CISCO_IPsec_VPN配置大全.doc

CISCO IPsec VPN配置大全 红头发(aka CCIE#15101), ?3 x* x/ ?6 i7 r% F/ G, i: {5 i2 F5 _4 K: R/ c??H: r+ B( G7 @! 纽爱科网络实验室社区2 S! ^2 u! ~! U??M) `. u6 H$ y+ k8 j一.基于PSK的IPsec VPN配置??Z2 U+ n8 ?, v* R y首先IOS带k的就可以了,支持加密特性,拓扑如下:6 h: r4 ?, O0 g% n/ m纽爱科网络实验室社区 topo.jpg (57.02 KB) 2008-10-11 20:14 7 ]/ D b+ S??x g+ _, p, S1 f X! M??s1.R1基本配置:3 r# k, @! [2 u ^R1(config)#interface loopback0/ P$ Q; w8 V% b) `4 w! OR1(config-if)#ip address 1 J1 g??I1 g; ^R1(config-if)#no shutdown2 A9 T- u! ] w0 v @+ y. gR1(config-if)#interface serial0/0# s, l a3 ]! d1 P% _* n# i??_R1(config-if)#ip address?? 52纽爱科网络实验室社区+ l6 m7 Q$ G6 K2 j1 G7 D1 |R1(config-if)#clock rate 56000, H2 w6 x/ q4 n) mR1(config-if)#no shutdown2 g E6 g* g( m; ~$ k e; RR1(config-if)#exit9 e3 h1 O p4 A% i* J3 U8 } }+ R) y2 Y. `/ q# g* W2.定义感兴趣流量与路由协议:, R7 r# @. p t; f- CR1(config)#access-list 100 permit ip 55 558 S- M X- A- [# D/ lR1(config)#ip route serial0/05 J3 w. i3 R1 @( q8 ]6 T1 P4 p( `1 d G h9 u# K3.全局启用ISAKMP并定义对等体及其PSK(预共享密钥):. | ]% D3 ~. y6 u i$ XR1(config)#crypto isakmp enable / v- P# M! d7 o/ y8 V??FR1(config)#crypto isakmp key 91lab address  t6 Y???; z! [0 A( V! J# l3 X6 i1 }7 K1 c @4 I: v4.定义IKE策略:9 h4 n/ e/ N g( k7 g! {0 OR1(config)#crypto isakmp policy 104 V) f2 v( F* H. w8 K. j: b* v! FR1(config-isakmp)#encryption aes 128? ???/---默认是DES加密---/$ Y5 r8 b5 i W2 F- e, b/ VR1(config-isakmp)#hash sha? ?? ?? ?? ?/---默认是SHA-1---/) s( ^- m/ r% X1 w7 H纽爱科网络实验室社区R1(config-isakmp)#authentication pre-share? ???5 R- f% p3 T# d9 q# @ hR1(config-isakmp)#group 2? ?? ?? ?? ? /---默认是768位的DH1---/) J a9 z0 U9 W9 h {??yR1(config-isakmp)#lifetime 3600? ?? ???/---默认是86400秒---/4 c+ N/ Y+ M! T( a D; |5 nR1(config-isakmp)#exit3 d( x9 J$ c k0 x: G4 P. b5 X- _! ]5.定义IPSec转换集(transform set):4 n: T/ J3 |7 Z4 n x. _! KR1(config)#crypto ipsec transform-set tt esp-aes 128 esp-sha-hmac $ y1 ~6 i! ]; [+ b+ PR1(cfg-crypto-trans)#mode tunnel 6 x O( [6 F/ ` gR1(cfg-crypto-trans)#exit纽爱科网络实验室社区; K, y1 G( [( q