vpn-5cisco的路由VPN技术.pptVIP

Cisco 路由器的VPN技术 一般我们设计VPN网络的设备选择依据 我们一般用路由器做site-tosite的VPN 我们一般用VPN3000这样的集中器做remoteVPN （价格考虑） 路由器起VPN的优势 1.数据传输 IPSEC有一些局限性，但是路由器不光支持IPSEC，他还支持GRE 2.可以采用动态的多点VPN DMVPN技术 可以对RIP.,IGRP ,EGIRP,BGP的支持，只有路由器可以做，PIX不支持，只支持隧道，但是IOS7.0 版本以上的除外。 3.介质的转换 ATM,FR,ISDN,DSL,以太网，点对点 4.QOS支持 比如说两点之间起语音和视频 路由器上支持的QOS 1.FIFO 2.CBWFQ 3.CQ定制队列 4.CBLLQ基于类别的低延迟队列 5.IP RTP 多媒体应用程序 6.WRRQ权重的轮循队列 7.PQ优先级队列 路由器的ISAKMP/IKE阶段一的建立过程 1.允许IPsec的流量 hssj(config)#access-list 101 per udp any any eq 500 hssj(config)#access-list 101 per ahp any any hssj(config)#access-list 101 per esp any any hssj(config)#access-list 101 per udp any any eq 4500 2.定义一个isakmp/ike的策略 启用isakmp： hssj(config)#crypto isakmp enable 建立策略：（对管理的连接建立的验证和保护） hssj(config)#crypto isakmp policy 10 其中序号的作用是越小越优先，可以有多个策略的存在 hssj(config-isakmp)#encryption 3des选择加密的格式 hssj(config-isakmp)#hash md5对HMAC的建立 hssj(config-isakmp)#authentication pre-share 选择共享密钥 hssj(config-isakmp)#group ? 1 Diffie-Hellman group 1 2 Diffie-Hellman group 2 5 Diffie-Hellman group 5 hssj(config-isakmp)#lifetime 86400 *策略越低越优先，最安全的策略是1，最不安全的策略是10000 hssj#show crypto isakmp policy Global IKE policy Protection suite of priority 10 encryption algorithm: Three key triple DES hash algorithm: Message Digest 5 authentication method: Pre-Shared Key Diffie-Hellman group: #1 (768 bit) lifetime: 86400 seconds, no volume limit Default protection suite encryption algorithm: DES - Data Encryption Standard (56 bit keys). hash algorithm: Secure Hash Standard authentication method: Rivest-Shamir-Adleman Signature Diffie-Hellman group: #1 (768 bit) lifetime: 86400 seconds, no volume limit 对等体协商的策略 b#sh crypto isakmp policy Global IKE policy Protection suite of priority 2 encryption algorithm: Three key triple DES hash algorithm: Secure Hash Standard authentication