使用与自签证书的主模式配置在路由器和ASA之间的EasyVPN-Cisco.PDFVIP

目录 简介 先决条件 要求 使用的组件 背景信息 配置  NTP 网络图 配置 验证 故障排除 相关的思科支持社区讨论 简介 本文描述如何设置在思科可适应安全工具(ASA)和运行Cisco IOS ®软件使用主模式与自签证书的路 由器之间的Easy VPN通道。 先决条件 路由器到路由器Easy VPN解决方案的配置示例根据假设在Cisco Easy VPN服务器的IP地址是静态 的，并且在Cisco Easy Vpn客户端的IP地址是静态的。 要求 Cisco 建议您了解以下主题： Internet 密钥交换 (IKE) 证书和公共密钥基础设施(PKI)  使用的组件 本文档中的信息基于以下软件和硬件版本： 运行软件版本8.4(7)的Cisco ASA 5510自适应安全设备 Cisco 2821系列集成业务路由器(ISR)该运行Cisco IOS软件版本15.2(4)M2 相关产品 本文档也可用于以下硬件和软件版本： 运行软件版本8.4或以上的Cisco ASA Cisco ISR运行Cisco IOS软件版本15.0或以上的生成路由器 背景信息 本文谈论使用在不支持与预先共享密钥的主模式的EzVPN。然而，我们能以证书验证使用主模式解 决漏洞关联同积极模式： CVE-2002-1623. 本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原 始（默认）配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。 配置  NTP 证书验证要求在所有参与的设备的时钟同步对共源。当时钟在每个设备时可以手工设置，这不是准 确的，并且可以是笨重的。最容易的方法同步在所有设备的时钟是使用NTP。NTP同步在一套的计 时分布式时间服务器和客户端中。此同步允许将关联的事件，当系统日志创建时，并且，当其他时 间精确的事件发生时。关于如何配置NTP的更多信息，参考网络时间协议：最佳实践白皮书。 /c/en/us/support/docs/availability/high-availability/19643-ntpm.html 网络图 配置 验证 验证设备顺利地登记与CA: 路由器 ASA 验证通道是UP 路由器 阶段1验证： 第2阶段验证： ASA 阶段1验证： 第2阶段验证： 故障排除    在ASA的调试 警告：在ASA，您能设置多种调试级别;默认情况下，使用1级。如果改变调试级别，调试的冗 余也许增加。 推荐使用有条件调试查看仅调试单个对等体的： 执行此小心地，特别是在生产环境。 隧道协商的ASA调试是： 证书验证的ASA调试是： 在路由器的调试 隧道协商的路由器调试是： 证书验证的路由器调试是：