41--华为IPSec主备链路实验：当加密隧道遇上“双保险“

🚦 华为IPSec主备链路实验：当加密隧道遇上"双保险"

“如果你的IPSec隧道只有一条路，那就像走钢丝不系安全带——刺激但危险！” —— 本文将用华为设备打造主备双加密通道，结合IP-link智能检测，让你的数据永远有Plan B！

一、实验拓扑设计与原理解析

1.1 主备IPSec拓扑图（华为eNSP实现）

1.2 地址规划表（双上行版）

设备	接口	IP地址	用途	链路类型
AR1	GE0/0/0	100.1.1.1/24	主线路出口	电信
AR1	GE0/0/1	100.2.1.1/24	备线路出口	联通
AR1	GE0/0/2	192.168.1.1/24	总部内网	-
AR2	GE0/0/0	200.1.1.1/24	主线路对接	电信
AR2	GE0/0/1	200.2.1.1/24	备线路对接	联通
AR2	GE0/0/2	192.168.2.1/24	分支内网	-

1.3 主备切换原理

sequenceDiagram
    participant IP-link
    participant 主链路
    participant 备链路
    
    IP-link->>主链路: 周期性发送探测包
    主链路-->>IP-link: 响应正常
    loop 每3秒检测
        IP-link->>主链路: 持续检测
    end
    主链路--x IP-link: 检测超时
    IP-link->>备链路: 激活备用隧道
    备链路-->>IP-link: 切换完成

二、主备IPSec配置全流程

2.1 第一步：配置IP-link检测

华为NQA检测原理：

配置命令：

# 在AR1上配置主链路检测
nqa test-instance admin ISP1
 test-type icmp
 destination-address ipv4 200.1.1.1
 frequency 10  # 每10秒探测
 timeout 2      # 超时2秒
 probe-count 3  # 连续3次失败触发切换

# 配置备链路检测（参数更宽松）
nqa test-instance admin ISP2
 test-type icmp
 destination-address ipv4 200.2.1.1
 frequency 30
 timeout 5
 probe-count 2

2.2 第二步：双ACL定义

主备ACL对比：

参数	主ACL (3001)	备ACL (3002)
源网段	192.168.1.0	192.168.1.0
目标网段	192.168.2.0	192.168.2.0
优先级	高	低

# AR1配置
acl number 3001
 rule 5 permit ip source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255
acl number 3002  
 rule 5 permit ip source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255

# AR2镜像配置
acl number 3001
 rule 5 permit ip source 192.168.2.0 0.0.0.255 destination 192.168.1.0 0.0.0.255
acl number 3002  
 rule 5 permit ip source 192.168.2.0 0.0.0.255 destination 192.168.1.0 0.0.0.255

2.3 第三步：主备安全提议

加密方案对比：

bar
    title 主备加密强度对比
    x-axis 算法类型
    y-axis 安全强度
    bar 主链路 : AES-256, SHA2-512, DH-group14
    bar 备链路 : AES-128, SHA2-256, DH-group5

# 主链路高强度加密
ipsec proposal MAIN 
 esp encryption-algorithm aes-256
 esp authentication-algorithm sha2-512
 pfs dh-group14

# 备链路基础加密（节省资源）
ipsec proposal BACKUP
 esp encryption-algorithm aes-128
 esp authentication-algorithm sha2-256
 pfs dh-group5

2.4 第四步：IKE双配置

主备IKE参数对比表：

参数	主IKE对等体	备IKE对等体
预共享密钥	MoreComplex!2023	BackupKey@2023
DPD检测	10秒	30秒
生存时间	1小时	8小时

# 主IKE配置
ike peer MAIN
 pre-shared-key cipher %^%MoreComplex!2023%^%
 remote-address 200.1.1.1
 ike-proposal 10
 dpd interval 10
 sa duration-time 3600

# 备IKE配置  
ike peer BACKUP
 pre-shared-key cipher %^%BackupKey@2023%^%
 remote-address 200.2.1.1
 ike-proposal 5
 dpd interval 30
 sa duration-time 28800

2.5 第五步：策略路由绑定

主备策略优先级：

# AR1配置
ipsec policy MAIN 10 isakmp
 security acl 3001
 ike-peer MAIN
 proposal MAIN
 track nqa admin ISP1  # 绑定NQA检测

ipsec policy BACKUP 20 isakmp
 security acl 3002
 ike-peer BACKUP
 proposal BACKUP
 track nqa admin ISP2

# 接口应用
interface GigabitEthernet0/0/0
 ipsec policy MAIN
interface GigabitEthernet0/0/1  
 ipsec policy BACKUP

三、高级功能配置

3.1 智能链路切换

切换条件判断流程：

3.2 状态自动恢复

# 配置主链路恢复优先级
ipsec policy MAIN 10 isakmp
 revert enable  # 启用自动回切
 revert delay 120  # 恢复后延迟2分钟切换

四、验证与排错

4.1 状态检查命令

# 查看NQA检测状态
display nqa results test-instance admin ISP1

# 查看IPSec主备状态
display ipsec policy
display ipsec sa brief

# 查看路由切换情况
display route | include 192.168

4.2 模拟故障测试

# 在主链路接口制造故障
interface GigabitEthernet0/0/0
 shutdown

# 观察切换过程（应30秒内完成）
terminal monitor
terminal debugging
debugging ipsec all

五、典型故障处理

5.1 切换延迟问题

排查步骤：

1. 检查NQA超时时间：

   display nqa configuration
   

2. 验证路由收敛时间：

   display ip routing-table protocol static
   

3. 检查BFD会话状态（如配置）：

   display bfd session
   

5.2 主备同时激活

解决方案：

# 调整策略优先级
ipsec policy-map
 policy MAIN precedence 10
 policy BACKUP precedence 20

🎯 终极总结：主备链路"生存法则"

1. 检测比加密更重要：没有可靠的检测，双链路就是摆设
2. 主备参数差异化：加密强度、检测频率要区分
3. 切换三要素：
   • 快速感知（NQA/BFD）
   • 明确切换条件（连续失败次数）
   • 平滑回切（避免震荡）

“记住：好的主备配置就像婚姻关系——主链路是过日子的人，备链路是永远等你的备胎，而IP-link就是那个随时提醒你’该换人了’的损友！” 下期预告：《SD-WAN如何干掉传统IPSec？这场battle你看好谁？》…