做企業(yè)網(wǎng)絡(luò)這一行只要公司有多個(gè)辦公地點(diǎn)或者業(yè)務(wù)上了云“兩個(gè)內(nèi)網(wǎng)怎么安全地連起來”這個(gè)問題遲早會(huì)落到你頭上。早些年大家習(xí)慣拉一條運(yùn)營商專線預(yù)算到位什么都好說可現(xiàn)在總部、分部、云上環(huán)境三地開花專線成本頂不住走公網(wǎng)又擔(dān)心數(shù)據(jù)在鏈路上裸奔。這時(shí)候 IPSec 加密隧道就該登場了——它在公網(wǎng)之上架起一條加密通路把兩邊的內(nèi)網(wǎng)嚴(yán)絲合縫地縫在一起讓內(nèi)網(wǎng)設(shè)備彼此“看不見”中間那段公開鏈路。這篇就把 IPSec 從協(xié)議原理到落地配置、從 IKE 協(xié)商到故障排查完整地捋一遍。內(nèi)容適合剛接手企業(yè)組網(wǎng)的新手也適合被“SA 起不來”折磨過的老手復(fù)盤。我會(huì)盡量把每個(gè)參數(shù)“為什么這么設(shè)”講透而不是甩一堆命令讓你照抄同時(shí)在關(guān)鍵環(huán)節(jié)分享我自己踩過的坑。1. 為什么總部和分部要用 IPSec 把兩張內(nèi)網(wǎng)縫在一起1.1 專線、裸公網(wǎng)、加密隧道三條路的賬怎么算先聊選型。企業(yè)把兩個(gè)內(nèi)網(wǎng)連起來本質(zhì)上就三條路租運(yùn)營商專線、直接走公網(wǎng)、在公網(wǎng)上疊一層加密隧道。專線比如 MPLS 專線質(zhì)量最好延遲抖動(dòng)可控但它按帶寬收費(fèi)一個(gè) 100M 的跨省專線月租往往四位數(shù)起步而且新增一個(gè)分部就要重新申請、重新等工期業(yè)務(wù)擴(kuò)張一快就卡脖子。直接走公網(wǎng)最省錢問題是數(shù)據(jù)全是明文任何中間節(jié)點(diǎn)都能看到你的內(nèi)部流量財(cái)務(wù)系統(tǒng)、數(shù)據(jù)庫同步這類流量放上去等于裸奔。于是就有了第三條路——在公網(wǎng)之上用 IPSec 建立加密隧道。它的思路很簡單兩端的網(wǎng)關(guān)設(shè)備先協(xié)商好一套密鑰和算法之后所有需要跨站點(diǎn)傳輸?shù)膬?nèi)部流量都被網(wǎng)關(guān)抓出來、加密、再套上一層公網(wǎng)能識(shí)別的 IP 頭通過公網(wǎng)送達(dá)對端網(wǎng)關(guān)對端解密后還原成原始內(nèi)網(wǎng)包。整個(gè)過程對兩邊的終端完全透明終端該 ping 內(nèi)網(wǎng) IP 還是照常 ping感覺就像在同一個(gè)局域網(wǎng)里。成本上你只需要為公網(wǎng)帶寬付費(fèi)靈活性上新增分部只要對端網(wǎng)關(guān)配一段策略就能接入擴(kuò)容極快。連接方式成本安全性靈活性典型適用場景運(yùn)營商專線高按帶寬計(jì)價(jià)高物理隔離低工期長核心交易系統(tǒng)、強(qiáng)合規(guī)要求裸公網(wǎng)直連極低無全程明文高臨時(shí)測試、非敏感數(shù)據(jù)IPSec 加密隧道中公網(wǎng)帶寬成本高端到端加密高策略配好即通多分部互聯(lián)、云上內(nèi)網(wǎng)打通這張表我建議你在做方案匯報(bào)時(shí)直接用它能讓不懂技術(shù)的人一眼看明白錢花在哪、風(fēng)險(xiǎn)省在哪。專線不是不能選而是要用在刀刃上大部分辦公互聯(lián)、分支數(shù)據(jù)回傳場景IPSec 加密隧道已經(jīng)足夠。1.2 IPSec 到底解決了哪些實(shí)際問題很多人對 IPSec 的理解停留在“加密”兩個(gè)字其實(shí)它一口氣解決了四個(gè)問題這也是它比簡單加密工具更可靠的原因。