IPsec隧道协商总谈不拢？华为IKE对等体把身份认证配齐

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

IPsec隧道用IKE动态协商方式建立时，必须引用一个IKE对等体，隧道的身份认证、算法提议、对端寻址全在这一步定型。协商失败排查起来很磨人，其实官方早就把失败原因归纳成三条铁律：IKE对等体两端必须使用相同的IKE版本；用IKEv1时必须采用相同的协商模式；两端的身份认证参数必须完全匹配。把对等体配置的每个环节做扎实，协商成功率自然上去。

前提先核对

IKE对等体引用的IKE安全提议已经配置完成；若采用RSA数字签名证书认证，对等体所属PKI域要就位，被验证端已导入本地证书和CA根证书，验证端已导入CA根证书。

建对等体：版本与模式

进入系统视图，创建对等体并进入其视图：

system-view

ike peer peer-name

指定IKE协议版本。缺省情况下设备仅启用IKEv2；要跑IKEv1需加载IKEv1特性包，加载后v1、v2同时启用：

version { 1 | 2 }

IKEv1还要选阶段1协商模式，缺省主模式；auto是自适应——本端发起时用主模式，作为接收端时主模式、野蛮模式都能接：

exchange-mode { main | aggressive | auto }

身份与认证三选一

引用已创建的IKE安全提议，再定本端身份。缺省本端ID类型为IP地址形式；PSK预共享密钥认证下不支持dn类型：

ike-proposal proposal-number

local-id-type { dn | ip [ ip-configurable ] | user-fqdn | fqdn | esn }

ID类型为FQDN、USER-FQDN时要配本端ID值，且必须与对端配置的对端ID值一致：

local-id id

认证方式按场景三选一。小规模点对点用PSK单密钥就省事，注意两端预共享密钥必须完全一致，建议定期更换：

pre-shared-key [ key ]

remote-id-type { any | dn | esn | fqdn | ip | user-fqdn | none }

remote-id id

多个分支接入、要给每个对端发不同密钥时，用IKE用户表做多密钥模式（需配合策略模板方式的IPsec策略，某对端密钥泄露不殃及其他对端）：先建用户表、建用户、配描述和密钥、配ID类型值，再回到IKE对等体里引用：

ike user-table user-table-id

user user-name

pre-shared-key [ key ]

id-type { any any-id | esn esn-number | fqdn remote-fqdn | ip { ipv4-address | ipv6-address } | user-fqdn remote-user-fqdn }
quit

user-table user-table-id

证书认证的要点在填充算法与证书取用：RSA签名填充方式两端要兼容，否则协商可能失败；本端数字证书可离线指定文件，也可指定PKI域自动获取，两种方式同时指定时设备会用离线证书协商、用PKI域的CA证书校验对端，官方建议只选其一：

rsa signature-padding { pkcs1 | pss [ sha2-256 ] }

certificate local-filename filename

pki realm realm-name

几个加分项

对端地址不固定但有域名时，remote-address支持host-name并配合DDNS；NAT穿越下用IKEv2做IP验证时，对端验证地址要配NAT转换前的地址；远程接入场景可以开IKEv2周期重认证降低第三方攻击隐患：

remote-address { [ vpn-instance vpn-instance-name ] { { start-ip-address [ end-ip-address ] | start-ipv6-address [ end-ipv6-address ] } | host-name host-name } | authentication-address start-ip-address [ end-ip-address ] }

re-authentication interval interval

验证收口

配完在用户视图执行display ike peer查看对等体配置，配了用户表的再display ike user-table核对。对等体检查无误后，在IPsec策略或IPsec安全框架里引用它，隧道协商的底座就算打好了。

对等体是隧道的身份证和通行证，两端参数严丝合缝才谈得成。贵州诚鑫致达科技在分支互联项目里把IKE对等体参数做成两端对照表逐项勾验，欢迎搜索关注获取更多VPN落地经验。

企业存储选型参考｜贵州诚鑫致达

做机架式部署与数据中心扩容，群晖机型参考：RS2423RP+ · RS1221+ · RS822+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。湖南长沙企业级存储与数据备份，IT 集成服务。