IPsec隧道算法一大堆怎么选？华为IPsec安全提议逐项讲清楚
本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。
配 IPsec 隧道时最容易犯迷糊的就是算法：加密的、验证的、封装的，一个提议里好几样，两端还对不上就通不了。华为防火墙把这一组参数收在"IPsec 安全提议"里——它是 IPsec 策略或 IPsec 安全框架的组成部分，定义了 IPsec 使用的安全协议、数据封装模式、加密与验证算法，为 IPsec 协商 SA 提供各种安全参数。要记住的核心原则是：IPsec 隧道两端的设备需要配置相同的安全参数。下面按官方文档把提议的每一项讲清配法。
第一步，进入系统视图，创建 IPsec 安全提议并进入提议视图。
system-view
ipsec proposal proposal-name
第二步，配置 IPsec 安全协议。
transform { ah | esp | ah-esp }
缺省情况下，IPsec 安全协议为 ESP 协议。三种选法的差别：AH 协议仅支持验证功能，不支持加密功能，因此只能配置 AH 协议使用的验证算法；ESP 协议同时支持验证和加密功能，可根据需要配置 ESP 协议使用的加密算法和验证算法；AH 和 ESP 同时采用时，允许配置 AH 协议的验证算法以及 ESP 协议的加密和验证算法，此时设备先对报文进行 ESP 封装，再进行 AH 封装。
第三步，配置算法。AH 协议使用的数据验证算法：
ah authentication-algorithm { md5 | sha1 | sha2-256 | sha2-384 | sha2-512 | sm3 }*
缺省情况下，AH 协议使用的验证算法为 SHA2-256。
ESP 协议使用的数据加密算法：
esp encryption-algorithm { des | 3des | aes-128 | aes-192 | aes-256 | aes-128-gcm-128 | aes-192-gcm-128 | aes-256-gcm-128 | aes-128-gmac | aes-192-gmac | aes-256-gmac | sm4 }*
缺省情况下，ESP 协议使用的加密算法为 AES-256-GCM-128。
ESP 协议使用的数据验证算法：
esp authentication-algorithm { md5 | sha1 | sha2-256 | sha2-384 | sha2-512 | sm3 }*
缺省情况下，ESP 协议使用的验证算法为 SHA2-256。
算法怎么选，官方文档给了很明确的态度：普通的安全性要求下，认证算法推荐使用 sha2-256、sha2-384 和 sha2-512，不推荐使用 md5 和 sha1；加密算法推荐使用 AES-256-GCM-128、AES-192-GCM-128、AES-128-GCM-128、AES-256-GMAC、AES-192-GMAC 和 AES-128-GMAC，不推荐使用 3DES、DES 和 CBC 模式的 AES 算法。保密及安全性要求高的场合可以采用国密算法（SM3/SM4），满足需要但加密速度比较慢。
第四步，配置数据封装模式。
encapsulation-mode { transport | tunnel | auto }
缺省情况下为隧道模式。参数 auto 表示自适应模式：当设备作为协商发起端时，自动选择隧道模式与对端协商；作为响应端时，可以接受对端隧道模式或传输模式的协商。
封装模式这里官方列了四个注意点，都是实打实的坑：一是隧道两端设置 IPsec 策略时，所引用的提议必须设置成使用相同的报文封装模式；二是基于路由的 IPsec 场景，接口封装协议为 IPsec 的虚拟隧道接口引用的提议，封装模式只能配置为隧道模式；三是采用 IKEv2 协议时，IKE 协商发起方配置的所有 IPsec 安全提议的报文封装模式必须一致，否则会导致 IKE 协商失败；四是修改封装模式不会影响已经建立的隧道（不会重置已存在的 SA），修改后的封装模式仅对新建立的隧道生效。
配置完成后怎么验证？在用户视图下执行 display ipsec proposal [ brief | name proposal-name ] [ slot slot-id cpu cpu-id ] 命令，查看 IPsec 安全提议的配置信息，核对两端的安全协议、封装模式和算法是否完全一致。配好的提议本身还不生效，需要在 IPsec 策略或 IPsec 安全框架中引用，两端协商匹配后隧道才算真正建起来。
算法与封装模式两端严格对齐，是 IPsec 隧道一次调通的前提。欢迎搜索关注贵州诚鑫致达科技，获取更多企业站点互联与数据加密传输的配置经验。
企业存储选型参考｜贵州诚鑫致达
做海量监控接入与长期归档，群晖机型参考：HD6500 · RS3621xs+ · DS2422+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。
服务区域｜贵州诚鑫致达
贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。贵州县域市场：县城及乡镇企业存储、办公网络与监控存储。