使用证书配置基于策略的 IPsec VPN

分步过程

下面的示例要求您在各个配置层级中进行导航。有关如何执行此操作的说明，请参阅 Junos OS CLI 用户指南中的在配置模式下使用 CLI 编辑器。

要配置 PKI，请执行以下操作：

1. 在千兆以太网接口上配置 IP 地址和协议家族。

2. 配置到互联网下一跃点的默认路由。

3. 设置系统时间和日期。

   提交配置后，使用命令验证 show system uptime 时钟设置。

4. 设置 NTP 服务器地址。

5. 设置 DNS 配置。

分步过程

1. 创建受信任的 CA 配置文件。

2. 创建吊销检查以指定检查证书吊销的方法。

   设置刷新间隔（以小时为单位）以指定更新 CRL 的频率。默认值为 CRL 中的下一次更新时间，如果未指定下一次更新时间，则为 1 周。

   在配置语句中 revocation-check ，可以使用选项禁用吊销检查，也可以选择disable crl 配置 CRL 属性的选项。您可以选择在 disable on-download-failure CA 配置文件的 CRL 下载失败时允许与 CA 配置文件匹配的会话的选项。仅当同一 CA 配置文件中不存在旧 CRL 时，才允许会话。

3. 指定检索 CRL（HTTP 或 LDAP）的位置 （URL）。默认情况下，URL 为空，并使用嵌入在 CA 证书中的 CDP 信息。

   目前只能配置一个 URL。不支持备份 URL 配置。

4. 指定用于将证书请求直接发送给 CA 管理员的电子邮件地址。

5. 提交配置：

分步过程

配置 CA 配置文件后，下一步是在瞻博网络设备上生成密钥对。要生成私钥和公钥对，请执行以下操作：

1. 创建证书密钥对。

结果

生成公钥-私钥对后，瞻博网络设备将显示以下内容：

分步过程

1. 生成 PKCS-10 格式的本地数字证书请求。请参阅 请求安全性 PKI 生成证书请求。

   在 PKCS10 证书的示例中，请求以“开始证书请求”行开头并包含该行，并以“结束证书请求”行结束并包含该行。可以将此部分复制并粘贴到您的 CA 以进行注册。或者，您也可以卸载 ms-cert-req 文件并将其发送到您的 CA。

2. 将证书请求提交给 CA，然后检索证书。

分步过程

1. 加载本地证书、CA 证书和 CRL。

   您可以使用命令 file list验证是否已上载所有文件。

2. 将证书从指定的外部文件加载到本地存储中。

   您还必须指定证书 ID 以保持与私钥或公钥对的正确链接。此步骤将证书加载到 PKI 模块的 RAM 缓存存储中，检查关联的私钥，并验证签名操作。

3. 从指定的外部文件加载 CA 证书。

   您必须指定 CA 配置文件才能将 CA 证书关联到配置的配置文件。

4. 将 CRL 加载到本地存储中。

   CRL 的最大大小为 5 MB。您必须在命令中指定关联的 CA 配置文件。

结果

验证是否已加载所有本地证书。

您可以通过在命令行中指定证书 ID 来显示各个证书的详细信息。

验证所有 CA 证书或单个 CA 配置文件的 CA 证书（指定）。

验证所有加载的 CRL 或指定单个 CA 配置文件的 CRL。

验证本地证书和 CA 证书的证书路径。

分步过程

要使用证书配置 IPsec VPN，请参阅中所示的网络图 图 1

1. 配置安全区域并将接口分配给区域。

   在此示例中，数据包在 上 ge-0/0/0传入，入口区域是信任区域。

2. 为每个区域配置主机入站服务。

   主机入站服务适用于发往瞻博网络设备的流量。这些设置包括但不限于 FTP、HTTP、HTTPS、IKE、ping、rlogin、RSH、SNMP、SSH、Telnet、TFTP 和 traceroute。

3. 为每个区域配置通讯簿条目。

4. 将 IKE（第 1 阶段）提议配置为使用 RSA 加密。

5. 配置 IKE 策略。

   第 1 阶段交换可以在主模式或积极模式下进行。

6. 配置 IKE 网关。

   在此示例中，对等方由 FQDN（主机名）标识。因此，网关 IKE ID 应为远程对等域名。您必须指定正确的外部接口或对等方 ID，以便在第 1 阶段设置期间正确标识 IKE 网关。

