10-VPN(IPSec)协议.ppt

远程访问 Internet 内部网 合作伙伴 分支机构 VPN VPN VPN VPN是企业网在因特网上的延伸 VPN的具体应用 Intranet VPN Extranet VPN Access VPN 用VPN连接分支机构 Internet 分支机构 VPN网关A VPN网关B 总部 通道只需定义在两边的网关上 Gateway 必须支持IPSec Gateway 必须支持IPSec 数据在这一段是认证的 数据在这一段是加密的 ISP ISP 用VPN连接合作伙伴 Internet 业务伙伴 VPN网关A VPN网关B 公司A 主机必须支持IPSec 主机必须支持IPSec 通道建立在两边的主机之间，因为业务伙伴内的主机不是都可以信任的 数据在这一段是加密的 数据在这一段是认证的 数据在这一段是认证的 数据在这一段是加密的 数据在这一段是认证的 数据在这一段是加密的 ISP ISP 用VPN连接远程用户 Internet 公司B ISP接入服务器 VPN网关B 主机必须支持IPSec Gateway 必须支持IPSec 数据在这一段是加密的 数据在这一段是认证的 数据在这一段是加密的 数据在这一段是认证的 通道建立在移动用户与公司内部网的网关处 IPsec VPN的配置 步骤1 —配置IKE的协商 步骤2 —配置IPSec的协商 步骤3 —配置端口的应用 步骤4 —调试并排错 配置IKE协商1-1 启动IKE Router(config)# crypto isakmp enable 建立IKE协商策略 Router(config)# crypto isakmp policy priority 取值范围1~10000 数值越小，优先级越高 配置IKE协商1-2 配置IKE协商策略 Router(config-isakmp)#authentication pre-share Router(config-isakmp)# encryption ｛ des | 3des ｝ Router(config-isakmp)# hash ｛ md5 | sha1 ｝ Router(config-isakmp)# lifetime seconds 使用预定义密钥 加密算法 SA的活动时间 认证算法 配置IKE协商1-3 设置共享密钥和对端地址 Router(config)# crypto isakmp key keystring address peer-address 密钥 对端IP 配置IPsec协商2-1 设置传输模式集 Router(config)# crypto ipsec transform-set transform-set-name transform1 [transform2 [transform3]] 定义了使用AH还是ESP协议，以及相应协议所用的算法 配置IPsec协商2-2 配置保护访问控制列表 Router(config)# access-list access-list-number {deny | permit} protocol source source-wildcard destination destination-wildcard 用来定义哪些报文需要经过IPSec加密后发送，哪些报文直接发送 配置端口的应用3-1 创建Crypto Maps Router(config)# crypto map map-name seq-num ipsec-isakmp 配置Crypto Maps Router(config-crypto-map)# match address access-list-number Router(config-crypto-map)# set peer ip_address Router(config-crypto-map)# set transform-set name ACL编号 对端IP地址 传输模式的名称 Map优先级，取值范围1~65535，值越小，优先级越高 配置端口的应用3-2 应用Crypto Maps到端口 Router(config)# interface interface_name interface_num Router(config-if)# crypto map map-name 检查IPsec配置 查看IKE策略 Router# show crypto isakmp policy 查看IPsec策略 Router# show crypto ipsec transform-set 查看SA信息 Router# show crypto ipsec sa 查看加密图 Router# show crypto map 实验目的 了解VPN的作用