第一是機(jī)密性通過對稱加密算法如 AES把原始數(shù)據(jù)變成密文中間人抓包只能看到亂碼。第二是完整性通過哈希算法如 SHA為每個(gè)包生成校驗(yàn)值數(shù)據(jù)在鏈路上被篡改一個(gè)比特對端都能發(fā)現(xiàn)。第三是身份認(rèn)證兩端的網(wǎng)關(guān)在建立隧道前必須互相證明身份證明不了就不讓通道建立避免了“假冒對端”的中間人攻擊。第四是抗重放IPSec 為每個(gè)加密包帶上一個(gè)單調(diào)遞增的序列號接收方維護(hù)一個(gè)滑動(dòng)窗口重復(fù)收到的舊包直接丟棄防止攻擊者把截獲的歷史報(bào)文重新發(fā)一遍來欺騙系統(tǒng)。這四項(xiàng)能力組合起來才讓“在不可信的公網(wǎng)上跑可信業(yè)務(wù)”成為可能。理解這一點(diǎn)很重要因?yàn)楹竺媾渲美锬切┛雌饋矸爆嵉膮?shù)——加密算法、哈希算法、DH 組、密鑰生命周期——其實(shí)每一項(xiàng)都對應(yīng)著上面某個(gè)能力的實(shí)現(xiàn)細(xì)節(jié)。你把它當(dāng)成一套“鎖簽名身份核驗(yàn)防重放”的組合拳來理解后面看配置就不會(huì)覺得是一堆無意義的字母數(shù)字。2. 把 IPSec 拆開看幾個(gè)繞不開的協(xié)議組件2.1 AH 和 ESP 到底選哪個(gè)IPSec 不是單一協(xié)議而是一套協(xié)議族最核心的兩個(gè)成員是 AH認(rèn)證頭和 ESP封裝安全載荷。它們用不同的 IP 協(xié)議號來標(biāo)識(shí)AH 是 51ESP 是 50。AH 的特點(diǎn)是只做認(rèn)證不做加密它會(huì)把整個(gè) IP 包包括外層 IP 頭都納入校驗(yàn)范圍因此能防篡改、防偽造但數(shù)據(jù)本身還是明文。ESP 則既能加密又能認(rèn)證不過它的認(rèn)證范圍不包括最外層 IP 頭。那為什么實(shí)際項(xiàng)目里幾乎清一色用 ESP關(guān)鍵就在于 NAT。AH 把外層 IP 頭也算進(jìn)校驗(yàn)可一旦數(shù)據(jù)包經(jīng)過 NAT 設(shè)備源 IP 會(huì)被改寫對端收到后一算校驗(yàn)值對不上直接丟包隧道根本跑不起來。ESP 不校驗(yàn)外層 IP 頭天然對 NAT 更友好。所以除非是純內(nèi)網(wǎng)、完全無 NAT 的極特殊場景否則一律選 ESP。提示如果你在某些老設(shè)備的配置界面上看到 AH 選項(xiàng)先別急著勾先確認(rèn)整條路徑上有沒有做地址轉(zhuǎn)換否則大概率是白忙一場。2.2 傳輸模式與隧道模式別用錯(cuò)IPSec 有兩種工作模式選錯(cuò)模式是新手最常犯的錯(cuò)誤之一。傳輸模式是在原始 IP 包的基礎(chǔ)上去保護(hù)它的載荷原 IP 頭保持不變通常用于“主機(jī)到主機(jī)”的直接通信。隧道模式則是把整個(gè)原始 IP 包含原始 IP 頭整體加密然后在外面重新套一個(gè)新的 IP 頭新頭的源和目的是兩個(gè)網(wǎng)關(guān)的公網(wǎng)地址。站點(diǎn)到站點(diǎn)的互聯(lián)必須用隧道模式。原因很直觀內(nèi)網(wǎng)用的是私有地址段比如 10.x.x.x這種地址在公網(wǎng)上根本不可路由網(wǎng)關(guān)必須把“私有地址的原始包”整個(gè)包起來套上公網(wǎng)地址的新頭才能送出去。對端網(wǎng)關(guān)收到后再拆掉外層頭、解密、還原出原始私有地址包轉(zhuǎn)交給自己的內(nèi)網(wǎng)。