在RV160和RV260上配置IPSec配置文件（自动密钥模式）

目标

本文档将演示如何在RV160和RV260系列路由器上使用自动密钥模式创建新的互联网协议安全(IPsec)配置文件。

简介

IPsec可确保您通过Internet进行安全的私有通信。它为通过Internet传输敏感信息提供了两个或多个主机的隐私性、完整性和真实性。IPsec通常用于虚拟专用网络(VPN)，并在IP层实施，其使用可帮助许多缺乏安全性的应用。VPN用于为通过不安全网络（例如Internet）传输的敏感数据和IP信息提供安全通信机制。它为远程用户和组织提供了灵活的解决方案，以保护来自同一网络中其他各方的任何敏感信息。

为了成功加密和建立VPN隧道的两端，两者需要就加密、解密和身份验证的方法达成一致。IPsec配置文件是IPsec中的中心配置，用于在自动模式和手动键控模式下为阶段I和II协商定义加密、身份验证和Diffie-Hellman(DH)组等算法。第1阶段建立预共享密钥，以创建安全的经过身份验证的通信。第2阶段是流量加密的阶段。您可以配置大多数IPsec参数，如协议、模式、算法、完全向前保密(PFS)、安全关联(SA)生命期和密钥管理协议。

请注意，当您配置站点到站点VPN时，远程路由器需要具有与本地路由器相同的配置文件设置。

有关Cisco IPsec技术的其他信息，请参阅以下链接：Cisco IPSec技术简介。

要使用VPN设置向导配置IPsec配置文件和站点到站点VPN，请点击链接：在RV160和RV260上配置VPN设置向导。

要配置站点到站点VPN，请参阅文档：在RV160和RV260上配置站点到站点VPN。

适用设备

· RV160

· RV260

软件版本

·1.0.00.13

配置IPsec配置文件

步骤1.登录路由器的Web配置页面。

步骤2.导航至VPN > IPSec VPN > IPSec配置文件。

步骤3.在“IPSec配置文件”表中，单击添加以创建新的IPsec配置文件。还有编辑、删除或克隆配置文件的选项。

步骤4.输入配置文件名称并选择键控模式（自动或手动）。

HomeOffice输入为配置文件名称。

为键控模式选择“自动”。

步骤5.选择Internet Key Exchange Version 1(IKEv1)或Internet Key Exchange Version 2(IKEv2)作为IKE版本。IKE是一种混合协议，在互联网安全关联和密钥管理协议(ISAKMP)框架内实施Oakley密钥交换和Skeme密钥交换。Oakley和Skeme都定义了如何推导经过验证的密钥材料，但Skeme还包括快速密钥更新。IKE 可提供 IPSec 对等方验证，协商 IPSec 密钥，以及协商 IPSec 安全关联。IKEv2效率更高，因为它执行密钥交换所需的数据包更少，支持更多身份验证选项，而IKEv1仅执行共享密钥和基于证书的身份验证。在本示例中，IKEv1被选作我们的IKE版本。

注意：如果设备支持IKEv2，则建议使用IKEv2。如果设备不支持IKEv2，则使用IKEv1。

步骤6.第I阶段设置和交换将用于加密第II阶段数据的密钥。在I阶段部分，选择Diffie-Hellman(DH)组。DH是密钥交换协议，它有两组不同的主密钥长度，组2 - 1024位和组5 - 1536位。我们为本演示选择了组2 - 1024位。

注意：为了更快速、更低的安全性，请选择组2。为了速度更慢、安全性更高，请选择组5。组2被选为默认值。

步骤7.从下拉列表中选择加密选项(3DES、AES-128、AES-192或AES-256)。此方法确定用于加密和解密ESP/ISAKMP数据包的算法。三重数据加密标准(3DES)使用DES加密三次，但现在已成为传统算法。这意味着，只有在没有更好的替代方案时才应使用它，因为它仍提供可接受的边际安全级别。用户应仅在需要向后兼容时使用它，因为它容易受到某些“阻止冲突”攻击。不建议使用3DES，因为它不被视为安全。高级加密标准(AES)是一种加密算法，旨在比DES更安全。AES使用更大的密钥大小，确保只有入侵者才能尝试所有可能的密钥才能解密消息。如果您的设备可以支持AES，建议使用AES。在本示例中，我们选择了AES-128作为加密选项。

