关的协商流量和数据流量

华为防火墙的IPsec配置主要分为以下几个步骤：创建IKE Proposal定义安全参数、配置IKE Peer建立对等体关系、设置IPsec Proposal定义数据加密方式、绑定IPsec Policy到具体接口。这些步骤环环相扣，任何一个环节配置不当都可能导致IPsec隧道无法正常建立。

2. 环境准备与基础网络配置

2.1 网络拓扑规划

在开始配置之前，我们需要先规划好网络拓扑。典型的点对点IPsec场景包含两个防火墙设备，分别位于不同的地理位置。假设我们有两个站点：站点A和站点B，每个站点都部署了华为防火墙。

建议的网络规划如下：

• 站点A防火墙：
  • 内网接口（trust区域）：192.168.1.1/24
  • 外网接口（untrust区域）：203.0.113.1/30
• 站点B防火墙：
  • 内网接口（trust区域）：192.168.2.1/24
  • 外网接口（untrust区域）：203.0.113.2/30

两个防火墙的外网接口通过互联网直接相连，或者通过运营商的专线连接。在实际配置前，请确保两个防火墙之间能够互相ping通外网接口IP。

2.2 基础网络配置检查

在华为防火墙上执行以下命令检查网络连通性：

# 检查接口状态 display interface brief # 测试网络连通性 ping -a 203.0.113.1 203.0.113.2

如果ping测试失败，需要先排查基础网络问题。常见的问题包括：

• 接口未正确配置IP地址
• 路由表缺少默认路由
• 运营商网络存在限制
• 防火墙安全策略阻止了ICMP流量

确保基础网络畅通后，我们就可以开始配置IPsec了。

3. IKE Proposal配置详解

3.1 创建IKE Proposal

IKE Proposal定义了IKE协商阶段使用的安全参数。华为防火墙默认已经预置了一些IKE Proposal，但我们建议根据实际安全需求创建自定义的IKE Proposal。

创建IKE Proposal的命令如下：

# 进入系统视图 system-view # 创建IKE Proposal ike proposal PROPOSAL_NAME

在IKE Proposal视图下，我们需要配置以下关键参数：

# 设置加密算法 encryption-algorithm aes-256 # 设置DH组 dh group14 # 设置认证算法 authentication-algorithm sha2-256 # 设置认证方法 authentication-method pre-share # 设置完整性算法 integrity-algorithm hmac-sha2-256 # 设置伪随机函数 prf hmac-sha2-256

这些参数的选择需要平衡安全性和性能：

• AES-256提供了足够强的加密强度
• DH group14（2048位）确保了密钥交换的安全性
• SHA2-256提供了可靠的哈希算法
• 预共享密钥是最简单实用的认证方式

3.2 IKE Proposal参数选择建议

在实际项目中，IKE Proposal的参数选择需要考虑以下因素：

1. 加密算法：

   • AES-256：推荐用于高安全要求的场景
   • AES-192：中等安全要求
   • AES-128：一般安全要求

2. DH组：

   • Group14（2048位）：推荐使用
   • Group19（256位ECC）：更高安全性
   • Group5（1536位）：逐渐被淘汰

3. 认证算法：

   • SHA2-256：推荐使用
   • SHA2-384/SHA2-512：更高安全性
   • SHA1：不推荐使用

4. 认证方法：

   • 预共享密钥：简单易用
   • 数字证书：更高安全性，但配置复杂

4. IKE Peer配置实战

4.1 创建IKE Peer

IKE Peer定义了IPsec对等体的相关信息。创建IKE Peer的命令如下：

# 创建IKE Peer ike peer PEER_NAME

在IKE Peer视图下，我们需要配置以下关键参数：

# 设置本端ID类型 local-id-type ip # 设置远端地址 remote-address 203.0.113.2 # 设置预共享密钥 pre-shared-key YourStrongPassword123! # 配置DPD（Dead Peer Detection） dpd type on-demand dpd idle-time 30 dpd retry-interval 10 dpd retry-limit 3 # 引用IKE Proposal proposal PROPOSAL_NAME