傳輸模式做不到這一點(diǎn)它沒法隱藏原始內(nèi)網(wǎng)地址公網(wǎng)上一傳就丟。2.3 安全聯(lián)盟 SA 和 SPI隧道真正的“身份證”IPSec 里有個(gè)核心概念叫安全聯(lián)盟Security AssociationSA。你可以把 SA 理解成兩端對“怎么加密、用什么密鑰、用多久”達(dá)成的一份合同。重點(diǎn)在于SA 是單向的。也就是說從 A 到 B 的流量有一條 SA從 B 到 A 的流量是另一條獨(dú)立的 SA。所以一條完整的雙向隧道實(shí)際上對應(yīng)著兩條 SA。每條 SA 用一個(gè)叫 SPI安全參數(shù)索引的 32 位數(shù)字來標(biāo)識(shí)它是接收方生成的會(huì)放進(jìn) ESP 頭里。對端收到包后用“SPI 目的 IP 安全協(xié)議類型”這個(gè)三元組在自己的 SA 數(shù)據(jù)庫里查找對應(yīng)的解密策略。此外每條 SA 都有生命周期分軟超時(shí)和硬超時(shí)軟超時(shí)到了會(huì)提前協(xié)商新 SA 做平滑切換硬超時(shí)到了舊 SA 必須作廢。這個(gè)設(shè)計(jì)保證了密鑰不會(huì)長期不變降低被破解的風(fēng)險(xiǎn)。理解 SA 的單向性和生命周期對后面排查“單向能通、反向不通”這類問題至關(guān)重要。3. IKE 協(xié)商兩個(gè)階段報(bào)文究竟怎么跑3.1 階段一先把管理通道建起來IPSec 的兩端要建立數(shù)據(jù)隧道得先通過 IKE互聯(lián)網(wǎng)密鑰交換協(xié)議協(xié)商。IKE 協(xié)商分兩個(gè)階段階段一的目標(biāo)是建立一條“管理通道”也就是 IKE SA之后階段二的協(xié)商報(bào)文都在這條通道里加密傳輸。階段一有主模式和野蠻模式兩種。主模式一共交換 6 個(gè)報(bào)文分三組先協(xié)商一套保護(hù)后續(xù)協(xié)商的算法套件再做 DH 密鑰交換最后做身份認(rèn)證。它的優(yōu)點(diǎn)是身份信息全程加密安全性好缺點(diǎn)是報(bào)文多、握手慢。野蠻模式只用 3 個(gè)報(bào)文握手快但身份信息是明文傳輸?shù)陌踩匀跻恍?。野蠻模式適用于對端公網(wǎng)地址不固定比如動(dòng)態(tài)撥號的場景——因?yàn)樗茉诘谝粭l報(bào)文里就帶上身份標(biāo)識(shí)主模式在地址不固定的情況下反而不好處理。實(shí)際項(xiàng)目里只要兩端都是固定公網(wǎng) IP優(yōu)先用主模式。階段一要協(xié)商的核心參數(shù)包括加密算法如 AES-256、哈希算法如 SHA-256、DH 組如 group 14/group 2、認(rèn)證方式預(yù)共享密鑰或證書。這四個(gè)參數(shù)兩端必須完全一致任何一項(xiàng)對不上階段一就協(xié)商失敗隧道連門都進(jìn)不去。3.2 階段二數(shù)據(jù)通道的快速生成階段一打通后就進(jìn)入階段二也叫快速模式一般 3 個(gè)報(bào)文。它的目標(biāo)是為實(shí)際的數(shù)據(jù)流量協(xié)商出 IPSec SA在這個(gè)過程中會(huì)生成真正的加密密鑰同時(shí)確定 SPI 值另外還會(huì)協(xié)商一個(gè)可選項(xiàng) PFS完美前向保密。PFS 的作用是即使某一條 SA 的密鑰被破解也推不出其他 SA 的密鑰因?yàn)樗看味紩?huì)重新做一次 DH 交換。開了 PFS 會(huì)更安全但會(huì)犧牲一點(diǎn)性能。階段二需要協(xié)商的參數(shù)是加密算法、哈希算法、封裝模式隧道/傳輸、SA 生命周期、以及是否啟用 PFS。