IPsec VPN配置

環(huán)境：接口地址都已經(jīng)配置完，路由也配置了，雙方可以互相通信了

密鑰認(rèn)證的算法2種：md5和sha1

加密算法2種： des和3des

IPsec傳輸模式3種：

AH驗(yàn)證參數(shù):ah-md5-hmac(md5驗(yàn)證)、ah-sha-hmac(sha1驗(yàn)證)

ESP加密參數(shù)：esp-des(des加密)、esp-3des(3des加密)、esp-null（不對(duì)數(shù)據(jù)進(jìn)行加密）

ESP驗(yàn)證參數(shù)：esp-md5-hma(md5驗(yàn)證)、esp-sha-hmac(采用sha1驗(yàn)證)

1 啟用IKE協(xié)商

routerA(config）#crypto isakmp policy 1 建立IKE協(xié)商策略（1是策略編號(hào)1-1000，號(hào)

越小，優(yōu)先級(jí)越高

routerA(config-isakmap)#hash md5 密鑰認(rèn)證的算法

routerA(config-isakmap)#authentication pre-share 告訴路由使用預(yù)先共享的密鑰

routerA(config)#crypto isakmp key 123456 address 20.20.20.22 (123456是設(shè)置的共享密

20.20.20.22是對(duì)端的IP地

址）。

routerB(config)#crypto isakmp policy 1

routerB(config-isakmap)#hash md5

routerB(config-isakmap)#authentication pre-share

routerB(config)#crypto isakmp key 123456 address 20.20.20.21 (路由B和A的配置除了這里

的對(duì)端IP地址變成了20.20.20.21，其他都要一樣的）。

2 配置IPSec相關(guān)參數(shù)

routerA(cnfog)#crypto ipsec transform-set test ah-md5-hamc esp-des (test傳輸模式的名

稱。ah-md5-hamc esp-des表示傳輸模式中采用的驗(yàn)證和加

密參數(shù) ）。

routerA(config)#acess-list 101 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255

（定義哪些地址的報(bào)文加密或是不加密）

routerB(config)#crypto ipsec transform-set test ah-md5-hamc esp-des

routerB(config)#acess-list 101 permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255

（路由器B和A的配置除了這里的源和目的IP地址變了，其他都一樣）

3 設(shè)置crypto map （目的把IKE的協(xié)商信息和IPSec的參數(shù)，整合到一起，起一個(gè)名字）

routerA(config)#crypto map testmap 1 ipsec-isakmp (testmap:給crypto map起的名字。

1：優(yōu)先級(jí)。ipsec-isakmp:表示此IPSec鏈接采用IKE自動(dòng)協(xié)商）

routerA(config-crypto-map)#set peer 20.20.20.22 (指定此VPN鏈路，對(duì)端的IP地址）。

routerA(config-crypto-map)#set transform-set test (IPSec傳輸模式的名字）

routerA(config-crypto-map)#match address 101 (上面定義的ACL列表號(hào)）

routerA(config)#crypto map testmap 1 ipsec-isakmp

routerA(config-crypto-map)#set peer 20.20.20.21 （和A路由的配置只有這里的對(duì)端IP不一樣）

routerA(config-crypto-map)#set transform-set test

routerA(config-crypto-map)#match address 101

4 把crypto map 的名字應(yīng)用到端口

routerA(config)#inter s0/0 (進(jìn)入應(yīng)用VPN的接口）

routerA(config-if)#crypto map testmap （testmap：crypto map的名字）

B路由和A完全一樣

查看VPN的配置

查看安全聯(lián)盟（SA）

Router#show crypto ipsec sa

顯示crypto map 內(nèi)的所有配置

router#show crypto map

查看優(yōu)先級(jí)

router#show crypto isakmp policy

服務(wù)器租用/服務(wù)器托管中國(guó)五強(qiáng)！虛擬主機(jī)域名注冊(cè)頂級(jí)提供商！15年品質(zhì)保障！--億恩科技[ENKJ.COM]