7. 配置 IPsec 策略。

   此示例使用标准提议集，其中包括 esp-group2-3des-sha1 和建议 esp-group2- aes128-sha1 。但是，可以创建唯一的提议，然后根据需要在 IPsec 策略中指定。

8. 使用 IKE 网关和 IPsec 策略配置 IPsec VPN。

   在此示例中，必须在隧道策略中引用 ike-vpn VPN 名称才能创建安全关联。此外，如果需要，如果空闲时间和代理 ID 与隧道策略地址不同，则可以指定它们。

9. 为 VPN 流量配置双向隧道策略。

   在此示例中，从主机 LAN 到远程办公室 LAN 的流量需要从区域信任到区域不信任隧道策略。但是，如果需要将会话从远程 LAN 发起到主机 LAN，则还需要从区域不信任到区域信任相反方向的隧道策略。当您以与配对策略相反的方向指定策略时，VPN 将变为双向。请注意，除了允许操作之外，还需要指定要使用的 IPsec 配置文件。请注意，对于隧道策略，操作始终是允许的。事实上，如果使用拒绝操作配置策略，则不会看到用于指定隧道的选项。

10. 为互联网流量配置源 NAT 规则和安全策略。

    设备使用指定的 source-nat 接口，并使用出口接口的 IP 地址作为源 IP 地址，将随机更高的端口作为源端口，将源 IP 地址和端口转换为传出流量。如果需要，可以创建更精细的策略来允许或拒绝某些流量。

11. 将隧道策略移到任意许可策略上方。

    安全策略应位于层次结构中的隧道策略之下，因为策略列表是从上到下读取的。如果此策略高于隧道策略，则流量将始终与此策略匹配，并且不会继续到下一个策略。因此，不会加密任何用户流量。

12. 为通过隧道的 TCP 流量配置 tcp-mss 设置。

    TCP-MSS 作为 TCP 3 向握手的一部分进行协商。它限制 TCP 段的最大大小以适应网络上的 MTU 限制。这对于 VPN 流量非常重要，因为 IPsec 封装开销以及 IP 和帧开销可能导致生成的 ESP 数据包超过物理接口的 MTU，从而导致分段。因为碎片会增加带宽和设备资源的使用量，因此通常应避免使用碎片。

    对于 MTU 为 1500 或更高的大多数基于以太网的网络，建议用于 tcp-mss 的值为 1350。如果路径中任何设备的 MTU 值较低，或者有任何增加的开销（如 PPP、帧中继等），则可能需要更改此值。作为一般规则，您可能需要试验不同的 tcp-mss 值以获得最佳性能。

目的

通过检查任何 IKE 第 1 阶段安全关联状态来确认 VPN 状态。

与 IPsec 隧道相关的 PKI 在第 1 阶段设置期间形成。第 1 阶段的完成表明 PKI 已成功。

操作

在操作模式下，输入 show security ike security-associations 命令。

意义

输出指示：

• 远程对等方为 10.2.2.2，状态为 UP，表示第 1 阶段关联成功。

• 远程对等方 IKE ID、IKE 策略和外部接口均正确。

• 索引 20 是每个 IKE 安全关联的唯一值。可以使用此输出详细信息获取有关每个安全关联的更多详细信息。请参阅 获取有关各个安全关联的详细信息。

不正确的输出将指示：

• 远程对等方状态为“关闭”。

• 没有 IKE 安全关联 。

• 存在 IKE 策略参数，例如错误的模式类型（Aggr 或 Main）、PKI 问题或第 1 阶段提议（所有参数都必须在两个对等方上匹配）。有关更多详细信息，请参阅IKE、PKI 和 IPsec 问题疑难解答。

• 外部接口无法接收 IKE 数据包。检查 PKI 相关问题的配置，检查密钥管理守护程序 （kmd） 日志中是否有任何其他错误，或运行跟踪选项以查找不匹配项。有关更多详细信息，请参阅IKE、PKI 和 IPsec 问题疑难解答。

目的

获取有关单个 IKE 的详细信息。

操作

在操作模式下，输入 show security ike security-associations index 20 detail 命令。

意义

输出显示各个 IKE SA 的详细信息，例如角色（发起方或响应方）、状态、交换类型、身份验证方法、加密算法、流量统计信息、第 2 阶段协商状态等。

您可以使用输出数据执行以下操作：

• 了解 IKE SA 的作用。当对等方具有响应方角色时，故障排除会更容易。

• 获取流量统计信息以验证两个方向的流量。

• 获取已创建或正在进行的 IPsec 安全关联数。

• 获取任何已完成的第 2 阶段协商的状态。

目的

查看 IPsec（第 2 阶段）安全关联。

确认 IKE 第 1 阶段后，查看 IPsec（第 2 阶段）安全关联。

操作

在操作模式下，输入 show security ipsec security-associations 命令。

意义

输出指示：

• 有一个已配置的 IPsec SA 对可用。端口号 500 表示使用的是标准 IKE 端口。否则，它是网络地址转换遍历 （NAT-T）、4500 或随机高端口。

