</p> GET VPN还有他的一个优势是他采用单一的SA,他通过Key Server来分发SA给GM,而不是像L2L VPN那样通过两者协商出3个SA。) M$ V2 X+ f/ g/ j% ]
GET VPN注册过程:
* E- R8 u: }, K. r 1。 GM会发送注册请求给KS(触发注册的条件是:GM启动或在GM的进出流量的接口上调用crypto map)。通过GDOI协议,KS对组成员认证和授权,并且发送策略和用于加解密IP单播和组播的密钥。
. y) w3 _# t c" \( T 2。 当组成员注册成功获取IPSEC SA后,就会获取相应的密钥,组成员之间能够直接加密IP组播和单播,旁路掉KEY Server直接建立安全的通讯。
- d2 W9 v* g9 S1 C 3。 如果需要,KEY Server发送的密钥更新信息(Rekey Message)到组内的所有成员。这个密钥更新信息包含新的IPSEC策略和当前IPSEC SA超时以后使用的更新的密钥。密钥更新信息会在SA超时之前发送,保障组密钥一直可用。
+ V" r/ I; D) `1 o% `/ z0 ^3 N Cooperative Key Server
$ M% C6 ^9 C& d6 `& W& a5 Q Primary: 接受GM注册,产生密钥,分发密钥,通知Secondary KS (密钥是同步的),发送Rekey。3 a- l; _4 Q1 j4 X
Secondary: 接受GM注册,检测Primary KS是否存在,通知Primary KS新的GM,不发送Rekey。; A6 m) Y& }2 ?6 D' T) j
注意:Primary和Secondary之间只有GM数据库和密钥是会自动同步的。但是policy是不会同步的,建议要把两者的policy配置成相同的。
+ A5 d# r5 \* d+ x7 L 两种Anti-Replay 技术:. G' k( ? P+ K/ m7 S+ E* F
1。 Counter-Based Anti-Replay : 只适用于连个GM的环境(点对点)
, u/ K X) O2 O& }/ Z) a- { 2。 Time-Based Anti-Replay : 适用于多个GM环境(点对多点)( R- v$ v, }% P: f; h
GET VPN感兴趣流ACL:- T3 A. }$ R e. \( ?+ G" G- a
1。建议适用可归纳的网段(如10.1.1.0,10.1.2.0,10.1.3.0等),只需要配置一条ACL:6 o0 w' {# {4 B: }& D0 Z' {
如:access-list 101 permit ip 10.1.0.0 0.0.255.255 10.1.0.0 0.0.255.255
7 O# X/ D% g/ s) \9 F7 E 2。 如果网络不能归纳(如10.1.1.0,172.16.1.0)需要配置两条ACL,每个方向一条:) ?6 |/ H& j* ]7 m
如:access-list 101 permit ip 10.1.1.0 0.0.0.255 172.16.1.0 0.0.0.255" Q3 k7 c3 Z2 s# r2 u4 K; H
access-list 101 permit ip 172.16.1.0 0.0.0.255 10.1.1.0 0.0.0.255/ G) {" ?0 S i/ W
3。 GM上可以配置GM ACL,只能配置deny条目,优先于从key Server上下载的感兴趣流$ h8 S, Z: ]8 a* q3 ^. y" y/ O
如; access-list 106 deny ip 10.1.1.0 0.0.0.255 10.1.3.0 0.0.0.255% d8 Z- S% K! @- P q$ M$ ?
GET VPN配置步骤回顾:
3 c8 ` T U) k# C9 ], e 1。全网可路由
8 D3 N4 H+ Q/ l& v% B6 g+ _ 2。在KS上产生和导出密钥(KS1)
1 m$ J; u% ~ [" ]' J 3。配置ISAKMP Policy (KS1,KS2,GM)' ` _- `9 V; t% I# G
4。配置IPSec Profile (KS1,KS2)+ O3 M& }3 _, R7 C: q/ D/ W/ k
5。KS基本配置(KS1,KS2)
. M4 p; l* _0 |& L# ]& ? 6。Rekey参数设置(KS1)- D8 M" I! C6 h( a5 }
7。配置IPSEC SA策略(KS1,KS2)
" T& i: F5 ]# f- u6 @9 q: E 8。GM配置crypto map E5 P. E- G k$ k
9。配置coop key Server(KS1,KS2) |