VPN案例知识讲解.docxVIP

在配好OSPF的基础上做VPN配置 在R1上 1、 定义感兴趣流： R1(config)#access-list 110 permit ip 1.1.1.0 0.0.0.255 3.330 0.0.0.255 2、 IKE第一阶段 IKE配置 R1(config)#crypto isakmp policy 1 (建立 isakmp 策略 1) R1(config-isakmp)# encr 3des (采用 3des加密) R1(config-isakmp)# hash md5 (哈希采用 md5 验证，不是加密) R1(config-isakmp)#authentication pre-share (采用欲共享密钥认证方式) R1(config-isakmp)#group 2 (采用第二个组的长度(共有 1、2、6三个组可以选 择)) R1(config-isakmp)#crypto isakmp key cisco address 23.1.1.1 (key 后面是密码， address后面是对址，预共享密钥；其中 cisco为key，两个路由器上要一样，其 中23.1.1.1为peer路由器的ip地址) R1(co nfig)# (需要注意两个路由器上的对应参数配置必须相同) 3、 IKE第二阶段 R1(config)#crypto ipsec transform-set aaa esp-3des esp-sha-hmac (创建变换集 aaa，其中aaa为transform-set name ，后面两项为加密传输的算法 ；mode tran sport/tu nn el, tunnel 为默认值，此配置可选 4、 把感兴趣流与变换集映射一下 R1(cfg-crypto-trans)#crypto map eee1 ipsec-isakmp(仓U建加密图 eee ，序号 1) R1（cfg-crypto-map）#set transform-setaaa （使用上面创建的变换集） set peer 23.1.1.3 （VPN 隧道对端的 IP 地址） match address 110 （定义进行加密传输的数据,与第一步对应引入访问列表 确定受保护的数据流） 5、MAP与接口绑定 Int eO/1 Crypto map eee 6查询VPN信息 show crypto isakmp policy show crypto isakmp sa 第一阶段的 SA show crypto ipsec sa 第二阶段的 SA show crypto engine conn ecti ons active show crypto map 注意：VPN不能使用标准ACL，只能使用扩展ACL IPSec VPN的配置步骤 1、 配置ACL 2、 配置ISAKMP策略； 3、 配置IPSec变换集 4、 配置变换集和ACL映射到相应端口 （ACL和变换集结合成的整体，绑 定到接口上） 5、 配置加密图map和相应接口对应 GRE是隧道协议，虽然自己有一些加密措施，但是基本上没有保密效果，所以, GRE可以被单纯的认为只是一个隧道协议； IP-sec,能够对GRE进行加密； 一般GRE和IP-sec相结合，来提供安全的隧道协议 配置实例: 1、 con figure crypto ACL 配置感兴趣流,需要加密的流量就是感兴趣流 2、 establish ISAKMP policy 第一阶段的策略 3、 con figure IPsec tran sform set 第二阶段的策略 4、 con figure crypto map 5、 apply crypto map to the in terface 在接口下应用 6 con figure in terface ACL 确定在外网接口放行哪些流量 172. 16. 1. 0 一、 定义感兴趣流： ip access-list exte nded VPN permit ip 172.16.1.0 0.0.0.255 172.1620 0.0.0.255 二、 IKE第一阶段 crypto isakmp policy 10 en crypti on des hash md5 authe nticati on pre-share group 2 crypto isakmp key cisco address 202.100.1.2 pre-share key 的定义 三、 IKE第二阶段 crypto ipsec tran sform-set MYSET esp-des esp-md5-hmac mode tunnel 四、把感兴趣流与转换集映射一下 crypto map MYMAP 100