secpath典型组网及维护案例.ppt

培训提纲;分部secpath100N和总部secpath1000使用IPSec,

IPSec配置使用野蛮模式名字方式加策略模板解决分部动态地址和穿越NAT的问题，

同时接受移动用户使用Secpoint;分部secpath100N和总部secpath1000使用IPSec,

IPSec配置使用野蛮模式名字方式加策略模板解决分部动态地址和穿越NAT的问题，

同时接受移动用户使用Secpoint;相关配置如下：

secpath100:

#

ikelocal-namefenbu

#

ikepeer1

exchange-modeaggressive

pre-shared-key12345

id-typename

remote-namezongbu

nattraversal

#

ipsecproposal1

espencryption-algorithm3des

#

ipsecpolicy11isakmp

securityacl3000

ike-peer1

proposal1

#

interfaceEthernet0/0

ipaddress211.0.0.1255.255.255.0这里可能是动态获得比如dhcp

ipsecpolicy1

#

interfaceEthernet0/1

ipaddress192.168.0.1255.255.255.0私网地址

#

aclnumber3000

rule0permitipsource192.168.0.00.0.0.255destination172.31.0.00.0.255.255定义分部和总部私网之间数据流的ACL

#;总部Secpath1000相关配置如下：

#

l2tpenable

#

ip

#

aaaenable

aaaaccounting-schemeoptional

radiusserver172.31.1.100authentication-port1645accounting-port1646

radiusshared-keyabcdef98765//radius预共享密钥

radiustimerresponse-timeout120

aaaaccounting-schemepppdefaultstart-stopradius

aaaauthentication-schemepppdefaultradius

#

ikelocal-namezongbu//总部ikelocal-name

#

ikepeer1

exchange-modeaggressive//野蛮模式

pre-shared-key12345//预共享密钥

id-typename

remote-namefenbu

nattraversal//nat穿越

max-connections1000//此peer最大允许1000个用户同时使用

#

ipsecproposal1

espencryption-algorithm3des

#

ipsecpolicy-templatetp1//ipsec策略模板配置，不用配置acl

ike-peer1

proposal1

#

ipsecpolicy11isakmptemplatetp

#;详细配置步骤请参见如下典型配置;DVPN典型配置;DVPN典型配置;DVPN典型配置;DVPN典型配置;OSPFoverGREoverIPSec典型配置;OSPFoverGREoverIPSec典型配置;OSPFoverGREoverIPSec典型配置;RSAACESERVER典型配置;RSAACESERVER典型配置;CA证书验证配置;#配置PKI域参数。

pkidomainhuman

caidentifierWIN2000SERVER

certificaterequesturl

certificaterequestfromra

certificaterequestentitytest

crlcheckdisable

#

#???置PKI实体参数。

pkientitytest

common-name1000A

ip

#

#配置IKE协商使用数字证书。

ikepro