IPSec-VPN配置总结的范文.docVIP

如确定使用AH还是ESP协议，使用传输模式还是隧道模式。协商成功后建立IPSec SA〔平安关联〕，保护IPSec隧道的平安。 在笔者所配置的IPSec VPN中，都统一采用以下参数： 阶段一： ； 保证数据完整性的算法采用HMAC-SHA-1； ； ； 阶段二： 采用ESP 使用模式采用隧道模式。 配置实例及说明 用路由器实现站点到站点的IPSec VPN 以笔者单位的网络拓扑结构为例来说明使用路由器实现站点到站点的IPSec VPN的配置。本例中总部和三个分公司都具有固定的公网IP地址，如图一所示： 图1 总部路由器阶段一的配置： ZB(config)#crypto isakmp policy 10 是从1到100000，1的优先级最高 ZB(config-isakmp)#encryption 3des //使用 ZB(config-isakmp)#authentication pre-share ZB(config-isakmp)#hash sha ZB(config-isakmp)#group 2组2的算法 ZB然后分别指定三个分公司的路由器公网接口的IP地址 总部路由器阶段二的配置： ZB(config)#crypto ipsec transform-set cjgsset esp-3des esp-sha-hmac //定义IPSec的转换集，转换集的名字为cjgsset，采用3DES算法，认证采用SHA算法 ZB(cfg-crypto-trans)#mode tunnel ： ZB(config)#ip access-list extended cz //这里的几条访问列表定义要被保护的数据，即总部访问三个分公司的数据流。172.19.0.0/18是总部的地址段，172.19.64.0/18是株洲分公司的地址段，172.19.128.0/19是铜陵分公司的地址段，172.19.160.0/19是常州分公司的地址段 ZB(config-ext-nacl)#permit ip 172.19.0.0 0.0.63.255 172.19.160.0 .255 ZB(config-ext-nacl)#exit ZB(config)#ip access-list ext tl //总部到铜陵分公司的流量 ZB(config-ext-nacl)#permit ip 172.19.0.0 0.0.63.255 172.19.128.0 .255 ZB(config-ext-nacl)#exit ZB(config)#ip access-list ext zz //总部到株洲分公司的流量 ZB(config)#crypto map cjgsmap 10 ipsec-isakmp 并使用ISAKMP〔即阶段一协商的参数〕来自动建立IPSec SA ZB(config-crypto-map)#match add cz // ZB(config-crypto-map)#set transform-set cjgsset //使用cjgsset变换集定义的IPSec参数 //定义对等体的地址，即常州分公司路由器公网接口的IP地址 ZB(config-crypto-map)#exit ZB(config)#crypto map cjgsmap 20 ipsec-isakmp ZB(config-crypto-map)#match add tl //匹配到铜陵分公司的流量 ZB(config-crypto-map)#set transform-set cjgsset //铜陵分公司路由器公网接口的IP地址 ZB(config-crypto-map)#exit ZB(config)#crypto map cjgsmap 30 ipsec-isakmp ZB(config-crypto-map)#match add zz //匹配到株洲分公司的流量 ZB(config-crypto-map)#set tran cjgsset //株洲分公司路由器公网接口的IP地址 总部路由器的公网接口上： ZB(config)#int fa0/0 ZB(config-int)crypto map cjgsmap 至此总部路由器上的配置即完成。 分公司的配置以配置结果如下： crypto isakmp policy 100 encr 3des authentication pre-share group 2 crypto isak cr