同樣這些參數(shù)兩端必須對齊。這里有個(gè)容易忽略的點(diǎn)——階段二的加密算法可以和階段一不同它們是完全獨(dú)立的兩套參數(shù)別把兩者混為一談。3.3 預(yù)共享密鑰還是數(shù)字證書身份認(rèn)證方式有兩種主流選擇。預(yù)共享密鑰PSK就是兩端配置同一個(gè)口令字符串配置簡單、上手快適合中小規(guī)模、設(shè)備數(shù)量不多的場景。但它的短板也明顯所有設(shè)備共用一個(gè)口令一旦某臺(tái)設(shè)備配置泄露就得全網(wǎng)改密鑰而且密鑰沒法按設(shè)備粒度吊銷。數(shù)字證書則用 CA 簽發(fā)的證書來做身份認(rèn)證適合設(shè)備規(guī)模大、安全要求高的環(huán)境。它支持按設(shè)備吊銷、支持密鑰輪換但需要搭建或?qū)?CA 體系配置和維護(hù)成本更高。我的建議是二三十個(gè)節(jié)點(diǎn)以內(nèi)的中小項(xiàng)目PSK 完全夠用但口令一定要足夠長且復(fù)雜上了規(guī)模、或者有合規(guī)審計(jì)要求就老老實(shí)實(shí)上證書。注意PSK 的口令千萬別圖省事用“123456”這類弱口令。我見過有人用公司簡稱當(dāng)口令結(jié)果隧道被爆破內(nèi)部流量被竊取教訓(xùn)非常深刻。4. 兩臺(tái)網(wǎng)關(guān)對接參數(shù)怎么定、配置怎么寫4.1 地址規(guī)劃與參數(shù)計(jì)算配置之前先把地址和感興趣流規(guī)劃清楚這一步做扎實(shí)后面能省一半的排查時(shí)間。我用一個(gè)典型場景來演示總部內(nèi)網(wǎng)用 10.1.0.0/16分部內(nèi)網(wǎng)用 10.2.0.0/16總部網(wǎng)關(guān)公網(wǎng)地址是 200.1.1.1分部網(wǎng)關(guān)是 202.1.1.1?！案信d趣流”是 IPSec 的核心概念指的是哪些流量需要走隧道?？偛窟@邊要定義為“源 10.1.0.0/16 到目的 10.2.0.0/16”分部那邊則要精確鏡像寫成“源 10.2.0.0/16 到目的 10.1.0.0/16”。方向?qū)懛词切率肿畛Ｒ姷腻e(cuò)誤直接導(dǎo)致協(xié)商失敗。參數(shù)選擇上我給一套穩(wěn)妥的默認(rèn)組合階段一的 IKE 協(xié)商用 AES-256 SHA-256 DH group 14階段二用 ESP AES-256 SHA-256PFS 打開用 group 14。這套組合兼顧了安全性和兼容性現(xiàn)在的設(shè)備基本都支持。如果你想兼容一些老設(shè)備可以再額外預(yù)留一套 AES-128 SHA-1 group 2 的備用參數(shù)作為協(xié)商回退。4.2 關(guān)鍵配置逐條拆解以常見的企業(yè)級網(wǎng)關(guān)命令行風(fēng)格為例配置大致分五塊定義 IKE 提議、定義 IKE 對端、定義 IPSec 提議、定義感興趣流 ACL、定義 IPSec 策略并應(yīng)用到接口。我逐條說明意圖。第一塊IKE 提議ike proposal 10 encryption-algorithm aes-256 authentication-algorithm sha2-256 dh group14這段定義了階段一用的算法套件編號 10 只是本地標(biāo)識(shí)符兩端編號不用一致。第二塊IKE 對端指認(rèn)“跟誰協(xié)商、怎么認(rèn)證”ike peer branch remote-address 202.1.1.1 pre-shared-key cipher MyStrongPsk2024 ike-proposal 10remote-address 指向?qū)Χ斯W(wǎng)地址PSK 兩端必須一模一樣注意大小寫。