0030.IOSEasyVPN-在阶段一使用ISAKMPProfile配置EasyVPN.docVIP

标题：IOS Easy VPN - 在阶段一使用ISAKMP Profile配置Easy VPN 日期：2009-7-27 记录：stanley.wang 邮件：stanley.wy@ 拓扑： 备注： 采用ISAKMP Profile简档配置Easy VPN能够避免当前多种不同VPN之间冲突，同时还能能够体现阶段一策略与组策略之前的关联性。 Pix1配置 !---配置阶段一策略 crypto isakmp policy 10 hash md5 authentication pre-share group 2 !---配置EzVPN客户端地址池 ip local pool myezvpn-pool 0 !---配置隧道分离ACL ip access-list extended myezvpn-split permit ip 55 any !---配置Easy VPN组mygroup-1及具体策略 crypto isakmp client configuration group mygroup-1 !---预共享密钥 key wangyuan dns wins pool myezvpn-pool acl myezvpn-vpn aaa authentication login console none line con 0 login authentication console !---配置用于Easy VPN认证及授权列表 aaa authentication login myezvpn-login local aaa authorization network myezvpn-author local !---配置Easy VPN帐号 username stanley password 0 wangyuan !---配置ISAKMP Profile调用阶段一相关策略 crypto isakmp profile myezvpn-profile-1 !---指定匹配的组 match identity group mygroup-1 !---指定认证列表 client authentication list myezvpn-login !---指定授权列表 isakmp authorization list myezvpn-author !---配置响应客户端的IP地址请求 client configuration address respond !---配置阶段二的策略 crypto ipsec transform-set myezvpn-set esp-des esp-md5-hmac !---由于无法预知客户端的IP 地址及感兴趣数据流，因此配置动态MAP crypto dynamic-map myezvpn-dymap 10 !---指定阶段二策略 set transform-set myezvpn-set !---设置ISAKMP的Profile set isakmp-profile myezvpn-profile-1 !---反向路由注入 reverse-route !---由于动态无法直接在接口调用，需要配置静态MAP调用动态MAP crypto map myezvpn-map 10 ipsec-isakmp dynamic myezvpn-dymap !---应用到具体接口 interface serial 1/2 crypto map myezvpn-map PC1的Easy VPN Client配置 图示：