在有VPN3000集中器的IOS路由器上,带NEM的.PDFVIP

在有VPN 3000集中器的IOS路由器上，带NEM的 EzVPN配置示例 目录 简介 先决条件 要求 使用的组件 规则 配置VPN 3000集中器 任务 网络图 逐步指导 路由器配置 验证 故障排除 故障排除命令 从调试指令的输出 相关Cisco IOS显示排除故障的命令 VPN 3000 集中器调试 可能出现的错误 相关信息 简介 本文解释您使用为了配置Cisco IOS路由器作为在网络扩展模式(NEM)的一EzVPN连接到Cisco VPN 3000集中器的步骤。一个新的EzVPN第II阶段功能是一基本网络地址转换(NAT)配置的支持。 EzVPN第II阶段从Unity协议(VPN客户端软件)派生。远程设备总是IPSec隧道的发起者。然而， Internet Key Exchange (IKE)和IPsec建议不是可配置在EzVPN客户端。VPN客户端协商建议用服务 器。 要使用 Easy VPN 在 PIX/ASA 7.x 和 Cisco 871 路由器之间配置 IPsec，请参阅将 ASA 5500 用作 服务器，将 Cisco 871 用作 Easy VPN Remote 的 PIX/ASA 7.x Easy VPN 配置示例。 要在 Cisco IOS Easy VPN Remote Hardware Client 和 PIX Easy VPN 服务器之间配置 IPsec，请 参阅 IOS Easy VPN Remote Hardware Client 到 PIX Easy VPN 服务器配置示例。 要将 Cisco 7200 路由器配置为 EzVPN 并将 Cisco 871 路由器配置为 Easy VPN Remote，请参阅 7200 Easy VPN 服务器到 871 Easy VPN Remote 配置示例。 先决条件 要求 在您尝试此配置检查前Cisco IOS路由器支持EzVPN第II阶段功能，并且有与设立IPSec隧道的端到 端连接的IP连通性。 使用的组件 本文档中的信息基于以下软件和硬件版本： Cisco IOS软件版本12.2(8)YJ (EzVPN相位II) VPN 3000集中器3.6.x Cisco 1700 路由器 本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原 始（默认）配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。 注意： 此配置用有Cisco IOS软件版本12.4(8)和VPN 3000集中器4.7.x版本的一个Cisco 3640路由 器最近测试。 规则 有关文档规则的详细信息，请参阅 Cisco 技术提示规则。 配置VPN 3000集中器 任务 在此部分，您提交以信息配置VPN 3000集中器。 网络图 本文档使用此图所示的网络设置。回环接口使用作为内部子网，并且FastEthernet0是默认到互联网 。 逐步指导 完成这些步骤： 1. 选择Configuration User Management Groups Add并且定义组名和密码为了配置用户的 一个IPSec组。此示例以密码使用组名turaro/验证tululo。 2. 选择Configuration User Management Groups 启用IPSec和禁用点对点隧道协议 (PPTP)和Layer2隧道协议的turaro General (L2TP)。做您的选择并且单击应用。 3. 设置验证对内部扩展认证的并且保证隧道类型是远程访问，并且IPSec SA是ESP-3DES- MD5。 4. 选择Configuration System Tunneling Protocols IPSec IKE Proposals为了确保， Cisco VPN Client (CiscoVPNClient-3DES-MD5)是在IKE的(相位1)有效建议。注意： 从 VPN集中器4.1.x，步骤为保证是不同的Cisco VPN Client是在有效建议列表IKE的(相位1)。选 择Configuration建立隧道和安全 IPSec IKE Proposals。 5. 验证您的IPSec安全关联(SA)。在步骤3您的IPsec SA是ESP-3DES-MD5。如果希望，但是确 保您使用在您的组的正确IPsec SA您能创建新的。您应该禁用您使用的IPsec的SA完整转发安 全性(PFS)。选择Cisco VPN Client作