华为路由器:配置设备之间通过IKE动态协商方式建立IPSec隧道的示例（对对等体存活进行检测）

华为路由器:配置设备之间通过IKE动态协商方式建立IPSec隧道的示例（对对等体存活进行检测）

规格
适用于所有版本、所有形态的路由器。
组网需求
Headquarters和Branch建立IPSec连接，Headquarters和Branch都配置DPD。通过配置DPD技术来检测Headquarters与Branch间IPSEC对等体的存活情况，或者Headquarters上针对该分支相应的IPSEC SA被异常删除后，Branch继续将加密数据发往Headquarters，导致Headquarters无法对这部分数据正常解密，数据通信中断。
IKE DPD功能组网图

操作步骤
Headquarters的配置
    #
     sysname Headquarters  
    #
    acl number 3000  //配置ACL 3000，匹配从总部子网到分支子网的流量
     rule 0 permit ip source 10.1.0.0 0.0.0.255 destination 10.2.0.0 0.0.0.255
    #
    ipsec proposal def  //配置IPSec提议
     esp authentication-algorithm sha2-256
     esp encryption-algorithm aes-192
    #
    ike proposal 5   //配置IKE提议
     encryption-algorithm aes-cbc-128   //V200R008及之后的版本，aes-cbc-128参数修改为aes-128
     dh group14
     authentication-algorithm sha2-256
    #
    ike peer Center v1  //配置IKE对等体及其使用的协议时，不同的软件版本间的配置有差异：V200R008之前的版本命令为ike peer peer-name [ v1 | v2 ]；V200R008及之后的版本命令为ike peer peer-name和version { 1 | 2 }，缺省情况下，对等体IKEv1和IKEv2版本同时启用。设备发起协商时会使用IKEv2协议，响应协商时则同时支持IKEv1协议和IKEv2协议。如果设备需要使用IKEv1协议，则可以执行命令undo version 2
     pre-shared-key cipher %^%#JvZxR2g8c;a9~FPN~n'$7`DEV&=G(=Et02P/%\*!%^%#  //配置预共享密钥认证字为“huawei”，以密文显示，该命令在V2R3C00以前的版本中为“pre-shared-key huawei”，以明文显示
     remote-address 1.2.2.1  //配置对端IP地址
     dpd type on-demand  //配置DPD检测模式为根据需要进行检测
     ike-proposal 5
    #
    ipsec policy center 1 isakmp  //配置IPSec策略
     security acl 3000
     ike-peer Center
     proposal def
    #
    interface Ethernet1/0/0
     ip address 1.2.1.1 255.255.255.0
     ipsec policy center
    #
    interface Ethernet2/0/0
     ip address 10.1.0.1 255.255.255.0
    #
    ip route-static 1.2.2.0 255.255.255.0 1.2.1.2  //配置一条目的地址是Branch外网出口的静态路由
    ip route-static 10.2.0.0 255.255.255.0 1.2.1.2  //配置一条目的地址是Branch内网的静态路由
    #
    return

Branch的配置
    #
     sysname Branch  
    #
    acl number 3000  //配置ACL 3000，匹配从分支子网到总部子网的流量
     rule 0 permit ip source 10.2.0.0 0.0.0.255 destination 10.1.0.0 0.0.0.255
    #
    ipsec proposal def  //配置IPSec提议
     esp authentication-algorithm sha2-256
     esp encryption-algorithm aes-192
    #
    ike proposal 5   //配置IKE提议
     encryption-algorithm aes-cbc-128   //V200R008及之后的版本，aes-cbc-128参数修改为aes-128
     dh group14
     authentication-algorithm sha2-256
    #
    ike peer Branch v1  //配置IKE对等体及其使用的协议时，不同的软件版本间的配置有差异：V200R008之前的版本命令为ike peer peer-name [ v1 | v2 ]；V200R008及之后的版本命令为ike peer peer-name和version { 1 | 2 }，缺省情况下，对等体IKEv1和IKEv2版本同时启用。设备发起协商时会使用IKEv2协议，响应协商时则同时支持IKEv1协议和IKEv2协议。如果设备需要使用IKEv1协议，则可以执行命令undo version 2
     pre-shared-key cipher %^%#K{JG:rWVHPMnf;5\|,GW(Luq'qi8BT4nOj%5W5=)%^%#   //配置预共享密钥认证字为“huawei”，以密文显示，该命令在V2R3C00以前的版本中为“pre-shared-key huawei”，以明文显示
     remote-address 1.2.1.1  //配置对端IP地址
     dpd type on-demand  //配置DPD检测模式为根据需要进行检测
     ike-proposal 5
    #
    ipsec policy branch 1 isakmp  //配置IPSec策略
     security acl 3000
     ike-peer Branch
     proposal def
    #
    interface Ethernet1/0/0
     ip address 1.2.2.1 255.255.255.0
     ipsec policy branch
    #
    interface Ethernet2/0/0
     ip address 10.2.0.1 255.255.255.0
    #
    ip route-static 1.2.1.0 255.255.255.0 1.2.2.2  //配置一条目的地址是Headquarters外网出口的静态路由
    ip route-static 10.1.0.0 255.255.255.0 1.2.2.2  //配置一条目的地址是Headquarters内网的静态路由
    #
    return

检查配置结果
在Headquarters上执行display ike sa verbose和display ipsec sa命令，可以查看IPSec隧道上配置的信息。
如果Branch上的链路断掉，在Headquarters上执行Ping操作，可以看到Headquarters设备发出的DPD请求。

VPN配置案例汇总、VPN汇总（列表、list、全）vpnlist
http://www.zh-cjh.com/wenzhangguilei/1193.html