动态IPsec配置示例在静态寻址的ASA和一个动态.PDFVIP

动态IPsec配置示例在静态寻址的ASA和一个动态 地寻址的IOS路由器之间的有NAT的 Contents Introduction Prerequisites Requirements Components Used Conventions 背景信息 Configure Network Diagram 配置 清除安全关联 (SA) Verify ASA安全工具-请显示命令 远程IOS路由器-请显示命令 Troubleshoot ASA -调试输出 远程IOS路由器-调试输出 Related Information Introduction 本文为如何给enable (event)可适应的安全工具(ASA)为了接受从IOS路由器的动态IPSec连接提供一 配置示例。 Prerequisites Requirements 在您尝试此配置前，请保证ASA和路由器有设立的IPSec隧道互联网连通性。 本文档假定您已在公共接口和专用接口上分配了 IP 地址，并且能够对远程 VPN 设备的 IP 地址执 行 ping 操作。 Components Used 本文档中的信息基于以下软件和硬件版本： Cisco 2900 Router和Cisco IOS Software Release 15.2(4)M3 Cisco可适应的安全工具软件版本9.4(1) The information in this document was created from the devices in a specific lab environment.All of the devices used in this document started with a cleared (default) configuration.If your network is live, make sure that you understand the potential impact of any command. Conventions 有关文档规则的详细信息，请参阅 Cisco 技术提示规则。 背景信息 如果专用网络 10.1.1.x 接入 Internet，则远程路由器将执行网络地址转换 (NAT)。从10.1.1.x的数据 流到在ASA后的专用网络10.2.2.x从NAT进程被排除。IPSec隧道设立，只有当数据流(10.1.1.x)首次 从有一个远程网络的路由器的连接与ASA (10.2.2.x)。路由器可以首次与ASA的连接，但是ASA不可 以首次与路由器的连接。 此配置enable (event)创建一条动态IPsec LAN对LAN (L2L)隧道的ASA用一台远程VPN路由器。此 路由器动态地从其 Internet 服务提供商接受外部公共 IP 地址。动态主机配置协议 (DHCP) 可提供此 机制，以便动态地分配提供商提供的 IP 地址。这样，当主机不再需要这些 IP 地址时，就可以重用 它们。  在ASA您能配置手工的NAT保证通过隧道不被转换的数据流。 在本例中，如果是在网络并 且去网络，过去常常的手工的NATis允许网络流量被加密，不用被转换到外部接口 IP地址。在路由器上，路由映射和访问列表命令用于允许网络流量被加密，不用NAT。然而 ，当您去别处(类似互联网)时，您被转换为外部接口IP地址通过端口地址转换(PAT)。 Note:参考适用NAT关于NAT的更多信息 这些是在ASA的配置required命令为了数据流不运行通过在隧道的PAT和数据流到运行的互联网通 过PAT object network LOCAL subnet object network REMOTE subnet nat (inside,outside) source static LOCAL LOCAL destination static REMOTE REMOTE object network LOCAL nat (inside,outside) dynamic interface Configure 本部分提供有关如何配置本文档所述功能的信息。 Network Diagram 本文档使用以下网络设置： 配置 本文档使用以下配置： 路由器 Router#show running-config Current configuration : 1354 bytes ! version 15.2 service timestamps debug datetime msec serv