【文章內(nèi)容簡介】 ryption desxiamen(configisakmp)group 1xiamen(configisakmp)hash md5xiamen(config)crypto isakmp key 123456 address 配置IKE2（IPSec SA）xiamen(config)crypto ipsec transformset abc espdes espmd5hmacxiamen(config)crypto ipsec securityassociation lifetime seconds 86400配置MAP（3結合）xiamen(config)crypto map mymap 100 ipsecisakmpxiamen(configcryptomap)match address 110xiamen(configcryptomap)set peer xiamen(configcryptomap)set transformset abcxiamen(configcryptomap)set securityassociation lifetime seconds 86400xiamen(configcryptomap)set pfs group 1將MAP應用到外網(wǎng)接口上xiamen(config)interface serial0/0/0xiamen(configif)ip address xiamen(configif)crypto map mymapB、測試：配置福州辦事處測試主機IP地址： 配置福州辦事處路由器內(nèi)網(wǎng)接口IP:配置廈門辦事處測試主機IP地址：配置廈門辦事處路由器內(nèi)網(wǎng)接口IP：使用福州辦事處測試主機測試與廈門辦事處測試主機的連通性：【參考配置：】福州辦事處路由器配置：　　service timestamps debug uptime　　service timestamps log uptime　　no service passwordencryption　　!　　hostname nanjing　　!　　enable cisco　　!　　!　　!以下配置加密　　crypto isakmp policy 1 生成iskamp policy number 1　　encryption des 選擇用DES encryption也可用3DES指定三倍DES加密　　hash sha 指定使用的散列算法，也可以是md5(二端保持一致)　　authentication preshare　　group 1 指定為DiffieHellman組,1表示768位,2表示1024位　　lifetime 14400 指定安全關聯(lián)的有效期，不設就為默認值　　以下配置密鑰方法　　crypto isakmp identity address 指定與遠程路由器通信時使用isakmp標識　　crypto isakmp key 654321 address 　　crypto isakmp key 654321 address 　　!　　以下定義一個轉換集　　crypto ipsec transformset tset1 ahmd5hmac espdes espmd5hmac 可以定義一個或多個集　　!　　!　　以下建立加密圖　　crypto map cmap1 localaddress serial 0 定義加密圖cmap1并指定s0為本地地址　　crypto map cmap1 1 ipsecisakmp 用序號1設置加密圖　　set peer 設定目標地址　　set peer 　　set transformset test1 指定轉換集　　match address 111 指定加密訪問列表111中的地址　　!　　!　　processmaxtime 200　　!　　以下設置隧道端口　　interface Tunnel0　　ip address 　　tunnel source 　　tunnel destination 　　crypto map cmap　　!　　以下設置內(nèi)網(wǎng)口　　interface Ethernet0　　ip address 　　!　　以下設置外網(wǎng)口　　interface serial0　　ip address 　　no ip mroutecache　　no fairqueue　　crypto map cmap　　!　　ip classless　　!　　以下建立訪問列表111　　accesslist 111 permit ip host host 　　accesslist 111 permit ip host host 　　accesslist 111 permit ip 　　accesslist 111 permit ip 　　accesslist 111 permit ip 　　accesslist 111 permit ip 　　!　　line con 0　　line aux 0　　line vty 0 4　　password cisco　　login　　!　　end　　!廈門辦事處路由器配置：　　!　　service timestamps debug uptime　　service timestamps log uptime　　no service passwordencryption　　!　　hostname shanghai　　!　　enable cisco　　!　　!以下配置加密　　crypto isakmp policy 1 生成iskamp policy number 1　　encryption des 選擇用DES encryption也可用3DES指定三倍DES加密　　hash sha 指定使用的散列算法，也可以是md5(二端保持一致)　　authentication preshare　　group 1 指定為DiffieHellman組,1表示768位,2表示1024位　　lifetime 14400 指定安全關聯(lián)的有效期，不設就為默認值　　以下配置密鑰方法　　crypto isakmp identity address 指定與遠程路由器通信時使用isakmp標識　　crypto isakmp key 654321 address 　　crypto isakmp key 654321 address 　　!　　以下定義一個轉換集　　crypto ipsec transformset tset1 ahmd5hmac espdes espmd5hmac 可以定義一個或多個集　　!　　!　　以下建立加密圖　　crypto map cmap1 localaddress serial 0 定義加密圖cmap1并指定s0為本地地址　　crypto map cmap1 1 ipsecisakmp 用序號1設置加密圖　　set peer 設定目標地址　　set peer 　　set peer 　　set transformset test1 指定轉換集　　match address 111 指定加密訪問列表111中的地址　　!　　!　　processmaxtime 200　　!　　以下設置隧道端口　　interface Tunnel0　　ip address 　　tunnel source 　　tunnel destination 　　crypto map cmap　　!　　以下設置內(nèi)網(wǎng)口　　interface Ethernet0　　ip address 　　!　　以下設置外網(wǎng)口　　interface serial0　　ip address 　　no ip mroutecache　　no fairqueue　　crypto map cmap　　!　　ip classless　　!　　以下建立訪問列表111　　accesslist 111 permit ip host host 　　accesslist 111 permit ip host host 　　accesslist 111 permit ip 　　accesslist 111 permit ip 　　accesslist 111 permit ip 　　accesslist 111 permit ip 　　!　　line con 0　　line aux 0　　line vty 0 4　　password cisco　　login　　!　　end【相關知識點】對稱加密或私有密鑰加密：加密解密使用相同的私鑰DES數(shù)據(jù)加密標準 data encryption standard3DES3倍數(shù)據(jù)加密標準 triple data encryption standardAES高級加密標準 advanced encryption standard一些技術提供驗證：MAC消息驗證碼message authentication codeHMAC散列消息驗證碼hashbased message authentication codeMD5和SHA是提供驗證的散列函數(shù)對稱加密被用于大容量數(shù)據(jù)，因為非對稱加密站用大量cpu資源非對稱或公共密鑰加密：RSA rivestshamiradelman一般用公鑰加密，私鑰解密。公鑰是公開的，但只有私鑰的擁有者才能解密兩個散列常用算法：HMACMD5 使用128位的共享私有密鑰HMACSHAI使用160位的私有密鑰ESP協(xié)議：用來提供機密性，數(shù)據(jù)源驗證，無連接完整性和反重放服務，并且通過防止流量分析來限制流量的機密性，這些服務以來于SA建立和實現(xiàn)時的選擇。加密是有DES或3DES算法完成。可選的驗證和數(shù)據(jù)完整性由HMAC，keyed SHAI或MD5提供IKEinternet密鑰交換：他提供IPSEC對等體驗證，協(xié)商IPSEC密鑰和協(xié)商IPSEC安全關聯(lián)實現(xiàn)IKE的組件1：des，3des 用來加密的方式2：DiffieHellman基于公共密鑰的加密協(xié)議允許對方在不安全的信道上建立公共密鑰，在IKE中被用來建立會話密鑰。group 1表示768位，group 2表示1024位3：MD5，SHA驗證數(shù)據(jù)包的散列算法。RAS簽名基于公鑰加密系統(tǒng)Tunnel通道可以看作是最簡單的一種VPN形式，它的參數(shù)很簡單只要配置Tunnel Source 和 Tunnel Destination兩個參數(shù)就可以了?！舅伎碱}】 簡述什么是VPN？思科路由器中配置站點到站點VPN一般流程？ 請描述下傳輸模式和隧道模式的區(qū)別？請說說ESP與AH的異同？五、實驗小結（實驗過程中遇到什么問題？如何解決？）福建師范大學