vpn-7路由器站点到站点的链接.pptVIP

路由器站点到站点的链接 isakmp/ike阶段2的配置 1.定义被保护的流量(定义要走IPSEC隧道的流量) A,B路由器上的定义 a#sh ip access-lists hssj Extended IP access list hssj 10 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255 2.定义流量如何被保护 a(config)#crypto ipsec transform-set cisco esp-sha-hmac a#show crypto ipsec transform-set 两边都要输入 3.定义流量转发给谁 构建crypto map条目：静态map 和动态map 作用：定义被保护的流量，定义流量如何被保护，定义流量转发给谁 crypto ipsec transform-set cisco esp-des esp-sha-hmac access-list 101 permit ip 10.1.1.0 0.0.0.255 10.1.2.0 0.0.0.255 crypto map cisco 10 ipsec-isakmp（10代表的是优先级的序号，号码越低越优先 范围1——65535） set peer 172.16.171.20（制定路由器应该与谁链接 ip host主机表也可以） set transform-set cisco （定义传输集的名字，可以最多定义6个传输集） set pfs（可选，接收完美转发密钥PFS） match address 101（调用被保护的流量） a(config)#crypto ipsec security-association lifetime 定义生存周期 a(config)#crypto ipsec security-association idle-time 定义超时删除 4.激活crypto map a(config-if)#crypto map fxh 5。查看crypto map a#sh crypto map 例子实验(站点到站点的VPN) Router1： ip route 0.0.0.0 0.0.0.0 172.16.171.20 Router2: ip route 0.0.0.0 0.0.0.0 172.16.171.10 IKE Phase I policy Router1: crypto isakmp policy 1 authentication per-shared hash md5 encr 3des group 2 crypto isakmp key cisco address 172.16.171.20 Router2: crypto isakmp policy 1 authentication pre-shared hash md5 encr 3des group 2 crypto isakmp key cisco address 172.16.171.10 IPSec Phase II policy Router1: crypto ipsec transform-set cisco esp-des esp-sha-hmac access-list 101 permit ip 10.1.1.0 0.0.0.255 10.1.2.0 0.0.0.255 crypto map cisco 10 ipsec-isakmp set peer 172.16.171.20 set transform-set cisco set pfs match address 101 Router2: crypto ipsec transform-set cisco esp-des esp-sha-hmac access-list 101 permit ip 10.1.2.0 0.0.0.255 10.1.1.0 0.0.0.255 crypto map cisco 10 ipsec-isakmp set peer 172.16.171.10 set transform-set cisco set pfs match address 101 Apply VPN Configuration Router1: interface s0 crypto map cisco Router2: interface s0 crypto map cisco 构建一个动态的crypto map 静态的必须知道对方的IP地址，我们可以动态的调用他们，但是这个技术最好是应用在remote的vpn当中 需要注意的是：需要用对方的名称来定位预共享密钥 动态是指一些需要手动配置的资料可以通过协商来补充进