【文章內容簡介】 mset transformsetname ? ahmd5hmac AHHMACMD5 transform ahshahmac AHHMACSHA transform esp3des ESP transform using 3DES(EDE) cipher (168 bits) espdes ESP transform using DES cipher (56 bits) espmd5hmac ESP transform using HMACMD5 auth espshahmac ESP transform using HMACSHA auth espnull ESP transform w/o cipher 用 ACL定義需要 IPSec保護的流量 accesslist accesslistnumber [dynamic dynamicname [timeout minutes]] {deny | permit} protocol source sourcewildcard destination destinationwildcard [precedence precedence][tos tos] [log] router(config) RouterA(config) accesslist 110 permit tcp Site 1 Site 2 A B Inter RouterA RouterB 加密 定義哪些流量需要 IPSec保護 Permit=要保護 /deny=不用保護 兩端路由器要配置對稱的 ACL RouterA(config) accesslist 110 permit tcp RouterB(config) accesslist 101 permit tcp E0/1 Site 1 Site 2 E0/1 A B Inter RouterA RouterB Crypto map的主要配置參數 需要 IPSec保護的流量的 ACL VPN對端的 IP地址 使用的 IPSec變換集 協(xié)商建立 IPSec SA的方式 (手工或通過 IKE) IPSec SA的存活期 創(chuàng)建 crypto map crypto map mapname seqnum ipsecmanual crypto map mapname seqnum ipsecisakmp [dynamic dynamicmapname] router(config) Site 1 Site 2 A B Inter RouterA RouterB RouterA(config) crypto map mymap 110 ipsecisakmp Site3 B RouterC 每個路由器端口只能應用一個 crypto map 當一個端口有多個 VPN對端時，就使用 seqnum來區(qū)分 Crypto map 配置示例 RouterA(config) crypto map mymap 110 ipsecisakmp RouterA(configcryptomap) match address 110 RouterA(configcryptomap) set peer RouterA(configcryptomap) set peer RouterA(configcryptomap) set pfs group1 RouterA(configcryptomap) set transformset mine RouterA(configcryptomap) set securityassociation lifetime 86400 Site 1 Site 2 A B RouterA RouterB B RouterC Inter 可配置多個 vpn對端進行冗余 應用 crypto map到路由器端口上 RouterA(config) interface ether0/1 RouterA(configif) crypto map mymap E0/1 Site 1 Site 2 E0/1 A B Inter RouterA RouterB mymap router(configif) crypto map mapname 在出口上應用 crypto map 端到端 IPSec VPN的配置步驟 4 ? 測試并驗證 IPSec是否正常工作 _1 顯示 IKE策略 show crypto isakmp policy 顯示 IPSec變換集 show crypto ipsec transformset 顯示 crypto maps show crypto map 端到端 IPSec VPN的配置步驟 4 ? 測試并驗證 IPSec是否正常工作 _2 顯示 IPSec SA的狀態(tài) show crypto ipsec sa debug IPSec 事件 debug crypto ipsec debug ISAKMP 事件 debug crypto isakmp 端到端 IPSec VPN的配置示例 RouterA show run crypto isakmp policy 110 hash md5 authentication preshare crypto isakmp key cisco1234 address ! crypto ipsec transformset mine espdes ! crypto map mymap 10 ipsecisakmp set peer set transformset mine match address 110 ! interface Ether 0/1 ip address no ip directedbroadcast crypto map mymap ! accesslist 110 permit tcp E0/1 Site 1 Site 2 E0/1 A B Inter RouterA RouterB RouterB show run crypto isakmp policy 110 hash md5 authentication