• 安全参数索引 （SPI） 用于两个方向。SA 的生存期或使用限制以秒或千字节表示。在输出中，1676/unlim 表示第 2 阶段生存期设置为在 1676 秒后过期，并且没有指定的生存期大小。

• ID 号显示每个 IPsec SA 的唯一索引值。

• Mon 列中的连字符 （-） 表示未为此 SA 启用 VPN 监控。

• 虚拟系统 （vsys） 为零，这是默认值。

第 2 阶段生存期可以不同于第 1 阶段生存期，因为在 VPN 启动后，第 2 阶段不依赖于第 1 阶段。

目的

显示由索引号标识的各个 IPsec SA 详细信息。

操作

在操作模式下，输入 show security ipsec security-associations index 2 detail 命令。

意义

输出显示本地身份和远程身份。

请注意，代理 ID 不匹配可能会导致第 2 阶段完成失败。代理 ID 派生自隧道策略（对于基于策略的 VPN）。本地地址和远程地址派生自通讯簿条目，服务派生自为策略配置的应用程序。

如果第 2 阶段由于代理 ID 不匹配而失败，请验证策略中配置了哪些通讯簿条目，并确保发送了正确的地址。还要确保端口匹配。仔细检查服务以确保远程和本地服务器的端口匹配。

如果在隧道策略中为源地址、目标地址或应用程序配置了多个对象，则该参数生成的代理 ID 将更改为零。

例如，假设隧道策略出现以下场景：

• 本地地址 192.168.10.0/24 和 10.10.20.0/24

• 远程地址 192.168.168.0/24

• 应用程序作为 junos-http

生成的代理 ID 为本地 0.0.0.0/0、远程 192.168.168.0/24、服务 80。

如果未为第二个子网配置远程对等方，则生成的代理 ID 可能会影响互操作性。此外，如果您使用的是第三方供应商的应用程序，则可能必须手动输入代理 ID 进行匹配。

如果 IPsec 无法完成，请检查 kmd 日志或使用 set traceoptions 命令。有关更多详细信息，请参阅IKE、PKI 和 IPsec 问题疑难解答。

目的

检查 IPsec SA 的统计信息和错误。

要进行故障排除，请检查封装安全有效负载/身份验证标头 （ESP/AH） 计数器中是否存在特定 IPsec SA 的任何错误。

操作

在操作模式下，输入 show security ipsec statistics index 2 命令。

意义

输出中的错误值为零表示正常情况。

我们建议多次运行此命令，以观察 VPN 中的任何数据包丢失问题。此命令的输出还显示加密和解密数据包计数器、错误计数器等的统计信息。

您必须启用安全流跟踪选项来调查哪些 ESP 数据包遇到错误及其原因。有关更多详细信息，请参阅IKE、PKI 和 IPsec 问题疑难解答。

目的

在第 1 阶段和第 2 阶段成功完成后，测试通过 VPN 的流量。您可以使用命令 ping 测试流量。您可以从本地主机 ping 到远程主机。您也可以从瞻博网络设备本身发起 ping。

此示例说明如何向远程主机发起从瞻博网络设备发出的 ping 请求。请注意，从瞻博网络设备启动 ping 时，必须指定源接口，以确保进行正确的路由查找，并在策略查找中引用相应的区域。

