在SD-WAN上配置带C8000V的服务端IPSec隧道

已更新: 2023 年 9 月 29 日

文档 ID:221001

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

简介

本文档介绍如何使用service VRF在SD-WAN Cisco Edge路由器和VPN终端之间配置IPSec隧道。

先决条件

要求

Cisco 建议您了解以下主题：

思科软件定义的广域网(SD-WAN)
互联网协议安全(IPSec)

组件

本文档基于以下软件和硬件版本：

Cisco Edge路由器版本17.6.1
SD-WAN vManage 20.9.3.2

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中的所有设备均以清除（默认）配置开头。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

背景信息

背景信息包括本文档的范围、在SD-WAN上使用C8000v构建服务端IPSec隧道的可用性和优点。

要在控制器管理模式的Cisco IOS® XE路由器与虚拟专用网络(VPN)终端之间构建服务虚拟路由和转发(VRF)中的IPSec隧道，可以确保公共广域网(WAN)上的数据保密性和完整性。它还有助于企业专用网络的安全扩展，允许通过Internet进行远程连接，同时保持高级别的安全性。
服务VRF可隔离流量，这对于多客户端环境或维护网络不同部分之间的分段尤为重要。总之，此配置增强了安全性和连接性。
本文档认为边界网关协议(BGP)是用于将网络从SD-WAN服务VRF通信到VPN终端后面的网络的路由协议，反之亦然。
BGP配置不在本文档的讨论范围之内。
此VPN端点可以是防火墙、路由器或具有IPSec功能的任何类型的网络设备，VPN端点的配置不在本文档的讨论范围之内。
本文档假设路由器已随附主动控制连接和服务VRF。

IPSEC配置的组件

第1阶段互联网密钥交换(IKE)

IPSec配置过程的第1阶段涉及安全参数的协商和隧道端点之间的身份验证。这些步骤包括：

IKE 配置

定义加密方案（算法和密钥长度）。
配置包括加密提议、生存时间和身份验证的IKE策略。

配置远程终端对等体

定义远程端的IP地址。
配置身份验证的共享密钥（预共享密钥）。

第2阶段(IPSec)配置

第2阶段涉及通过隧道的数据流的安全转换和访问规则的协商。这些步骤包括：

配置IPSec转换集

定义建议的转换集，包括加密算法和身份验证。

配置IPSec策略

将转换集与IPSec策略相关联。

配置隧道接口

在IPSec隧道的两端配置隧道接口。

将隧道接口与IPSec策略相关联。

配置

CLI上的配置

步骤1:定义加密方案。

cEdge(config)# crypto ikev2 proposal p1-global 
cEdge(config-ikev2-proposal)# encryption aes-cbc-128 aes-cbc-256 
cEdge(config-ikev2-proposal)# integrity sha1 sha256 sha384 sha512 
cEdge(config-ikev2-proposal)# group 14 15 16

第二步：配置包含建议信息的IKE策略。

cEdge(config)# crypto ikev2 policy policy1-global 
cEdge(config-ikev2-policy)# proposal p1-global

第三步：定义远程端的IP地址。

cEdge(config)# crypto ikev2 keyring if-ipsec1-ikev2-keyring 
cEdge(config-ikev2-keyring)# peer if-ipsec1-ikev2-keyring-peer 
cEdge(config-ikev2-keyring-peer)# address 10.4.5.226 
cEdge(config-ikev2-keyring-peer)# pre-shared-key Cisco

第四步：配置身份验证的共享密钥（预共享密钥）。

cEdge(config)# crypto ikev2 profile if-ipsec1-ikev2-profile
cEdge(config-ikev2-profile)# match identity remote address 
10.4.5.226 255.255.255.0 
cEdge(config-ikev2-profile)# authentication remote 
cEdge(config-ikev2-profile)# authentication remote pre-share 
cEdge(config-ikev2-profile)# authentication local pre-share 
cEdge(config-ikev2-profile)# keyring local if-ipsec1-ikev2-keyring 
cEdge(config-ikev2-profile)# dpd 10 3 on-demand 
cEdge(config-ikev2-profile)# no config-exchange request 
cEdge(config-ikev2-profile)#

第五步：定义包含加密算法和身份验证的建议转换集。

cEdge(config)# crypto ipsec transform-set if-ipsec1-ikev2-transform esp-gcm 256 
cEdge(cfg-crypto-trans)# mode tunnel

第六步：将转换集与IPSec策略相关联。

cEdge(config)# crypto ipsec profile if-ipsec1-ipsec-profile 
cEdge(ipsec-profile)# set security-association lifetime kilobytes disable 
cEdge(ipsec-profile)# set security-association replay window-size 512 
cEdge(ipsec-profile)# set transform-set if-ipsec1-ikev2-transform 
cEdge(ipsec-profile)# set ikev2-profile if-ipsec1-ikev2-profile

