ipsec vpn检查过程.pdfVIP

Ipsec vpn 模型 1，lan-to-lan 模型（L2L） a，基本 l2l （note：如果使用 acl 解决方案，双方 acl 不完全匹配， 需要由范围小的一方发起） 1，基本解决方案 2，isakmp profile 3，ipsec profile b，gre over ipsec （根据实际情况考虑mtu） 1，使用 acl 来 match gre 流量（所有被列表匹配的 gre 流量 就是感兴趣流，物理口必须调用 map，tunnel 口可选） 2，使用 ipsec profile （在tunnel 下调用 ipsec profile 表示 tunnel 下跑的都是感兴趣流量） c，ipsec over gre d，点对多点 （静态map 对动态 map，note：建议 client 端使用明 细感兴趣流量。） e，DMVPN f，高可用 vpn 2，远程访问模型（RA） a，remote-vpn （pc） b，ezvpn （router） 动态 map 配置 crypto isakmp policy 10 authentication pre-share crypto isakmp key cisco address 0.0.0.0 0.0.0.0 ! ! crypto ipsec transform-set cisco esp-des esp-md5-hmac ! crypto dynamic-map cisco 10 set transform-set cisco ! ! crypto map cisco 10 ipsec-isakmp dynamic cisco Int e0/0 cry map cisco Nat 与 ipsec 流量重叠 ，nat 优先于 ipsec，如果流量重叠，一般两种解决办法， 1，将 vpn 流量从 nat 列表中剔除 2，将 vpn 流量作 nonat。 nat-t （default udp port=4500）解决 ipsec 穿越 pat 问题。 包括 3 钟解决方案 1，nat-t 使用 udp 4500 3，ipsec over udp 默认 10000 4，ipsec over tcp 默认 10000 Cisco 25 以前的设备默认没有开启 nat-t，26 以后设备默认开启 R1 conf: Permit ip host 1.1.1.1 host 2.2.2.2 crypto isakmp policy 10 authentication pre-share crypto isakmp key cisco address 10.1.1.2 ! ! crypto ipsec transform-set cisco esp-des esp-md5-hmac ! crypto map cisco 10 ipsec-isakmp set peer 10.1.1.2 set transform-set cisco match address vpn Interface e0/0 crypto map cisco R2 conf: Permit ip host 2.2.2.2 host 1.1.1.1 crypto isakmp policy 10 authentication pre-share crypto isakmp key cisco address 10.1.1.1 ! ! crypto