注意：以下是一些可能有帮助的其他资源：使用IPsec和下一代加密配置VPN的安全。

 

步骤8.身份验证方法确定如何验证ESP报头数据包。这是身份验证中使用的散列算法，用于验证A端和B端是否真正如他们所说。MD5是一种单向散列算法，生成128位摘要，比SHA1更快。SHA1是一种单向散列算法，生成160位摘要，而SHA2-256生成256位摘要。建议使用SHA2-256，因为它更安全。确保VPN隧道两端使用相同的身份验证方法。选择身份验证(MD5、SHA1或SHA2-256)。

本例中选择了SHA2-256。

步骤9. SA生命期（秒）告诉您IKE SA在此阶段处于活动状态的时间。当SA在各自的生存期之后过期时，新协商开始。范围为120到86400，默认值为28800。

我们将使用默认值28800秒作为第I阶段的SA生命期。

注意：建议您的SA生命周期在第I阶段比您的第II SA生命期长。如果将第I阶段缩短到第II阶段，则您将不得不频繁重新协商隧道，而不是数据隧道。数据隧道需要更高的安全性，因此最好在第II阶段使寿命短于第I阶段。

步骤10.第II阶段是您对来回传递的数据进行加密的阶段。在第2阶段选项中，从下拉列表中选择一个协议，选项包括：

·封装安全负载(ESP) — 为数据加密选择ESP并输入加密。

·身份验证报头(AH) — 在数据不加密（即数据不加密但必须进行身份验证）的情况下，选择此选项以实现数据完整性。它仅用于验证流量的源和目标。

在本例中，我们将使用ESP作为协议选择。

步骤11.从下拉列表中选择加密选项(3DES、AES-128、AES-192或AES-256)。此方法确定用于加密和解密ESP/ISAKMP数据包的算法。

在本例中，我们将使用AES-128作为加密选项。

注意：以下是一些可能有帮助的其他资源：使用IPsec和下一代加密配置VPN的安全。

步骤12.身份验证方法确定如何验证封装安全负载协议(ESP)报头数据包。选择身份验证(MD5、SHA1或SHA2-256)。

本例中选择了SHA2-256。

步骤13.输入VPN隧道(IPsec SA)在此阶段处于活动状态的时间量。第2阶段的默认值为3600秒。我们将使用此演示的默认值。

步骤14.选中Enable启用完全向前保密。启用完全转发保密(PFS)后，IKE第2阶段协商将生成用于IPsec流量加密和身份验证的新密钥材料。PFS用于使用公钥加密技术提高通过Internet传输的通信的安全性。如果设备支持，则建议使用此选项。

步骤15.选择Diffie-Hellman(DH)组。DH是密钥交换协议，它有两组不同的主密钥长度，组2 - 1024位和组5 - 1536位。我们为本演示选择了组2 - 1024位。

注意：要获得更快的速度和更低的安全性，请选择组2。要获得更慢的速度和更高的安全性，请选择组5。默认情况下会选择组2。

步骤16.单击Apply添加新的IPsec配置文件。

结论

您现在应该已成功创建新的IPsec配置文件。请在下面继续，验证是否已添加IPsec配置文件。您也可以按照步骤将运行配置文件复制到启动配置文件，以便在重新启动后保留所有配置。

步骤1.单击“应用”后，应添加新的IPsec配置文件。

步骤2.在页面顶部，单击“保存”按钮以导航至“配置管理”，将运行配置保存到启动配置。这是在重新启动后保留配置。

步骤3.在配置管理中，确保源为运行配置，目标为启动配置。然后按Apply将运行配置保存到启动配置。路由器当前使用的所有配置都在运行配置文件中，该文件是易失性的，在重新启动后不会保留。将运行配置文件复制到启动配置文件将保留重新启动后的所有配置。