Citrix SD-WAN

如何在 SD-WAN 和第三方设备之间配置 IPsec 隧道

要为内部网或局域网服务配置 IPsec 隧道,请执行以下操作:

  1. 配置编辑器中,导航到连接”>“查看站点”>“[站点名称]”>“IPsec 隧道”。选择服 务类型 (LAN 或内部网)。

  2. 输入服务类型名称。对于 Intranet 服务类型,配置的 Intranet 服务器将确定哪些本地 IP 地址可用。

本地知识产权

如果 WAN 链路在设备上直接终止,并且向 WAN 链路分配了动态 IP,Citrix SD-WAN 现在可以建立 IPsec 隧道。

在 11.1.0 版本中,当本地隧道 IP 地址不知道或无法知道时,必须可配置 Intranet IPsec 隧道。这有助于在通过 DHCP 分配地址的接口上创建 IPsec 隧道。

为 IPsec 隧道配置接口时,必须提及本地隧道 IP。对此接口进行了修改,以允许在隧道类型为 Intranet 时选择空 IP

此外,当隧道类型为 Intranet 时,未设置地址的标签将更改为 自动

如果将本地 IP 设置为“自动”,则它可以获取为该 WAN 链路上的接入接口合并的 IP 地址。该 WAN 链路访问接口可能会获得静态配置的 IP,也可以从 DHCP 获取 IP。默认情况下,IPsec 隧道是使用主 WAN 链路访问接口建立的。

之前,您可以通过单个 WAN 链路建立 IPSec 隧道。这会使分支环境在完全链路故障期间以及在链路上的数据包丢失过高以实现可靠连接时出现服务丢失。

从 11.1.0 版本起,您可以使用两条 WAN 链路建立 IPSec 隧道,以防止分支环境出现服务中断时间。如果主链路断开,辅助链路会在毫秒内变为活动/向上。

注意

选择 < 自动 >选项后,将使用主 WAN 链路访问接口建立 IPsec 隧道。如果主 WAN 链路断开,则使用辅助 WAN 链路访问接口建立 IPsec 隧道。

两条 WAN 链路

  1. 选择可用的 本地 IP 地 址,然后输入 IPsec 隧道的 对等 IP 地 址。

站点内部网设置 IPsec

IPsec 隧道类型

IPsec 内部网隧道类型

注意

如果服务类型是 Intranet,则 IP 地址由所选 Intranet 服务预先确定。

站点局域网设置

  1. 通过应用下表中描述的条件来配置 IPsec 设置。完成后,单击“应用”以保存您的设置。
字段 说明
服务类型 从下拉菜单中选择服务类型 内联网、局域网
名称 如果服务类型为 Intranet,请从下拉菜单中的已配置 Intranet 服务列表中进行选择。如果服务类型为 LAN,请输入唯一名称 文本字符串
本地知识产权 从此站点配置的可用虚拟 IP 地址下拉菜单中选择 IPsec 隧道的本地 IP 地址 IP 地址
对等 IP 输入 IPsec 隧道的对等 IP 地址 IP 地址
MTU 输入用于对IKE 和 IPsec 碎片进行碎片的 MTU 默认值:1500
IKE 设置 版本:从下拉菜单中选择 IKE 版本 IKEv1 IKEv2
模式 从下拉菜单中选择模式 符合 FIPS 标准:主要、不符合 FIPS 标准:侵略性
身份 从下拉菜单中选择身份 自动 IP 地址手动 IP 地址用户 FQDN
身份验证 从下拉菜单中选择身份验证类型 预共享密钥:如果您使用的是预共享密钥,请将其复制并粘贴到此字段中。单击眼球 () 图标可查看预共享密钥。证书:如果您使用的是身份证书,请从下拉菜单中选择该证书。
验证对等标识 选中此复选框可验证 IKE 的对等项。如果不支持对等项的 ID 类型,请不要启用此功能
DH Group 从下拉菜单中选择要用于 IKE 密钥生成的 Diffie–Hellman 组 不符合 FIPS 标准:组 1、FIPS 合规:组 2 组 5 组 14 组 15 组 16 组 19 组 20 组 21
哈希算法 从下拉菜单中选择一种算法来验证 IKE 消息 不符合 FIPS 要求:符合 MD5 FIPS 要求:SHA1 SHA-256
加密模式 从下拉菜单中选择 IKE 消息的 加密模式 AES 128 位 AES 192 位 AES 256 位
生命周期(秒) 输入 IKE 安全关联存在的首选持续时间(以秒为单位) 3600 秒(默认值)
最大使用寿命 输入允许存在 IKE 安全关联的最大首选持续时间(以秒为单位) 86400 秒(默认值)
DPD 超时 输入 VPN 连接的 死对等检测超时(以秒为单位) 300 秒(默认值)
IKEv2 对等身份验证:从下拉菜单中选择对等身份验证 镜像预共享密钥证书
IKE2-预共享密钥 对等预共享密钥:将 IKEv2 对等预共享密钥粘贴到此字段中以进行身份验证。单击眼球 () 图标查看预共享密钥 文本字符串
完整性算法 从下拉菜单中选择一个算法作为用于 HMAC 验证的哈希算法 不符合 FIPS 要求:符合 MD5 FIPS 要求:SHA1 SHA-256

