cisco_vpn配置指南(带详细注解).docVIP

以下为路由器A的配置，路由器B只需对相应配置做更改即可1：配置IKErouter(config)# crypto isakmp enable? ?? ?? ?#启用IKE(默认是启动的)router(config)# crypto isakmp policy 100? ???#建立IKE策略,优先级为100router(config-isakmp)# authentication pre-share? ? #使用预共享的密码进行身份验证router(config-isakmp)# encryption des? ?? ?#使用des加密方式router(config-isakmp)# group 1? ?? ?#指定密钥位数，group 2安全性更高，但更耗cpurouter(config-isakmp)# hash md5? ?? ? #指定hash算法为MD5(其他方式：sha，rsa)router(config-isakmp)# lifetime 86400? ?#指定SA有效期时间。默认86400秒，两端要一致以上配置可通过show crypto isakmp policy显示。VPN两端路由器的上述配置要完全一样。2：配置Keysrouter(config)# crypto isakmp key cisco1122 address 10.0.0.2 ? ?? ?? ?? ?? ???--(设置要使用的预共享密钥和指定vpn另一端路由器的IP地址)3：配置IPSECrouter(config)# crypto ipsec transform-set abc esp-des??esp-md5-hmac??　配置IPSec交换集? ?? ?? ?? ?? ? abc这个名字可以随便取，两端的名字也可不一样，但其他参数要一致。router(config)# crypto ipsec security-association lifetime 86400??? ?? ?? ?? ?? ? ipsec安全关联存活期，也可不配置，在下面的map里指定即可router(config)# access-list 110 permit tcp 172.16.1.0 0.0.0.255 172.16.2.0 0.0.0.255router(config)# access-list 110 permit tcp 172.16.2.0 0.0.0.255 172.16.1.0 0.0.0.2554.配置IPSEC加密映射router(config)# crypto map mymap 100 ipsec-isakmp??创建加密图router(config-crypto-map)# match address 110? ?用ACL来定义加密的通信router(config-crypto-map)# set peer 10.0.0.2? ?标识对方路由器IP地址router(config-crypto-map)# set transform-set abc??指定加密图使用的IPSEC交换集router(config-crypto-map)# set security-association lifetime 86400router(config-crypto-map)# set pfs group 15.应用加密图到接口router(config)# interface ethernet0/1router(config-if)# crypto map mamap相关知识点：对称加密或私有密钥加密：加密解密使用相同的私钥DES--数据加密标准 data encryption standard3DES--3倍数据加密标准 triple data encryption standardAES--高级加密标准 advanced encryption standard一些技术提供验证：MAC--消息验证码??message authentication codeHMAC--散列消息验证码??hash-based message authentication codeMD5和SHA是提供验证的散列函数对称加密被用于大容量数据，因为非对称加密站用大量cpu资源非对称或公共密钥加密：RSA? ?rivest-shamir-adelman用公钥加密，私钥解密。公钥是公开的，但只有私钥的拥有者才能解密两个散列常用算法：HMAC-MD5 使用128位的共享私有密钥HMAC-SHA-I??使用160位的私有密钥ESP协议：用来提供机密性，数据源验证，无连