MSR系列路由使用PKI认证建立IPSec隧道功能的配置.doc

MSR系列路由器 使用PKI认证建立IPSec隧道功能的配置 关键词：MSR;IPSec;IKE;PKI;RSA;Win2003;证书服务器 一、 如下面的组网图，使用Win2003作为证书服务器，2台MSR路由器需要通过IKE建立IPSec隧道，IKE的认证方式使用PKI证书方式，证书服务器使用Win2003 设备清单：MSR系列路由器2台，Win2003主机一台 二、组网图： 三、配置步骤： 配置前的操作步骤 //MSR1和MSR2都执行如下操作，生成1024位的rsa本地密钥对（含公钥和私钥） [MSR1]public-key local create rsa The range of public key size is (512 ~ 2048). NOTES: If the key modulus is greater than 512, It will take a few minutes. Press CTRL+C to abort. Input the bits of the modulus[default = 1024]: Generating Keys... ..++++++ ..........++++++ ...++++++++ ..++++++++ MSR1配置 # //定义IKE提议，序号为1，优先度最高，使用rsa签名方式认证 ike proposal 1 authentication-method rsa-signature # //pki实体msr1 pki entity msr1 //实体的名字 common-name msr1 //所属组织部门，注意与CA保持一致 organization-unit ts-msr //所属组织，与CA保持一致 organization h3c //城市，与CA保持一致 locality bj //所属国家，与CA保持一致，CN表示中国 country CN # //pki认证域h3c pki domain h3c //CA的名字，可以从后面介绍中获得 ca identifier win2003 //证书获取URL，可以从后面介绍获得 certificate request url 11//certsrv/mscep/mscep.dll //证书获取方式为RA，注册委员会，使用Win2003时必须配置 certificate request from ra //指定注册实体为msr1 certificate request entity msr1 //指定注册模式和密钥长度 certificate request mode auto key-length 1024 //输入CA证书的指纹，即CA证书的缩略图，可以从后面的介绍中获得 root-certificate fingerprint sha1 c4cb24743e26d601f23b7618b4e749a1061d9eb0 //CRL，即证书吊销列表的获取URL crl url 11/certenroll/win2003.crl # //建立IKE Peer MSR2 ike peer msr2 remote-address local-address //指定证书域为h3c certificate domain h3c # //IPSec提议，即安全提议 ipsec proposal default # //IPSec策略 ipsec policy msr2 1 isakmp security acl 3000 ike-peer msr2 proposal default # //定义安全流量的ACL acl number 3000 rule 0 permit ip source 55 destination 55 # interface Ethernet0/0 port link-mode route ip address //在出接口上绑定IPSec策略 ipsec policy msr2 # interface Ethernet0/1 port link-mode route ip address # //指定访问对方私网的静态路由 ip route-static # MSR2配置 # //定义IKE提议，序号为1，优先度最高，使用rsa签名方式认证 ike proposal 1 authentication-method rsa-signature # //pki实体msr2 pki