第三塊IPSec 提議定義階段二的參數(shù)ipsec proposal branch-prop encapsulation-mode tunnel transform esp esp encryption-algorithm aes-256 esp authentication-algorithm sha2-256第四塊感興趣流 ACLacl number 3000 rule 5 permit ip source 10.1.0.0 0.0.255.255 destination 10.2.0.0 0.0.255.255第五塊把前面幾塊串起來做成 IPSec 策略然后應(yīng)用到公網(wǎng)出接口ipsec policy branch-policy 10 isakmp security acl 3000 ike-peer branch proposal branch-prop pfs dh-group14最后在出接口上ipsec policy branch-policy引用即可。整個(gè)過程的關(guān)鍵是ACL 決定“誰走隧道”IPSec 策略把 IKE 對端、提議、ACL 綁在一起接口引用決定“從哪個(gè)口出去”。三者的關(guān)系理順了配置就不會(huì)亂。4.3 上線驗(yàn)證與抓包配置寫完別急著慶祝一定要做驗(yàn)證。第一步看 IKE 狀態(tài)display ike sa應(yīng)該能看到階段一的 SA 處于已建立狀態(tài)第二步看 IPSec 狀態(tài)display ipsec sa能看到具體的 SPI、加密算法和加解密包計(jì)數(shù)。第三步從總部內(nèi)網(wǎng)發(fā)ping到分部內(nèi)網(wǎng)地址能通說明數(shù)據(jù)面通了。最有效的驗(yàn)證手段是抓包。在公網(wǎng)接口上抓包你應(yīng)該能看到 IKE 的 UDP 500 端口協(xié)商報(bào)文以及后續(xù)數(shù)據(jù)面上的 ESP 報(bào)文協(xié)議號 50。如果你能看到 ESP 包說明隧道確實(shí)在工作如果只有協(xié)商報(bào)文沒有 ESP那多半是感興趣流沒匹配上或者 ACL 寫反了。抓包時(shí)注意看兩端的加解密包計(jì)數(shù)是否同步增長如果一端一直在加密發(fā)送、另一端解密計(jì)數(shù)始終為零那就是單向 SA 沒建起來。實(shí)操心得驗(yàn)證時(shí)先ping小包再ping大包比如ping -s 1400。很多問題只在大包上暴露小包能通不代表隧道完全正常這一點(diǎn)后面排錯(cuò)部分會(huì)詳細(xì)講。5. NAT 穿透與故障排查實(shí)錄5.1 NAT-T 為什么必須懂現(xiàn)實(shí)中兩端網(wǎng)關(guān)的公網(wǎng)地址很少直接暴露在互聯(lián)網(wǎng)上中間往往會(huì)經(jīng)過運(yùn)營商的地址轉(zhuǎn)換設(shè)備。前面說過 ESP 不校驗(yàn)外層 IP 頭所以地址被改寫本身不致命但另一個(gè)問題來了ESP 是三層協(xié)議沒有端口號NAT 設(shè)備做端口映射時(shí)找不到端口無法為它建立映射表項(xiàng)回程包就可能送不回來。解決辦法就是 NAT-TNAT 穿透。它的原理是把 ESP 包整個(gè)封裝進(jìn) UDP 里用 UDP 4500 端口傳輸這樣 NAT 設(shè)備就能基于端口建立映射了。NAT-T 的檢測是在 IKE 階段一自動(dòng)完成的——兩端會(huì)發(fā)現(xiàn)彼此之間存在 NAT然后自動(dòng)切換到 UDP 封裝。