步骤 7.创建接口隧道并将其与IPSec策略相关联。

cEdge(config)# interface Tunnel100001 
cEdge(config-if)# vrf forwarding 90 
cEdge(config-if)# ip address 172.16.12.1 255.255.255.252 
cEdge(config-if)# ip mtu 1500 
cEdge(config-if)# tunnel source GigabitEthernet1 
cEdge(config-if)# tunnel mode ipsec ipv4 
cEdge(config-if)# tunnel destination 10.4.5.226 
cEdge(config-if)# tunnel path-mtu-discovery 
cEdge(config-if)# tunnel protection ipsec profile if-ipsec1-ipsec-profile

在vManage的CLI加载项模板上进行配置

注意：此类配置只能通过CLI加载项模板添加。

步骤1:导航到Cisco vManage并登录。

登录窗口

第二步：导航至配置>模板。

导航至“配置模板”

第三步：导航到功能模板>添加模板。

导航到功能模板

添加模板

第四步：过滤型号并选择c8000v路由器。

过滤模型并选择Router（路由器）

第五步：导航到其他模板，然后单击Cli加载项模板。

导航到其他模板，然后点击Cli加载项模板

第六步：添加模板名称和说明。

模板名称和说明

注：有关如何在CLI加载项模板上创建变量的详细信息，请参阅CLI加载项功能模板。

步骤 7.添加命令。

CLI1

CLI2

步骤 8点击保存。

点击Save按钮

步骤 9导航到设备模板。

设备模板

步骤 10选择正确的设备模板并在3个点上编辑。

选择编辑

步骤 11导航至其他模板。

导航到其他模板

步骤 12在CLI Add-On Template上，选择先前创建的功能模板。

.在CLI附加模板上，选择之前创建的功能模板

步骤 13单击Update。

选择更新

步骤 14点击三个点中的连接设备，选择要将模板推到的正确路由器。

连接设备

验证

使用本部分可确认配置能否正常运行。

运行show ip interface brief 命令以验证IPSec隧道的状态。

cEdge#show ip interface brief
Interface IP-Address OK? Method Status Protocol
GigabitEthernet1 10.4.5.224 YES other up up 
--- output omitted ---
Tunnel100001 172.16.12.1 YES other up up 
cEdge#

故障排除

运行show crypto ikev2 session命令以显示有关在设备上建立的IKEv2会话的详细信息。

cEdge#show crypto ikev2 session
IPv4 Crypto IKEv2 Session

Session-id:1, Status:UP-ACTIVE, IKE count:1, CHILD count:1

Tunnel-id Local Remote fvrf/ivrf Status 
1 10.4.5.224/500 10.4.5.225/500 none/90 READY 
Encr: AES-CBC, keysize: 128, PRF: SHA1, Hash: SHA96, DH Grp:14, Auth sign: PSK, Auth verify: PSK
Life/Active Time: 86400/207 sec
Child sa: local selector 0.0.0.0/0 - 255.255.255.255/65535
remote selector 0.0.0.0/0 - 255.255.255.255/65535
ESP spi in/out: 0xFC13A6B7/0x1A2AC4A0

IPv6 Crypto IKEv2 Session

cEdge#

运行命令show crypto ipsec sa interface Tunnel100001以显示有关IPSec安全关联(SA)的信息。

cEdge#show crypto ipsec sa interface Tunnel100001

interface: Tunnel100001
Crypto map tag: Tunnel100001-head-0, local addr 10.4.5.224

protected vrf: 90
local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
remote ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)
current_peer 10.4.5.225 port 500
PERMIT, flags={origin_is_acl,}
#pkts encaps: 38, #pkts encrypt: 38, #pkts digest: 38
#pkts decaps: 39, #pkts decrypt: 39, #pkts verify: 39
#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 0, #pkts compr. failed: 0
#pkts not decompressed: 0, #pkts decompress failed: 0
#send errors 0, #recv errors 0

local crypto endpt.: 10.4.5.224, remote crypto endpt.: 10.4.5.225
plaintext mtu 1446, path mtu 1500, ip mtu 1500, ip mtu idb GigabitEthernet1
current outbound spi: 0x1A2AC4A0(439010464)
PFS (Y/N): N, DH group: none

inbound esp sas:
spi: 0xFC13A6B7(4229146295)
transform: esp-gcm 256 ,
in use settings ={Tunnel, }
conn id: 2001, flow_id: CSR:1, sibling_flags FFFFFFFF80000048, crypto map: Tunnel100001-head-0
sa timing: remaining key lifetime (sec): 2745
Kilobyte Volume Rekey has been disabled
IV size: 8 bytes
replay detection support: Y replay window size: 512
Status: ACTIVE(ACTIVE)

inbound ah sas:

inbound pcp sas:

