欢迎光临
我们一直在努力

利用NQA探测 在固定时间段内保持IPSEC隧道的连通性

一、组网需求

由于物理链路的不稳定,现在要求在IPsec隧道两端通过发送定时报文来保持VPN的连通性。如果物理链路出现问题,IPsec隧道响应方将无法与发起方通信,所以必须在发起方配置NQA探测来刷新链路状态,保持隧道的连通性,还可以通过防火墙来控制进行NQA探测的时段。

设备清单:MSR系列路由器两台。

二、组网图

三、配置步骤

#
//配置设备的时区为北京时区
 clock timezone BeiJing add 08:00:00
#
//新建一个时间范围
 time-range time 08:00 to 12:00 daily
#
//定义一个acl来禁止在规定时间段之外进行NQA探测
acl number 3001
 rule 0 deny udp destination 2.2.2.2 0 destination-port eq 8000 time-range time
#
//采用野蛮模式可以穿越NAT
ike peer peer
 exchange-mode aggressive
 pre-shared-key cipher 123
 remote-address 2.2.2.2
 nat traversal
#
ipsec proposal def
#
ipsec policy policy 1 isakmp
 security acl 3001
 ike-peer peer
 proposal def
#
interface GigabitEthernet0/0
 port link-mode route
//利用防火墙来控制进行NAQ探测的时间段
 firewall packet-filter 3001 outbound
//地址自动获取,但要在设备上配置一条默认路由出口指向网关地址
 ip address dhcp-alloc
//应用安全策略
 ipsec policy policy
#
//创建一个管理员名字为admin,测试操作标签为test的NQA测试组
nqa entry admin test
//测试类型是UDP-echo
 type udp-echo
//指定NQA服务器地址
  destination ip 2.2.2.2
//指定发送报文的UDP端口号
  destination port 8000
//指定连续两次测试看是的时间间隔为3000ms
  frequency 3000
//开启NQA测试组的历史记录保存功能
  history-record enable
//配置一次NQA测试中探测的次数为2
  probe count 2
//配置一次探测的超时时间为50000ms
  probe timeout 50000
#
//配置NQA探测的启动时间和持续时间
nqa schedule admin test start-time now lifetime forever
#
//指定几个网络上知名的NTP服务器的IP地址以保证设备时间的准确性
 ntp-service unicast-server 207.46.232.182
 ntp-service unicast-server 207.46.197.32
 ntp-service unicast-server 192.43.244.18
#
#
ike peer peer
 exchange-mode aggressive
 pre-shared-key cipher TEzJOUGCmuE=
 nat traversal
#              
ipsec proposal def
#
//IPsec响应方采用策略模板模式
ipsec policy-template policy 1
 ike-peer peer
 proposal def
#
ipsec policy policy1 1 isakmp template policy
#
interface GigabitEthernet0/0
 port link-mode route
 ip address 2.2.2.2 255.255.255.0
 ipsec policy policy1
#
//使能NQA服务器功能
 nqa server enable
//在NQA服务器上开启UDP监听功能,监听目的地址为2.2.2.2,端口号为8000的UDP报文
 nqa server udp-echo 2.2.2.2 8000
#

四、配置关键点

1.       要在设备上制定NTP服务器来保证时间的准确性。

2.       配置IKE的时候,发起方必须制定remote-address

3.       可以用防火墙来灵活的控制NQA探测的时间段。

4.       IPsec响应端使用野蛮模式的时候不用配置acl

5.       必须在R1上再配置一条默认路由指向上行网关,要保证IPsec隧道两端是路由可达的。

赞(20)
未经允许不得转载:攻城狮阿龙 » 利用NQA探测 在固定时间段内保持IPSEC隧道的连通性
分享到: 更多 (0)

评论 抢沙发

  • 昵称 (必填)
  • 邮箱 (必填)
  • 网址