在此示例中，ge-0/0/0.0 接口与本地主机位于同一安全区域中，必须在 ping 请求中指定，以便策略查找可以从区域信任到区域不信任。

操作

在操作模式下，输入 ping 192.168.168.10 interface ge-0/0/0 count 5 命令。

目的

确认远程主机与本地主机之间的连接。

操作

在操作模式下，输入 ping 192.168.10.10 from ethernet0/6 命令。

意义

您可以使用从远程主机到本地主机的命令来 ping 确认端到端连接。在此示例中，命令是从 SSG5 设备启动的。

端到端连接失败可能表示路由、策略、终端主机或 ESP 数据包的加密/解密存在问题。要验证失败的确切原因，请执行以下操作：

• 检查 IPsec 统计信息，了解有关错误的详细信息，如中所述 检查 IPsec SA 统计信息。

• 使用与终端主机位于同一子网上的主机的命令确认 ping 终端主机连接。如果其他主机可以访问最终主机，则可以假定问题不与终端主机有关。

• 启用安全流跟踪选项，以排查路由相关和策略相关问题。

问题

基本的故障排除步骤如下：

1. 识别和隔离问题。

2. 调试问题。

开始故障排除的常用方法是从 OSI 层的最低层开始，然后沿着 OSI 堆栈向上工作，以确认发生故障的层。

解决方案

排除 IKE、PKI 和 IPsec 故障的基本步骤如下：

• 在物理和数据链路级别确认互联网链路的物理连接。

• 确认瞻博网络设备已连接到互联网下一跃点，并已连接到远程 IKE 对等方。

• 确认 IKE 第 1 阶段完成。

• 如果 IKE 第 1 阶段成功完成，请确认 IKE 第 2 阶段完成。

• 确认通过 VPN 的流量（如果 VPN 已启动并处于活动状态）。

Junos OS 包含跟踪选项功能。使用此功能，您可以启用跟踪选项标志，以将跟踪选项中的数据写入日志文件，日志文件可以预先确定或手动配置并存储在闪存中。即使在系统重新启动后，这些跟踪日志也可以保留。在实施跟踪选项之前，请检查可用的闪存。

您可以在配置模式下启用跟踪选项功能，并提交配置以使用跟踪选项功能。同样，要禁用跟踪选项，您必须在配置模式下停用跟踪选项并提交配置。

问题

检查设备文件系统中可用磁盘空间的统计信息。

解决方案

在操作模式下，输入 show system storage 命令。

代表 /dev/ad0s1a 板载闪存，当前容量为 35%。

问题

查看日志文件以检查安全 IKE 调试消息、安全流程调试以及记录到 syslog 的状态。

解决方案

在操作模式下，输入 show log kmd、 show log pkid、 show log security-trace和 show log messages 命令。

您可以使用命令 show log 查看 /var/log 目录中所有日志的列表。

也可以使用 file copy 命令将日志文件上载到 FTP 服务器。

问题

要查看 IKE 或 IPsec 的成功或失败消息，可以使用命令查看 show log kmd kmd 日志。由于 kmd 日志显示一些常规消息，因此通过启用 IKE 和 PKI 跟踪选项来获取其他详细信息会很有用。

通常，最佳做法是对具有响应方角色的对等方进行故障排除。您必须从发起方和响应方获取跟踪输出，以了解故障原因。

配置 IKE 跟踪选项。

解决方案

如果未为 <文件名> 字段指定文件名，则所有 IKE 追踪选项都将写入 kmd 日志。

必须至少指定一个标志选项才能将跟踪数据写入日志。例如：

• file size — 每个跟踪文件的最大大小，以字节为单位。例如，100 万 （1,000,000 ） 可以生成的最大文件大小为 1 MB。

• files — 要生成和存储在闪存设备中的跟踪文件的最大数量。

必须提交配置才能启动跟踪。

问题

启用 PKI 跟踪选项以确定 IKE 故障是与证书有关还是与非 PKI 问题有关。

解决方案

问题

配置 IKE 和 PKI 跟踪选项的建议设置。

IKE 和 PKI 跟踪选项使用相同的参数，但所有与 PKI 相关的跟踪的默认文件名都可以在 pkid 日志中找到。

解决方案

问题

了解 IKE 第 1 阶段和第 2 阶段条件成功时的命令输出 show log kmd 。

解决方案

示例输出指示：

• 10.1.1.2- 本地地址。

• ssg5.example.net - 远程对等方（带有 FQDN 的主机名）。

• udp: 500—NAT-T 没有协商。

• Phase 1 [responder] done- 第 1 阶段状态以及角色（发起方或响应方）。

• Phase 2 [responder] done- 第 1 阶段状态以及代理 ID 信息。

  您还可以使用中 确认 IKE 第 1 阶段状态提到的验证命令确认 IPsec SA 状态。

问题

了解 IKE 第 1 阶段条件出现故障的命令输出 show log kmd 有助于确定 VPN 未建立第 1 阶段的原因。

解决方案

示例输出指示：

• 10.1.1.2- 本地地址。

• ssg5.example.net - 远程对等方（带有 FQDN 的主机名）。

• udp: 500—NAT-T 没有协商。

• Phase-1 [responder] failed with error (No proposal chosen)- 由于提议不匹配而导致第 1 阶段失败。

