eNSP-IPSecVPN

R1
--------------------------
sys
sys R1
un in en
int g1/0/0
ip add 202.138.163.1 24
int g2/0/0
ip add 10.1.1.1 24

-----------------------

R2
--------------
sys
sys R2
un in en
int g1/0/0
ip add 202.138.162.1 24
int g2/0/0
ip add 10.1.2.1 24


-----------------

internet
---------------------
sys
sys Internet
un in en
int g0/0/0
ip add 202.138.163.2 24
int g0/0/1
ip add 202.138.162.2 24
int lo1
ip add 1.1.1.1 24

R1
-----
ip route-static 0.0.0.0 0.0.0.0 g1/0/0 202.138.163.2

------------------------

R2
-----
ip route-static 0.0.0.0 0.0.0.0 g1/0/0 202.138.162.2

ike proposal 5 /创建一个IKE安全提议，编号9
authentication-method pre-share //认证方法 ：预共享密钥
encryption-algorithm aes-cbc-128 //认证算法
authentication-algorithm sha1   //加密算法
dh group5  IKE密钥协商采用1024位的Diffie-Hellman
quit

ike peer R2 v1 //版本v1，叫R2的ike安全提议
ike-proposal 5 //编号5
pre-shared-key cipher huawei@123  //预分享的密钥值
exchange-mode main //ike主模式
remote-address 202.138.162.1 //协商对端地址
local-address 202.138.163.1  //协商本段地址

ike proposal 5
authentication-method pre-share
encryption-algorithm aes-cbc-128
authentication-algorithm sha1
dh group5
quit

ike peer R1 v1
ike-proposal 5
pre-shared-key cipher huawei@123
exchange-mode main
remote-address 202.138.163.1
local-address 202.138.162.1

ipsec proposal ipsec    /创建一个IPSec安全提议
transform esp   /安全协议为ESP协议（缺省值），默认为esp或AH 或 AH-ESP
esp authentication-algorithm sha2-256  /配置ESP协议的认证算法
esp encryttion-algorithm aes-256    /配置ESP协议的加密算法                             
encapsulation-mode tunnel  /配置对数据的封闭模式为隧道模式（缺省值）
//已经指定了encapsulation-mode tunnel 在display时，却没有看到对应的配置。因为HW默认就是tunnel模式，所以不显示。
//封装模式encapsulation: tunnel (隧道-*默认) trasnport (传输模式)

ike peer R2 v1 //版本v1，叫R2的ike安全提议
ike proposal 10   /创建一个的IKE安全提议，编号9
authentication-method pre-share    /配置IKE安全提议的认证方法 ：预共享密钥   
authentication-algorithm sha2-256  /配置IKE安全提议的认证算法                                      
encryption-algorithm aes-256   /配置IKE安全提议的加密算法
dh group2    /配置IKE密钥协商采用1024位的Diffie-Hellman
// 对应比特位：https://support.huaweicloud.com/vpn_faq/vpn_08_0223.html

sa duration 5657   /配置IKE SA的生存周期：5657


ike peer ipsec       /创建IKE对等体
undo version 2    /缺省开启v1和v2版本，默认使用v1，删除v2支持 
ike-proposal 10     /引用IKE安全提议
pre-shared-key cipher ipsec  /配置预共享密钥的密码
lifetime-notification-message enable   /使能发送IKE SA 生存周期时间的通知消息       
local-id-type fqdn /配置IKE协商时本端的ID类型为名称形式
local-id l2tp  /配置IKE协商时本端ID值为：playplus
remote-id-type fqdn   /配置IKE协商时对端的ID类型为名称形式
remote-id l2tp     /配置IKE协商是对端ID值为：playplus
remote-address 202.138.162.1 //配置IKE协商时的本端IP地址
local-address 202.138.163.1  //配置IKE协商时的对端IP地址或域名

exchange-mode aggressive  /为IKEv1阶段1协商模式为野蛮模式
///只有IKEv1主模式支持数字信封认证。
/// main 主模式：提供身份保护。
/// aggressive 野蛮模式：协商速度更快，但不提供身份保护。



ipsec policy-template ipsectemplate 100    /配置策略模板名为ipscetemplate,编号为100
route inject dynamic       /路由动态注入，
proposal ipsec          /引用IPSec安全提议:ipsec
ike-peer ipsec       /引用IKE对等体:ipsec
pfs dh-group2     /协商时启用PFS特性，提高通信的安全性


ipsec policy ipsecsecurtiy 10 isakmp template ipsectemplate    /创建安全策略编号为10，并引用策略模板。安全策略名：ipsecsecurtiy


interface dialer 1        /进入动态域名解析的dialer口 
ipsec policy playsecurtiy        /引用ipsec安全策略