4.2 IKE Peer关键参数解析

1. 身份标识：

   • local-id-type：定义本端使用的身份标识类型，可以是IP、FQDN、USER-FQDN等
   • remote-address：指定对端防火墙的公网IP地址

2. 预共享密钥：

   • 两端必须配置相同的预共享密钥
   • 建议使用复杂密码，包含大小写字母、数字和特殊字符
   • 定期更换预共享密钥以提高安全性

3. DPD配置：

   • type on-demand：按需检测对端存活状态
   • idle-time 30：30秒无流量后开始检测
   • retry-interval 10：每次检测间隔10秒
   • retry-limit 3：最多重试3次

4. IKE Proposal引用：

   • 必须引用之前创建的IKE Proposal
   • 两端防火墙的IKE Proposal参数必须匹配

5. IPsec Policy配置与绑定

5.1 创建IPsec Proposal

IPsec Proposal定义了数据加密阶段使用的安全参数。创建IPsec Proposal的命令如下：

# 创建IPsec Proposal ipsec proposal PROPOSAL_NAME # 设置封装模式 encapsulation-mode tunnel # 设置安全协议 transform esp # 设置ESP加密算法 esp encryption-algorithm aes-256 # 设置ESP认证算法 esp authentication-algorithm sha2-256

5.2 创建IPsec Policy

IPsec Policy将各个组件整合在一起。创建IPsec Policy的命令如下：

# 创建IPsec Policy ipsec policy POLICY_NAME 1 isakmp # 引用IKE Peer ike-peer PEER_NAME # 引用IPsec Proposal proposal PROPOSAL_NAME # 配置感兴趣流 security acl 3000

5.3 配置感兴趣流

感兴趣流（ACL）定义了哪些流量需要通过IPsec隧道传输。配置示例如下：

# 创建ACL acl number 3000 # 定义感兴趣流 rule permit ip source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255

5.4 绑定IPsec Policy到接口

最后一步是将IPsec Policy绑定到外网接口：

# 进入接口视图 interface GigabitEthernet1/0/1 # 绑定IPsec Policy ipsec policy POLICY_NAME

6. 安全策略配置要点

IPsec VPN的正常工作需要适当的安全策略放行相关流量。华为防火墙需要配置以下安全策略：

1. 放行IKE协商流量：

   • 源/目的区域：untrust<->local
   • 协议：UDP 500

2. 放行ESP/AH流量：

   • 源/目的区域：untrust<->local
   • 协议：ESP(50)/AH(51)

3. 放行解密后的数据流量：

   • 源/目的区域：untrust<->trust
   • 协议：实际业务协议

具体配置命令如下：

# 放行IKE流量 security-policy rule name PERMIT_IKE source-zone untrust destination-zone local service ike action permit # 放行ESP流量 rule name PERMIT_ESP source-zone untrust destination-zone local service esp action permit # 放行业务流量 rule name PERMIT_IPSEC_TRAFFIC source-zone untrust destination-zone trust action permit

7. 常见问题排查与解决

在实际部署中，可能会遇到各种问题。以下是几个常见问题及解决方法：

1. IPsec隧道无法建立：

   • 检查两端防火墙的网络连通性
   • 确认预共享密钥一致
   • 验证IKE Proposal参数匹配
   • 检查安全策略是否放行了IKE和ESP流量

2. 隧道建立但无法通信：

   • 检查感兴趣流（ACL）配置是否正确
   • 验证解密后的数据流量安全策略
   • 检查路由表是否正确

3. 隧道频繁断开：

   • 调整DPD参数
   • 检查网络稳定性
   • 考虑启用NAT穿越（如果存在NAT设备）

可以使用以下命令进行故障排查：

# 查看IKE SA状态 display ike sa # 查看IPsec SA状态 display ipsec sa # 查看IPsec策略绑定状态 display ipsec policy # 查看安全策略命中情况 display security-policy statistics

在实际项目中，我遇到过因为NAT设备导致的IPsec隧道不稳定问题。后来通过启用NAT穿越（NAT-T）功能解决了这个问题。配置命令如下：

# 在IKE Peer视图下 nat traversal enable