要解决此问题，请确保响应方和发起方上的 IKE 网关第 1 阶段建议的参数匹配。还要确认 VPN 存在隧道策略。

问题

了解 IKE 第 1 阶段条件失败时的命令输出 show log kmd 。这有助于确定 VPN 未建立第 1 阶段的原因。

解决方案

示例输出指示：

• 10.1.1.2- 本地地址。

• 10.2.2.2—远程对等

• Phase 1 [responder] failed with error (Authentication failed)— 第 1 阶段失败，因为响应方无法识别来自有效网关对等方的传入请求。对于具有 PKI 证书的 IKE，此故障通常表示指定或输入了不正确的 IKE ID 类型。

要解决此问题，请根据以下内容确认在本地对等方上指定了正确的对等方 IKE ID 类型：

• 远程对等方证书的生成方式

• 收到的远程对等方证书中的使用者备用名称或 DN 信息

问题

了解 IKE 第 1 阶段条件失败时的命令输出 show log kmd 。

解决方案

示例输出指示：

• 10.1.1.2—L本地地址。

• 10.2.2.2—远程对等方。

• Phase 1 [responder] failed with error(Timeout)- 第 1 阶段故障。

  此错误表示 IKE 数据包在前往远程对等方的途中丢失，或者远程对等方出现延迟或无响应。

由于此超时错误是等待来自 PKI 守护程序的响应的结果，因此您必须查看 PKI 跟踪选项输出以查看 PKI 是否存在问题。

问题

了解 IKE 第 2 阶段条件失败时的命令输出 show log kmd 。

解决方案

示例输出指示：

• 10.1.1.2- 本地地址。

• ssg5.example.net - 远程对等方（IKE ID 类型主机名，带有 FQDN）。

• Phase 1 [responder] done- 第 1 阶段成功。

• Failed to match the peer proxy ids— 收到的代理 ID 不正确。在前面的示例中，收到的两个代理 ID 是 192.168.168.0/24（远程）和 10.10.20.0/24（本地）（对于 service=any）。根据此示例中给出的配置，预期的本地地址为 192.168.10.0/24。这说明本地对等方配置不匹配，导致代理 ID 匹配失败。

  若要解决此问题，请更正通讯簿条目或在任一对等方上配置代理 ID，使其与另一个对等方匹配。

  输出还指示失败的原因为 No proposal chosen。但是，在这种情况下，您还会看到消息 Failed to match the peer proxy ids。

问题

了解 IKE 第 2 阶段条件失败时的命令输出 show log kmd 。

解决方案

示例输出指示：

• 10.1.1.2 - 本地地址。

• fqdn(udp:500,[0..15]=ssg5.example.net—远程对等方。

• Phase 1 [responder] done- 第 1 阶段成功。

• Error = No proposal chosen—第 2 阶段未选择任何提案。此问题是由于两个对等方之间的提议不匹配造成的。

  若要解决此问题，请确认第 2 阶段建议在两个对等方上匹配。

问题

排查与 IKE 和 PKI 相关的常见问题。

启用跟踪选项功能可帮助您收集有关调试问题的更多信息，而不是从普通日志条目中获取的信息。可以使用跟踪选项日志来了解 IKE 或 PKI 失败的原因。

解决方案

对 IKE 和 PKI 相关问题进行故障排除的方法：

• 确保时钟、日期、时区和夏令时设置正确。使用 NTP 保持时钟准确。

• 确保在 DN 的“C=”（国家/地区）字段中使用两个字母的国家/地区代码。

  例如：使用“美国”，而不是“美国”或“美国”。某些 CA 要求填充 DN 的国家/地区字段，允许您仅使用两个字母的值输入国家/地区代码值。

• 确保如果对等证书使用多个 OU=或 CN= 字段，则使用可分辨名称与容器方法（必须维护序列并区分大小写）。

• 如果证书尚未生效，请检查系统时钟，如果需要，请调整系统时区，或者只在时钟中添加一天以进行快速测试。

• 确保配置了匹配的 IKE ID 类型和值。

• PKI 可能由于吊销检查失败而失败。要确认这一点，请暂时禁用吊销检查，并查看 IKE 阶段 1 是否能够完成。

  要禁用吊销检查，请在配置模式下使用以下命令：

  set security pki ca-profile <ca-profile> revocation-check disable