需要提醒的是NAT-T 生效后NAT 設(shè)備上的會(huì)話老化時(shí)間可能會(huì)影響隧道?；罱ㄗh配合開啟 IKE 的?；顧C(jī)制DPD定期發(fā)心跳包維持映射表項(xiàng)。5.2 常見故障速查表下面這張表是我多年排查經(jīng)驗(yàn)的濃縮遇到問題先對照它縮小范圍能省下大量時(shí)間。故障現(xiàn)象最可能的原因排查方向階段一 SA 起不來算法/DH組/PSK/對端地址不一致核對兩端 IKE 提議每一行參數(shù)階段一通了階段二不通感興趣流 ACL 寫反或不鏡像檢查兩端 ACL 源目方向單向能通反向不通反向 SA 未建立或 ACL 不對稱看兩端 SA 狀態(tài)和加解密計(jì)數(shù)小包通大包丟MTU 問題或分片被丟棄調(diào)小 MTU檢查分片處理隧道頻繁閃斷DPD ?；钗撮_或會(huì)話老化開啟 DPD檢查中間設(shè)備老化時(shí)間重啟后隧道不通配置未持久化或順序問題檢查配置保存和接口引用5.3 我踩過的坑幫你避一避第一個(gè)坑是 PSK 大小寫不一致。有次我復(fù)制粘貼配置一端是大寫開頭一端是小寫肉眼根本看不出來愣是排查了兩個(gè)小時(shí)。后來養(yǎng)成習(xí)慣PSK 統(tǒng)一用配置管理工具下發(fā)絕不手敲。第二個(gè)坑是 DH 組不匹配。階段一兩端的 DH 組必須完全一樣有一次對端工程師把 group14 寫成了 group2協(xié)商報(bào)文能發(fā)出去但建立不了 SA日志里報(bào)的錯(cuò)又很含糊最后是抓包看協(xié)商報(bào)文的 proposal 才定位到。第三個(gè)坑是 MTU 和分片。隧道封裝會(huì)給每個(gè)包增加額外的頭部開銷ESP 頭、外層 IP 頭加起來幾十字節(jié)如果鏈路 MTU 是標(biāo)準(zhǔn)的 1500原始包太大時(shí)封完就超過 MTU需要分片。如果中間設(shè)備禁止分片或者對分片處理不當(dāng)就會(huì)出現(xiàn)小包通、大包丟的怪現(xiàn)象。解決辦法是適當(dāng)調(diào)低隧道接口或內(nèi)網(wǎng)接口的 MTU或者啟用 TCP MSS 調(diào)整讓終端主動(dòng)生成更小的包。第四個(gè)坑是時(shí)間不同步。如果用了證書認(rèn)證兩端時(shí)間偏差過大會(huì)導(dǎo)致證書校驗(yàn)失敗隧道建立不了。所以證書場景下務(wù)必保證兩端的時(shí)鐘同步。第五個(gè)坑是配置了策略卻沒生效。IPSec 策略必須顯式應(yīng)用到出接口而且 ACL 的匹配順序會(huì)直接影響結(jié)果——如果有一條放行所有流量的規(guī)則排在了感興趣流規(guī)則前面那你的流量根本不會(huì)被 IPSec 策略抓取自然也就不會(huì)走隧道而是明文出去了。這個(gè)坑最隱蔽因?yàn)楸砻嫔稀熬W(wǎng)絡(luò)是通的”只是沒加密你根本意識(shí)不到。提示每完成一個(gè)配置階段就做一次驗(yàn)證別等全部配完再一起測。分級驗(yàn)證能把故障范圍快速鎖定在某一塊排查效率翻倍。最后分享一個(gè)我在實(shí)際項(xiàng)目里的習(xí)慣給每條隧道都配一份“配置檔案”記錄兩端的公網(wǎng)地址、內(nèi)網(wǎng)段、算法套件、PSK 標(biāo)識(shí)、ACL 內(nèi)容和上線日期。隧道一多人腦記不住全靠檔案對賬。之前有次一個(gè)分部搬遷換了公網(wǎng)地址我翻檔案五分鐘就改完了配置而隔壁沒做檔案的團(tuán)隊(duì)排查了一整天。IPSec 這東西配置本身不難難的是把它管清楚、排得動(dòng)把參數(shù)對齊和記錄做好你就贏了一大半。