Cisco IPSec VPN 配置详解

《Cisco IPSec VPN 配置详解》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、CiscoIPSecVPN配置详解VPN作为一项成熟的技术，广泛应用于组织总部和分支机构之间的组网互联，其利用组织已有的互联网出口，虚拟出一条“专线”，将组织的分支机构和总部连接起来，组成一个大的局域网。IPSEC引进了完整的安全机制，包括加密、认证和数据防篡改功能。IPsec的协商分为两个阶段：第一阶段：验证对方，协商出IKESA，保护第二阶段IPSECSa协商过程第二阶段：保护具体的数据流CiscoIPSecVPN配置详解配置IPSecVPN常规的步骤如下（建议复制下来）：启用IKE配置第一阶段策略//cryptoisakmppolicyxx配置PreShareK

2、ey//cryptoisakmpkey配置第二阶段策略//cryptoipsectransfor-set定义感兴趣流（利用扩展的ACL）定义map应用map注意事项：两端的加密点必须要有去往对方的路由（可通讯）配置如下：ISP的配置ISP#conftISP(config)#intf0/0ISP(config-if)#ipadd202.1.1.1255.255.255.252ISP(config-if)#noshISP(config-if)#intf0/1ISP(config-if)#ipadd61.1.1.1255.255.255.252ISP(config-if)#

3、noshCQ（左边路由器）的配置：CQ#conftCQ(config)#intf0/0CQ(config-if)#ipadd202.1.1.2255.255.255.252CQ(config-if)#noshCQ(config-if)#intlo0CQ(config-if)#ipadd1.1.1.1255.255.255.0CQ(config-if)#noshCQ(config-if)#exitCQ(config)#iproute0.0.0.00.0.0.0202.1.1.1//配置一条去往互联网的静态路由。实现与SH（右边路由器）的加密点通信第一阶段的配置（两端要一

4、致）：CQ(config)#cryptoisakmppolicy10//配置策略，序号为10（本地有效）CQ(config-isakmp)#authenticationpre-share//验证方式为预共享密钥CQ(config-isakmp)#encryptionaes//加密算法为aesCQ(config-isakmp)#hashsha//完整性校验算法为shaCQ(config-isakmp)#group5//DH组为5CQ(config-isakmp)#exitCQ(config)#cryptoisakmpkey0ciscoaddress61.1.1.2//配

5、置Key0表示不加密，密码为ciscoaddress为对端加密点第二阶段CQ(config)#cryptoipsectransform-setciscoesp-aesesp-sha-hmac//配置第二阶段策略，命名为ciscoesp（加密头部）加密方式为aes完整性校验为shaCQ(cfg-crypto-trans)#exitCQ(config)#ipaccess-listextendedvpn//定义一个扩展的ACLCQ(config-ext-nacl)#permitip1.1.1.00.0.0.2552.2.2.00.0.0.255CQ(config)#cryp

6、tomapcisco10ipsec-isakmp//定义一个map（名称等本地有效）CQ(config-crypto-map)#settransform-setcisco//关联第二阶段的策略CQ(config-crypto-map)#setpeer61.1.1.2//指定对端地址CQ(config-crypto-map)#matchaddressvpn//关联ACLCQ(config-crypto-map)#exitCQ(config)#intf0/0CQ(config-if)#cryptomapcisco//使用mapSH的配置（右边路由器）SH#conftSH(

7、config)#intf0/0SH(config-if)#ipadd61.1.1.2255.255.255.252SH(config-if)#intlo0et0/0,changedstatetoupSH(config-if)#ipadd2.2.2.2255.255.255.0SH(config-if)#noshSH(config-if)#exitSH(config)#iproute0.0.0.00.0.0.061.1.1.1第一阶段（除了策略的序号外可以不同外，其他的验证要和对端一致）SH(config)#cryptoisakmppolicy20//