1、编号：时间：2021年x月x日书山有路勤为径，学海无涯苦作舟页码：第16页 共16页CISCO IPsec VPN配置大全红头发(aka CCIE#15101), ?3 x* x/ ?6 i7 r% F/ G, i: 5 i2 F5 _4 K: R/ cH: r+ B( G7 ! 纽爱科网络实验室社区2 S! 2 u! ! UM) . u6 H$ y+ k8 j一.基于PSK的IPsec VPN配置Z2 U+ n8 ?, v* R y首先IOS带k的就可以了,支持加密特性,拓扑如下:6 h: r4 ?, O0 g% n/ m纽爱科网络实验室社区 topo.jpg (57.02 KB)2008-
2、10-11 20:147 / D b+ Sx g+ _, p, S1 f X! Ms1.R1基本配置:3 r# k, ! 2 u R1(config)#interface loopback0/ P$ Q; w8 V% b) 4 w! OR1(config-if)#ip address 10.1.1.1 1 J1 gI1 g; R1(config-if)#no shutdown2 A9 T- u! & w0 v + y. gR1(config-if)#interface serial0/0# s, l a3 ! d1 P% _* n# i_R1(config-if)#ip address192.
3、168.1.1 255.255.255.252纽爱科网络实验室社区+ l6 m7 Q$ G6 K2 j1 G7 D1 |R1(config-if)#clock rate 56000, H2 w6 x/ q4 n) mR1(config-if)#no shutdown2 g E6 g* g( m; $ k e; RR1(config-if)#exit9 e3 h1 O p4 A% i* J3 U8 & + R) y2 Y. / q# g* W2.定义感兴趣流量与路由协议:, R7 r# . p t; f- CR1(config)#access-list 100 permit ip 10.1.1.
4、0 0.0.0.255 10.2.2.0 0.0.0.2558 S- M X- A- # D/ lR1(config)#ip route 0.0.0.0 0.0.0.0 serial0/05 J3 w. i3 R1 ( q8 6 T1 P4 p( 1 d& G h9 u# K3.全局启用ISAKMP并定义对等体及其PSK(预共享密钥):. | % D3 . y6 u i$ XR1(config)#crypto isakmp enable v- P# M! d7 o/ y8 VFR1(config)#crypto isakmp key 91lab address 192.168.1.2 t6 Y
5、?; z! 0 A( V! J# l3 X6 i1 7 K1 c 4 I: v4.定义IKE策略:9 h4 n/ e/ N g( k7 g! 0 OR1(config)#crypto isakmp policy 104 V) f2 v( F* H. w8 K. j: b* v! FR1(config-isakmp)#encryption aes 128 /-默认是DES加密-/$ Y5 r8 b5 i W2 F- e, b/ VR1(config-isakmp)#hash sha /-默认是SHA-1-/) s( - m/ r% X1 w7 H纽爱科网络实验室社区R1(config-isakm
6、p)#authentication pre-share 5 R- f% p3 T# d9 q# hR1(config-isakmp)#group 2 /-默认是768位的DH1-/) J a9 z0 U9 W9 h yR1(config-isakmp)#lifetime 3600 /-默认是86400秒-/4 c+ N/ Y+ M! T( a& D; |5 nR1(config-isakmp)#exit3 d( x9 J$ c k0 x: G4 P. b5 X- _! 5.定义IPSec转换集(transform set):4 n: T/ J3 |7 Z4 n& x. _! KR1(confi
7、g)#crypto ipsec transform-set tt esp-aes 128 esp-sha-hmac $ y1 6 i! ; + b+ PR1(cfg-crypto-trans)#mode tunnel 6 x O( 6 F/ gR1(cfg-crypto-trans)#exit纽爱科网络实验室社区; K, y1 G( ( q * O0 v! n1 |2 n$ F - % n纽爱科网络实验室社区6.定义crypto map并应用在接口上:3 CHQ# m+ P! a: % W2 q* CR1(config)#crypto map cisco 10 ipsec-isakmp 9 N
8、$ ?2 p# R, Q6 J; DR1(config-crypto-map)#match address 100 X+ w8 p* Z( a3 7 u% uR1(config-crypto-map)#set peer 192.168.1.2 /-定义要应用crypto map的对等体地址-/; Y+ o% D: X+ ?# O9 M1 ?# sR1(config-crypto-map)#set transform-set tt /-定义crypto map要应用的IPsec转换集-/2 F! _9 s7 z- o. HR1(config-crypto-map)#exit# t+ j: v1
9、e$ A. b0 M+ R1(config)#interface serial0/ U# g+ B1 I# h2 jv3 M, jR1(config-if)#crypto map cisco/ S O4 9 d& u W& D( _3 F. m4 W& t4 T* ?E* M k* j*Mar1 00:08:31.131: %CRYPTO-6-ISAKMP_ON_OFF: ISAKMP is ON, W. ?/ f, Nv2 A5 l( Ub X% W+ N1 _6 X c. yR1(config-if)#end8 F* a9 d3 D1 JR1#纽爱科网络实验室社区. j- l* P2 r?
