IPSec VPN 配置
天融信 TOPSEC?
北京市海淀区上地东路1 号华控大厦，100085 电话：（8610）82776666 传真：（8610）8277667 服务热线：800 810 5119 http: //www.topsec.com.cn
版权声明
本手册中的所有内容及格式的版权属于北京天融信公司（以下简 称天融信）所有，未经天融信许可，任何人不得仿制、拷贝、转译或 任意引用。
版权所有 不得翻印? 1995-2008 天融信公司
商标声明
本手册中所谈及的产品名称仅做识别之用。手册中涉及的其他公 司的注册商标或是版权属各商标注册人所有，恕不逐一列明。 TOPSEC? 天融信公司
信息反馈
http://www.topsec.com.cn IPSec VPN 配置 服务热线：8008105119 i
命令行详细说
明.........................................................................................................................................1
VPN ..........................................................................................................................................................1
config...................................................................................................................................................2 ddns .....................................................................................................................................................2 debuglog..............................................................................................................................................3 default .................................................................................................................................................3 device-priority.....................................................................................................................................5 ifbind ...................................................................................................................................................6 ipsec-config .........................................................................................................................................8 kmod....................................................................................................................................................8 localnet.............................................................................................................................................. 11 scb2-card...........................................................................................................................................12 se .......................................................................................................................................................12 show ..................................................................................................................................................13 statistic ..............................................................................................................................................15 syslog.................................................................................................................................................15 tunnel.................................................................................................................................................16
vdc .....................................................................................................................................................23 version...............................................................................................................................................24 vpn_exec............................................................................................................................................25 vrc......................................................................................................................................................26 vroute.................................................................................................................................................42
目 录
IPSec VPN 配置 服务热线：8008105119 1
命令行详细说明
VPN
本命令用来配置网关的VPN 隧道，如配置隧道参数、设置本地保护子网信息等。 进入本命令模块操作如下： #vpn
退出本命令模块操作如下： #end
CLI 管理员登录网关进入本命令模块后，可以执行相应的组件管理命令。下面将 详细描述本命令模块下的所有组件管理命令。命令的实例输入格式将按已经进入 本命令模块的情况书写。 下一级命令列表 命令 功能
config VPN 配置管理 ddns 动态域名配置
debuglog VPN调试日志设置 default 隧道缺省参数设置
device-priority 设备优先级配置管理 ifbind 虚接口绑定
ipsec-config IPsec VPN 方面的配置，包括IKED 和核心实现 kmod 算法模块管理
localnet 本地保护子网管理 scb2card 初始化SCB2 加密卡 se VPN引擎操作命令
show 显示VPN 各种配置信息 statistic 流量统计信息 syslog VPN系统日志设置 tunnel 静态隧道配置管理
vdc 网关和TOPPOLICY 服务器通信参数设置，及下载设备列表、 子网列表、隧道列表的显示。 version 显示VPN 版本信息 vpn_exec VPN 模块命令
vrc IPSEC VPN 客户端接入配置 vroute 虚拟路由设置
IPSec VPN 配置 服务热线：8008105119 2
config
管理VPN 配置文件 config clean
清空 VPN 模块配置。
ddns
配置动态域名
ddns status control
启动或停止动态域名服务。 参数说明：
status control 启用或禁用动态域名服务 on|off 启用|禁用
ddns ezvpn server1
当提供动态域名注册服务的厂商是 EZVPN 时的动态域名设置。 参数说明：
ezvpn 当提供动态域名注册服务的厂商是EZVPN时的动态域名设 置
server1 VPN 网关上的DDNS 客户端向DDNS 服务器注册的服务器 域名
string1 字符串
domain 设置为VPN 网关申请注册的域名 string2 字符串
server2 VPN 网关上的DDNS 客户端向DDNS 服务器注册的服务器 域名
string3 字符串
IPSec VPN 配置 服务热线：8008105119 3
reg_port DDNS 客户端向DDNS 服务器注册服务时建TCP 连接的端 口号。
number1 数值，范围为0-65535。
notify_port DDNS 客户端向DDNS 服务器发送保活通告包时使用的 UDP 端口号
number2 数值，范围为0-65535。 ddns show
查看动态域名设置。 ddns clean
命令描述：
清空动态域名配置信息。
debuglog
VPN 调试日志设置 debuglog on
开启 VPN 调试日志。 debuglog off
关闭 VPN 调试日志。
default
设置、恢复、和显示隧道缺省配置。
default modify authmode
IPSec VPN 配置 服务热线：8008105119 4
ike_life_seconds
设置隧道缺省配置。 参数说明：
modify 设置隧道缺省配置
authmode 选择进行隧道协商时的身份认证方式
psk|rsasig 预共享密钥认证/证书认证，默认为预共享密钥认证 方式。
negomode 选择IKE 协商模式
main|aggressive 主模式/野蛮模式，默认为主模式 localoutlink 指定链路优先级
number1 数值，暂时只能填 0，或者忽略，将自动赋为0。 ike_life_seconds ISAKMP-SA 存活时间，必须大于等于 sa_rekey_margin*(100+tuninfo->sa_rekey_fuzz)/100。 number2 数值，单位:s，最大:86400，缺省:3600。 ipsec_life_second IPSEC-SA 存活时间，必须大于等于 sa_rekey_margin*(100+sa_rekey_fuzz)/100。
number3 数值，单位:s，最大:86400，缺省:28800。 sa_rekey_margin ISAKMP-SA 周期重叠时间 number4 数值，单位:s，范围:1~540，缺省:540。 sa_rekey_fuzz ISAKMP-SA 模糊比 number5 数值，范围:1~100，缺省:3。 sa_keying_tries IPSEC SA 协商重试次数 number6 数值，范围:1~100，缺省:3。
alg_esp IPSEC-SA 的算法提议列表 string1
字符串，为3des-md5、3des-sha1、aes-md5、aes-sha1 中的一个或多个，当选取多个算法时，中间用逗号隔 开，例如3des-md5,3des-sha1；算法加载请参见kmod 命令。
ipsecpolicy IPSEC SA 的安全政策属性 string2
字符串，为pfs、tunnel、compress、encrypt、authenticate 中的一个或多个，选取多个时中间用逗号隔开，例如 pfs,tunnel。
ike_policy IPSEC-SA 的算法提议列表
string3 字符串，如3des-md5、3des-sha1、aes-md5、aes-sha1。 keep_live KEEP-ALIVE 间隔
number7 数值，单位:s，范围:1~40，缺省:20。 dpd_delay DPD 间隔
number8 数值，单位:s，范围:1~20，缺省:10。 dpd_timeout DPD 超时时间
number9 数值，单位:s，范围:1~300，缺省:300。 dpd_action DPD 失败隧道操作
IPSec VPN 配置 服务热线：8008105119 5
clear|hold|restart 清除隧道/ 保持隧道当前状态/重建隧道，缺省为clear dpd_switch dpd 开关 on|off 开启|关闭 metric metric 值 number10 数值 default reset
恢复隧道缺省配置。 default show
显示隧道缺省配置。
device-priority
配置设备优先级。
device-priority set priority <0|1|2|3> 命令描述：
配置设备优先级。 参数说明：
device-priority set priority
配置设备优先级
0|1|2|3 设备优先级共有四级：0-3