IPSec VPN是目前VPN技術中點擊率非常高的一種技術，同時提供VPN和信息加密兩項技術，今天就來介紹一下IPSec VPN的原理。
IPSec VPN的應用場景
- Site-to-Site(站點到站點或者網關到網關):不同分支機構在互聯網的3個不同地方，各使用一個商務領航網關相互建立VPN隧道，企業內網（若干PC）之間的數據通過這些網關建立的IPSec隧道實現安全互聯。
- End-to-End(端到端或者PC到PC):兩個PC之間的通信由兩個PC之間的IPSec會話保護，而不是網關。
- End-to-Site(端到站點或者PC到網關)：兩個PC之間的通信由網關和異地PC之間的IPSec進行保護。
IPSec是一個框架性架構，具體由兩類協議組成：
- AH協議（Authentication Header，使用較少）：可以同時提供數據完整性確認、數據來源確認、防重放等安全特性；AH常用摘要算法（單向Hash函數）MD5和SHA1實現該特性。
- ESP協議（Encapsulated Security Payload，使用較廣）：可以同時提供數據完整性確認、數據加密、防重放等安全特性；ESP通常使用DES、3DES、AES等加密算法實現數據加密，使用MD5或SHA1來實現數據完整性。
IPSec封裝模式
IPSec提供的兩種封裝模式（傳輸Transport模式和隧道Tunnel模式）
上圖是傳輸模式的封裝結構，再來對比一下隧道模式：
可以發現傳輸模式和隧道模式的區別：
1. 傳輸模式在AH、ESP處理前后IP頭部保持不變，主要用于End-to-End的應用場景。
2. 隧道模式則在AH、ESP處理之后再封裝了一個外網IP頭，主要用于Site-to-Site的應用場景。
以下通過在華為AR系列路由器配置IPsec-vpn站點到多站點的案例，來熟悉一下IPsec-vpn的配置流程。
拓撲圖
實驗目的：總部與兩個分部之間業務數據要求加密傳輸，在兩個分支機構與總部之間建立ipsec-vpn。
在配置ipsec-vpn之前先要確保R3、R4和R2之間的公網互通。這里簡單得使用靜態路由，把R3、R4和R2的路徑打通。分別在R3、R4和R2配置默認路由，執行如下命令
ip route-static 0.0.0.0 0.0.0.0 202.10.10.1 //R3
ip route-static 0.0.0.0 0.0.0.0 202.10.30.1 //R2
ip route-static 0.0.0.0 0.0.0.0 202.10.20.1 //R4
分支機構1配置IPsec-vpn
1、定義訪問控制列表，匹配需要保護的數據流
acl number 3000
rule 5 permit ip source 192.168.1.0 0.0.0.255 destination 192.168.3.0 0.0.0.255
2、創建安全提議，并選取安全協議
ipsec proposal ipsec
esp authentication-algorithm sha1
esp encryption-algorithm aes-128
3、創建IKE提議，選擇aes-cbc-128加密算法
ike proposal 1
encryption-algorithm aes-cbc-128
dh group5
4、配置IKE對等體
ike peer peer1 v1
exchange-mode aggressive
pre-shared-key simple sbt123456
ike-proposal 1
remote-address 202.10.30.2
5、創建ip-sec安全策略
ipsec policy p1 1 isakmp
security acl 3000
ike-peer peer1
proposal ipsec
6、在公網接口g0/0/1調用ipsec-policy
interface GigabitEthernet0/0/1
ip address 202.10.10.3 255.255.255.0
ipsec policy p1
分支機構2配置和分支機構1的配置基本一樣，這里就不貼配置腳本了。
總部配置IPsec-vpn
配置總部的ipsec安全提議和安全策略，總部配置過程中不可以指定的對等體，不要做訪問控制列表，否則容易沖突。需要使用ipsec-policy-template 模板 和ipsec-profile 同時把ipsec policy 和模板關聯起來。總部機構的配置至關重要，一定要細心。
在總部的公網接口g0/0/0調用策略
interface GigabitEthernet0/0/0
ip address 202.10.30.2 255.255.255.0
ipsec policy p2
驗證結果
用分支機構私網用戶去訪問總部的私網用戶，測試數據是否加密，查看封裝，能否通訊
抓包觀察
通過抓包觀察數據已經加密 新ip+esp+私網ip+data，因為數據被加密所以在這里我們看不到私網的數據和私網的ip地址。
