隧道模式: 将整个原始IP数据包封装在一个新的IP数据包中。原始IP数据包作为新的IP数据包的负载。新的IP头部用于路由，而原始IP头部则被加密在新的IP数据包的负载中， along with ESP header, original payload, and ESP trailer. 因此，原始IP地址被隐藏。适用于网关到网关的加密，例如连接两个不同站点的VPN。

3）传输模式及隧道模式分别适用于什么场景？

传输模式: 主机到主机通信，例如两个客户端之间的安全通信。（外出办公）

隧道模式: 网关到网关通信，例如连接两个公司网络的VPN。（私网到私网）

💡

例如：

传输模式适用于公司出差员工与公司之间的通道隧道模式适用于企业私网与私网之间通过公网建立通道

细致解析:

传输模式: 适用于IPSec VPN的内部网络，或者两个终端之间直接建立安全连接的场景。由于原始IP头部保持不变，因此路由信息仍然可见，可以直接根据原始IP地址进行路由。这种模式的优点是开销较小，但缺点是无法隐藏通信双方的IP地址。

隧道模式: 适用于网关到网关的VPN连接，或者需要隐藏通信双方IP地址的场景。例如，连接两个公司网络的VPN，或者远程访问公司内网。在这种模式下，原始IP数据包被封装在一个新的IP数据包中，因此原始IP地址被隐藏，增加了安全性。缺点是开销略大，因为需要添加新的IP头部。

4）AH、ESP的协议号分别是多少？

AH : 协议号 51

ESP : 协议号 50

5）IPSec协议簇包含哪些主要协议？每个协议的作用是什么？

IPSec 协议簇主要包含以下协议，它们协同工作以提供安全服务：

AH (Authentication Header，身份验证头，协议号 51): 提供数据源身份验证、数据完整性校验和防重放攻击保护。不提供加密，这意味着数据内容在传输过程中是可见的。主要用于保护数据不被篡改，验证数据来源的真实性。

ESP (Encapsulating Security Payload，封装安全载荷，协议号 50): 提供数据机密性（加密）、数据源身份验证、数据完整性校验和防重放攻击保护。ESP 比 AH 提供更全面的安全服务，因为它同时提供加密和身份验证。是 IPSec 中更常用的协议。

IKEv1 (Internet Key Exchange Version 1，互联网密钥交换协议版本 1): 用于在 IPSec 通信双方之间建立和管理安全关联（SA）。SA 包含用于 AH 和 ESP 的密钥、算法以及其他安全参数。IKEv1 负责协商和建立 SA，但不直接参与数据传输的加密和身份验证。

IKEv2 (Internet Key Exchange Version 2，互联网密钥交换协议版本 2): IKEv1 的改进版本，简化了密钥交换过程，提高了效率和安全性，并支持移动性。

IPComp (IP Payload Compression Protocol，IP 负载压缩协议): 用于压缩 IP 数据包的负载，以减少带宽消耗。虽然属于 IPSec 协议簇，但 IPComp 并不直接提供安全服务，它主要用于优化性能。由于安全性和性能之间的权衡，以及一些已知的安全漏洞，IPComp 的使用并不普遍。

总而言之，AH 和 ESP 提供实际的安全服务（身份验证、完整性、加密），而 IKEv1 和 IKEv2 负责建立和管理安全关联，IPComp 则用于可选的负载压缩。在实际应用中，ESP 由于其提供的更全面的安全服务而被更广泛地使用。

6）简述主模式、野蛮模式的协商过程（交互什么包，每个包的主要内容及作用）。

7）什么情况下需要使用野蛮模式？

没有固定公网IP的时候（穿越NAT的时候）

8）阶段二交互几个包？协商哪些内容？有几种模式？

9）IPSec如何穿越NAT环境？

IPSec 使用 NAT Traversal (NAT-T) 技术穿越 NAT。

它将 ESP 数据包封装在 UDP 端口 4500 中，并使用 keep-alive 数据包维持 NAT 映射。

详细解析:

NAT-T 允许 IPSec 客户端和服务器在 NAT 后方进行通信，而无需对 NAT 设备进行特殊配置。其工作原理如下：

NAT 检测: IPSec 客户端在 IKE 协商阶段检测 NAT 的存在。

UDP 封装: 如果检测到 NAT，IPSec 将 ESP 数据包封装在 UDP 数据包中，通常使用端口 4500。

Keep-Alive: 定期发送 UDP keep-alive 数据包，以防止 NAT 映射超时。

IKE 扩展: IKE 协商使用 NAT-T 扩展来告知对方其 NAT 状态和 UDP 端口信息。

通过这种方式，即使在 NAT 环境中，IPSec 也可以建立安全的连接。 NAT-T 的优势在于其透明性，无需用户或管理员干预。

10）建立IPSec隧道两端设备的哪些参数必须一致？

IPSec 隧道两端必须匹配的关键参数：身份验证方法、加密算法、哈希算法、DH 组、IKE 版本和模式、安全协议、以及网关 IP/域名和感兴趣流量。

解析版本答案：

为了建立安全的 IPSec 隧道，两端设备必须像使用相同的语言和协议进行通信一样协同工作。这意味着几个关键参数必须完全匹配：

身份验证 (像“你是谁”的证明): 两端必须使用相同的身份验证方法，例如预共享密钥 (PSK) 或数字证书。就像两方都需要出示相同的身份证明才能进入安全区域。

加密和哈希算法 (像加密和校验): 加密算法（例如 AES）对数据进行加密，而哈希算法（例如 SHA256）确保数据的完整性。两端必须使用相同的算法，就像使用相同的密码锁和校验方法。