outbound esp sas:
spi: 0x1A2AC4A0(439010464)
transform: esp-gcm 256 ,
in use settings ={Tunnel, }
conn id: 2002, flow_id: CSR:2, sibling_flags FFFFFFFF80000048, crypto map: Tunnel100001-head-0
sa timing: remaining key lifetime (sec): 2745
Kilobyte Volume Rekey has been disabled
IV size: 8 bytes
replay detection support: Y replay window size: 512
Status: ACTIVE(ACTIVE)

outbound ah sas:

outbound pcp sas:
cEdge#

运行命令show crypto ikev2 statistics以显示与IKEv2会话相关的统计信息和计数器。

cEdge#show crypto ikev2 statistics
--------------------------------------------------------------------------------
Crypto IKEv2 SA Statistics
--------------------------------------------------------------------------------
System Resource Limit: 0 Max IKEv2 SAs: 0 Max in nego(in/out): 40/400
Total incoming IKEv2 SA Count: 0 active: 0 negotiating: 0 
Total outgoing IKEv2 SA Count: 1 active: 1 negotiating: 0 
Incoming IKEv2 Requests: 0 accepted: 0 rejected: 0 
Outgoing IKEv2 Requests: 1 accepted: 1 rejected: 0 
Rejected IKEv2 Requests: 0 rsrc low: 0 SA limit: 0 
IKEv2 packets dropped at dispatch: 0 
Incoming Requests dropped as LOW Q limit reached : 0 
Incoming IKEV2 Cookie Challenged Requests: 0 
accepted: 0 rejected: 0 rejected no cookie: 0 
Total Deleted sessions of Cert Revoked Peers: 0

cEdge#

运行show crypto session命令显示有关设备上的活动安全会话的信息。

cEdge#show crypto session
Crypto session current status

Interface: Tunnel100001
Profile: if-ipsec1-ikev2-profile
Session status: UP-ACTIVE 
Peer: 10.4.5.225 port 500 
Session ID: 1 
IKEv2 SA: local 10.4.5.224/500 remote 10.4.5.225/500 Active 
IPSEC FLOW: permit ip 0.0.0.0/0.0.0.0 0.0.0.0/0.0.0.0 
Active SAs: 2, origin: crypto map

要获取有关设备数据包处理器中IPSec相关丢包的信息，您可以运行：

show platform hardware qfp active feature ipsec datapath drops clear

show platform hardware qfp active statistics drop clear

这些命令需要在shut和no shut隧道接口之前执行，以清除计数器和统计信息，这有助于获取有关设备数据包处理器数据路径中IPsec相关数据包丢弃的信息。

注意：这些命令可以在没有清除选项的情况下运行。必须强调丢弃计数器是历史计数器。

cEdge#show platform hardware qfp active feature ipsec datapath drops clear 
------------------------------------------------------------------------
Drop Type Name Packets 
------------------------------------------------------------------------



IPSEC detailed dp drop counters cleared after display.

cEdge#

cEdge#show platform hardware qfp active statistics drop clear 
Last clearing of QFP drops statistics : Thu Sep 28 01:35:11 2023


-------------------------------------------------------------------------
Global Drop Stats Packets Octets 
-------------------------------------------------------------------------
Ipv4NoRoute 17 3213 
UnconfiguredIpv6Fia 18 2016

cEdge#

在shut和no shut Tunnel Interface后，您可以运行以下命令以查看是否有新统计信息或计数器的注册：

show ip interface brief | include Tunnel100001

show platform hardware qfp active statistics drop

show platform hardware qfp active feature ipsec datapath drops

cEdge#show ip interface brief | include Tunnel100001
Tunnel100001 169.254.21.1 YES other up up 
cEdge#
cEdge#sh pl hard qfp act feature ipsec datapath drops
------------------------------------------------------------------------
Drop Type Name Packets 
------------------------------------------------------------------------

cEdge#show platform hardware qfp active statistics drop
Last clearing of QFP drops statistics : Thu Sep 28 01:35:11 2023
(5m 23s ago)

-------------------------------------------------------------------------
Global Drop Stats Packets Octets 
-------------------------------------------------------------------------
Ipv4NoRoute 321 60669 
UnconfiguredIpv6Fia 390 42552

cEdge#

cEdge#show platform hardware qfp active feature ipsec datapath drops
------------------------------------------------------------------------
Drop Type Name Packets 
------------------------------------------------------------------------



cEdge#

有用的命令

show crypto ipsec sa peer <peer_address> detail
show crypto ipsec sa peer <peer_address> platform
show crypto ikev2 session
show crypto ikev2 profile
show crypto isakmp policy
show crypto map
show ip static route vrf NUMBER
show crypto isakmp sa
debug crypto isakmp
debug crypto ipsec

在SD-WAN上配置带C8000V的服务端IPSec隧道

非歧视性语言

关于此翻译

目录

简介

先决条件

要求

组件

背景信息

IPSEC配置的组件

配置

CLI上的配置

在vManage的CLI加载项模板上进行配置

验证

故障排除

有用的命令

相关信息

修订历史记录

由思科工程师提供

此文档是否有帮助?

联系我们

本文档适用于以下产品