注意:

如果终止 IPSec 路由器在配置中包含基于哈希的消息身份验证码 (HMAC),请将 IPSec 模式更改为使用哈希算法作为 S HA1展开 +身份验证

IKE 设置 IPsec 隧道

IK2 设置 IPsec 隧道

IPsec 和 IPsec 受保护的网络设置:

字段 说明
隧道类型 从下拉菜单中选择隧道类型 ESP 环境保证 + 环境保证 + 环境保证 + 空 AH
PFS 组 从下拉菜单中选择 Diffie-Hellman 组以便用于完美的前向保密密钥生成 无 组 1 组 2 组 5 组 14 组 15 组 16 组 19 组 20 组 21
加密模式 从下拉菜单中选择 IPSec 消息的 加密模式 如果您选择 ESP 或 ESP+ 身份验证,请选择以下任一选项:AES 128 位、AES 192 位、AES 256 位、AES 128 位、GCM 64 位、AES 192 位、GCM 64 位、AES 256 位、GCM 64 位、AES 128 位、GCM 96 位、AES 192 位、GCM 96 位、AES 256 位、GCM 96 位、AES 128 位、GCM 128 位、AES 192 位、GCM 128 位、AES 256 位、GCM 128 位
生命周期(秒) 输入允许 IPsec 安全关联存在的时间量(以秒为单位) 28800 秒(默认值)
最大寿命 输入允许 IPsec 安全关联存在的最长时间(以秒为单位) 86400 秒(默认值)
生命周期 (KB) 输入 IPsec 安全关联存在的数据量(以千字节为单位) 千字节
生命周期 (KB) 最大 输入允许 IPsec 安全关联存在的最大数据量(以千字节为单位) 千字节
网络不匹配行为 如果数据包与 IPsec 隧道的受保护网络不匹配,请从下拉菜单中选择要执行的操作 删除,发送未加密,使用非 IPsec 路由
IPsec 保护网络 源 IP/ 前缀:单击添加(+ 添加)按钮后,输入 IPsec 隧道将保护的网络通信的 源 IP 和前缀 IP 地址
IPsec 保护网络 目标 IP/ 前缀:输入 IPSec 隧道将保护的网络流量的 目标 IP 和前缀 IP 地址

IPsec 隧道设置

监视 IPsec 隧道

导航到 SD-WAN 装 置 GUI 中的“监视”>“IK/IPsec”以查看和监视 IPsec 隧道配置。

如何在 SD-WAN 和第三方设备之间配置 IPsec 隧道