asa5510防火墙vpn配置

《asa5510防火墙vpn配置》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、ASA5510防火墙remoteipsecvpn配置   1、IPSEC VPN基本配置access-listno-natextendedpermitip192.168.222.0255.255.255.0172.16.100.0255.255.255.0//定义VPN数据流nat(inside)0access-listno-nat//设置IPSECVPN数据不作nat翻译 iplocalpoolvpn-pool172.16.100.1-172.16.100.100mask255.255.255.0//划分地址池，用于VPN用户拨入之后分配的地址。 cryptoipsectr

2、ansform-setvpnsetesp-desesp-md5-hmac//定义一个变换集myset，用esp-md5加密的。(网上一般都是用esp-3desesp-sha-hmac或esp-des esp-sha-hmac，而我使用的防火墙没开启3des，所以只能使用esp-des；至于esp-sha-hmac，不知为什么，使用它隧道组始终无法连接上，所以改用esp-md5-hmac。具体原因不清楚。)(补充：后来利用ASA5520防火墙做了关于esp-3desesp-sha-hmac加密的测试，成功！)cryptodynamic-mapdymap10settransfor

3、m-setvpnset//把vpnset添加到动态加密策略dynmapcryptodynamic-mapdymap10setreverse-routecryptomapvpnmap10ipsec-isakmpdynamicdymap//把动态加密策略绑定到vpnmap动态加密图上cryptomapvpnmapinterfaceoutside//把动态加密图vpnmap绑定到outside口cryptoisakmpidentityaddresscryptoisakmpenableoutside//outside接口启用isakmp cryptoisakmppolicy10//进

4、入isakmp的策略定义模式 authenticationpre-share //使用pre-sharedkey进行认证 encryptiondes//定义协商用DES加密算法（与前面对应，这里使用des，而不是3des） hashmd5//定义协商用md5加密算法(和前面一样，网上使用的是sha，我这里为了配合前面的esp-md5-hmac，而使用md5) group2//定义协商组为2，标准有1、2、3、5等多组，主要用于块的大小和生命时间等 lifetime86400//定义生命时间 group-policywhjtinternal//定义策略组（用于想进入的）想要运用

5、策略组就必须用默认的策略组名，否则无法激活该组。group-policywhjtattributes//定义策略组属性 vpn-idle-timeout1800//设置VPN超时时间为1800秒  tunnel-groupwhjttypeipsec-ra//建立VPN远程登入(即使用隧道分离)组tunnel-groupwhjtgeneral-attributes//定义隧道组"whjt"属性 address-poolvpn-pool//将VPNclient地址池绑定到"whjt"隧道组 usernametestpasswordtest//设定用户名和密码 authentica

6、tion-server-group(outside)LOCAL//本地认证服务组(本条命令没用） default-group-policywhjt//默认策略组为whjttunnel-groupwhjtipsec-attributes//定义whjt组IPSec的属性 pre-shared-key730211//定义共享密钥为：730211isakmpnat-traversal20//每20秒向VPN对端发送一个包来防止中间PAT设备的PAT超时，就相当于路由器中的isakmpkeepalivethreshold20retry2  在生存时间监控前，设备被允许空闲20秒，发现

7、生存时间没有响应后，2秒钟内重试sysoptconnectionpermit-vpn//通过使用sysoptconnect命令，我们告诉ASA准许SSL/IPsec客户端绕过接口的访问列表(未加此命令会出现可以ping能内网地址，但不能访问内网服务，比如23、80等端口。）  2、开启隧道分离access-listvpnsplitstandardpermit192.168.222.0255.255.255.0//注意源地址为ASA的inside网络地址group-policywhjtattributes