DH 组 (像交换密钥的暗号本): Diffie-Hellman (DH) 组用于安全地交换加密密钥。两端必须使用相同的 DH 组，就像使用相同的暗号本来交换秘密信息。

IKE 版本和模式 (像沟通的版本和方式): Internet Key Exchange (IKE) 用于建立 IPSec 隧道。两端必须使用相同的 IKE 版本（v1 或 v2）和模式（主模式或野蛮模式），就像使用相同的通信协议和方式。

安全协议 (像安全通道): IPSec 使用安全协议（ESP 或 AH）来保护数据。两端必须使用相同的安全协议，就像选择相同的安全通道。

网关 IP/域名和感兴趣流量 (像地址和货物): 网关 IP/域名用于识别隧道的两端，而感兴趣流量定义了需要通过隧道传输的数据。这些参数必须匹配，就像确保货物送到正确的地址，并且只运输指定的货物。

如果这些参数不匹配，隧道将无法建立。这就像两台电脑试图用不同的语言交流，最终无法理解对方。

11）IPSecVPN设备使用私网地址，出口路由器要映射哪些端口？

UDP ：500 (IKE)

UDP ：4500 (NAT-T)

ESP ：(协议 50)

AH ：(协议 51).

💡

UDP 500: 用于 IKE 协商 (密钥交换)。这是必须打开的端口。

UDP 4500: 用于 NAT 穿越。如果 VPN 需要穿越 NAT 设备，则需要打开此端口。

解析回答:

IPSec VPN 的端口映射至关重要，因为它允许位于 NAT 后面的私有网络设备与外部世界建立安全连接。以下是详细解释：

UDP 500 (IKE): 这是 IKE 协商的默认端口，用于建立 IPSec 隧道。无论使用 IKEv1 还是 IKEv2，都需要打开此端口。想象成建立连接的“敲门”端口。

UDP 4500 (NAT-T): 当 VPN 客户端位于 NAT 后面时，NAT-T 用于封装 IPSec 流量，使其能够穿越 NAT。如果你的 VPN 客户端在家庭或小型办公室网络中，很可能需要这个端口。可以将其视为在 NAT 环境中建立连接的“特殊通道”。

ESP (协议 50): ESP 提供数据机密性、数据源身份验证、防重放和可选的数据完整性检查。它使用 IP 协议号 50，而不是端口号。 NAT 设备必须能够识别和处理 ESP 流量，通常通过 NAT-T 实现。这是实际加密数据的“安全通道”。

AH (协议 51): AH 提供数据源身份验证、数据完整性检查和防重放保护，但不提供加密。它使用 IP 协议号 51。与 ESP 类似，NAT 设备需要能够处理 AH 流量。这像是一个“验证标签”，确保数据未被篡改。

为什么需要端口映射？

NAT 设备通过修改私有 IP 地址和端口号来隐藏内部网络结构。端口映射告诉 NAT 设备将特定端口上的传入流量转发到内部网络上的特定设备。如果没有正确的端口映射，外部设备将无法与 VPN 设备通信，从而无法建立 VPN 连接。

其他注意事项:

始终参考你的 VPN 设备和 NAT 设备文档以获取具体配置说明。

限制允许连接的远程 IP 地址可以提高安全性。

一些 NAT 设备可能需要额外的配置才能正确处理 IPSec 流量。

通过正确配置端口映射，可以确保 IPSec VPN 能够正常工作，并为你的网络提供安全连接。

12）简述IPSec VPN的配置步骤。

第一阶段：配置对端IP地址，共享密钥

第二阶段：协商入站和出战的策略和网段

13）IPSec VPN不通，简述排查思路。

1.ping——端能通（保证两端能正常通信）

2.检查配置——策略、入站、出站

3.路由

IPSec VPN 不通排查思路，简述如下：

确认两端配置一致性: 重点检查 IKE 版本、身份验证方式（预共享密钥或证书）、加密算法、DH 组、本地/远端网关 IP 地址、安全策略匹配的流量等关键参数。任何不一致都可能导致隧道无法建立。

检查网络连通性: 确保两端公网 IP 地址之间网络畅通。可以使用 ping 或 traceroute 测试两端设备之间的网络连通性。

排查防火墙: 检查两端防火墙以及中间可能存在的防火墙，确保放行 IPSec 相关端口 (UDP 500, 4500, ESP 协议)。

NAT 问题: 如果存在 NAT 设备，确认 NAT 穿越已正确配置。例如，在深信服设备上启用 NAT 穿越，或者在 NAT 设备上配置端口转发或 ALG。

身份验证问题: 如果使用预共享密钥，确保两端配置的密钥完全一致。如果使用证书，检查证书是否有效、是否正确导入。

查看日志: 查看两端设备的 IPSec VPN 日志，查找错误信息和线索。深信服设备的日志可以提供详细的 IPSec 协商过程信息，有助于快速定位问题。

分段隔离测试: 为了缩小问题范围，可以尝试绕过部分网络设备进行测试。例如，直接连接两台设备到同一网络进行测试，或者临时禁用 NAT 设备进行测试。

联系深信服技术支持: 如果以上步骤都无法解决问题，建议联系深信服技术支持获取帮助。

总而言之，排查 IPSec VPN 故障需要系统地检查各个环节，从配置、网络、安全策略等方面入手，结合日志信息进行分析，最终找到问题根源。

IPsec补充内容：

IPsec的几个阶段：

两个阶段：1阶段和2阶段（3个报文）

1阶段有主模式（6个报文）、野蛮模式（3个报文）、

1 VPN技术概述

1 全网行为安全概述

Last update: 2024-11-11