preshare crypto isakmp key cisco1234 address ! crypto ipsec transformset mine espdes ! crypto map mymap 10 ipsecisakmp set peer set transformset mine match address 101 ! interface Ether 0/1 ip address no ip directedbroadcast crypto map mymap ! accesslist 101 permit tcp 目 錄 ? VPN簡介 ? IPSec VPN ? BGP/MPLS VPN IPSec基礎 端到端 IPSec VPN的工作原理及配置 Easy VPN（遠程接入 VPN）的工作原理及配置 BGP/MPLS VPN的工作原理 BGP/MPLS VPN的配置示例 Easy VPN的特點 Easy VPN Remote Easy VPN Server 端到端模式下，兩端路由器都要進行較復雜的配置 Easy VPN模式下， Remote只需要進行簡單的配置，其余大部分參數由 Server端直接推送給它 Easy VPN模式常用于用戶的遠程接入 Remote可以是 cisco vpn client， server端可以是路由器，其 IOS要求高于或等于 (8)T 流程 1client向 server發(fā)送 IKE policy Remote PC with Easy Remote VPN Client IOS router (8)T Easy VPN Server Policy 1, Policy 2, Policy 3 Easy VPN由 client觸發(fā) cisco vpn client中內置了多個 IKE policy client觸發(fā) Easy VPN后，會把內置的 IKE policy全部發(fā)送到 server端 流程 2 server 找到匹配的 policy server 把 client 發(fā)送來的 IKE policy 與自己的policy相比較 找到匹配值后成功建立 IKE SA Remote PC with Easy Remote VPN Client IOS router (8)T Easy VPN Server Policy 1 檢查后發(fā)現policy1匹配 流程 3 server 要 client輸入用戶 /口令 Remote PC with Easy Remote VPN Client IOS router (8)T Easy VPN Server Username/password AAA checking Username/password challenge 如果配置了擴展認證 Xauth， server 端將要求client端 發(fā)送用戶名 /口令進行身份認證 配置 Xauth將獲得更高的安全性，因此建議server端配置 Xauth 流程 4server向 client推送參數 Remote PC with Easy Remote VPN Client IOS router (8)T Easy VPN Server Client 請求配置參數 Server推送配置參數 身份認證通過后， client將向 server請求其余的配置參數 Server向 client推送的參數至少要包含分配給client的 IP地址 流程 5server進行反向路由注入 Remote PC with Easy Remote VPN Client IOS router (8)T Easy VPN Server 創(chuàng)建 RRI靜態(tài)路由 Server進行反向路由注入 (Reverse Route Injeciton， RRI)，為剛分配的 client端 IP地址產生一條靜態(tài)路由，以便正確地路由發(fā)送給 client端的數據包 流程 6建立 IPSec SA Remote PC with Easy Remote VPN Client IOS router (8)T Easy VPN Server 建立 IPSec SA VPN tunnel Client收到配置參數，雙方建立 IPSec SA Easy VPN在 server端的配置步驟 vpngate1 ? 創(chuàng)建 IKE策略集，該策略集至少要能與 vpn client的一個內置策略集相匹配，以便在 server和 client之間建立 IKE SA ? 定義要推送給 client的組屬性，其中包含分配給 client的地址池、preshare key等 ? 定義 IPSec變換集 (只用于 client觸發(fā)建立 IPSec SA時，如果是server觸發(fā)建立 IPSec SA就不需要使用 ) ? 啟用 DPD死亡對端檢測 ? 配置 Xauth擴展認證 ? 把 crypto map應用到路由器端口上 創(chuàng)建 IKE策略集 vpngate1(config) crypto isakmp enable vpngate1(config) crypto isakmp policy 1 vpngate1(configisakmp) authen preshare vpngate1(configisakmp) encryption 3des vpngate1(configisakmp) group 2 vpngate1(configisakmp) exit Authen: Preshared keys Encryption: 3DES DiffieHellman: Group 2 Other settings: Default Policy 1 vpngate1 Cisco vpn client內置的部分策略集 DES MD5 DH2 Preshare 3DES MD5 DH2 Preshare 3DES SHA DH2 Preshare vpngate1 定義分配給 client的地址池