10、R1配置完成.2 U. v& Y- x( N( E d3 Y3 0 j( S3 ?% B7 z. r同理,R2相关配置如下:纽爱科网络实验室社区, p$ 0 B& u, Q5 K! ; * W& D5 I( 纽爱科网络实验室社区!4 q: g6 B1 Z! Ecrypto isakmp policy 109 m7 5 6 q& s5 x6 sencr aes$ n9 V! d+ Q5 N 0 k 6 ?: Mauthentication pre-4 i( |5 ox5 M U2 v( group 2z$ Y% X0 H- v* pcrypto isakmp key 91lab address
11、192.168.1.1) p& c- X2 R/ A5 x9 s1 1 D) o!8 b9 H0 K1 s, P : w, a! Q( f!纽爱科网络实验室社区& $ 1 U M5 crypto ipsec transform-set tt esp-aes esp-sha-hmac & : d9 ! N/ |0 Z* J7 r9 H!$ j) x# y. E# U/ - M+ Ecrypto map cisco 10 ipsec-isakmp 纽爱科网络实验室社区 v u# z9 q1 _& wset peer 192.168.1.12 I( _: ; U& wb4 Y2 T% l& Bset
12、 transform-set tt % q N+ P! ? F; M* x- xmatch address 100纽爱科网络实验室社区0 |- ?. I. I _ j!4 s0 Z. A8 S9 f0 W!纽爱科网络实验室社区 Zl2 M, a1 l3 G# _ D$ P3 q4 !8 d1 b. P7 4 * z!* h1 U& D4 9 l$ h2 z! I& finterface Loopback08 q$ Q$ t/ A q. i/ a1 Z纽爱科网络实验室社区ip address 10.2.2.1 255.255.255.02 _8 ( g+ r, t+ m; n+ h# x# !8
13、 V+ s5 L: A! o( Y% K/ Einterface Serial0/0* k6 J) d& q9 s- k3 ?6 4 Q Z) Uip address 192.168.1.2 255.255.255.252- R. V8 hT0 1 crypto map cisco纽爱科网络实验室社区- W. a; m Q$ R ( ?7 h: J |!( 0 U6 p# G4 i3 Nip route 0.0.0.0 0.0.0.0 Serial0/09 S; 9 T* h- q, Q( F# r1 T!* U: $ c, I6 S! I纽爱科网络实验室社区access-list 100 p
14、ermit ip 10.2.2.0 0.0.0.255 10.1.1.0 0.0.0.2551 l; / Q h5 5 0 9 c/ q!二.采用积极模式并PSK的IPsec VPN配置3 |9 h6 W8 h7 Y7 9 uZ) k! P3 / X4 c4 $ ?纽爱科网络实验室社区 / U4 t- W) r+ G E% U( d l: M$ M- % T9 O/ X3 N3 Hz& S4 ! u1.R1基本配置:- F! W( Z3 c7 hR1(config)#interface loopback01 o- D8 ) Z& S, b( s/ G4 ZR1(config-if)#ip address 10.1.1.1 255.255.255.0 b/ 8 o: m,
