ISA 与Cisco做IPSec VPN互联.docx

ISA 与Cisco做IPSec VPN互联.docx

《ISA 与Cisco做IPSec VPN互联.docx》由会员分享，可在线阅读，更多相关《ISA 与Cisco做IPSec VPN互联.docx（24页珍藏版）》请在冰豆网上搜索。

ISA与Cisco做IPSecVPN互联

ISA2006与Cisco做IPSecVPN互联

在这里做IPSecsitetosite互联以宽带的形式做第一分界线，即分为固定IP和ADSL拨号两种形式。

以CiscoASA5540作为主体（固定IP）。

一、客体在ADSL拨号环境下的相关设置

1、CiscoASA5540作为主体的设置

这时候ASA5540是作为一个远程接入点设置的

1>IKE策略设置

该圈圈的设置要按这个设置，ISA默认的设置就是该设置

2>IPSec规则

启用向前加密（组2）

该圈圈的设置要按这个设置，ISA默认的设置就是该设置

3>设置隧道模式TunnelGroup

这是预共享的密钥，要和对方设置的密钥一致，不然不能成功建立隧道

4>设置隧道组策略TunnelPolicy

5>做NAT0设置

做NAT0，意思就是到这些目的地址的数据包是不做NAT的，因此，要将对方的地址段加到这里面的目的地址，通过加密的隧道进行传输。

6>做ACL访问控制

2、ISA2006作为客体的设置

1>首先在ISA上建立好拨号设置

建立宽带连接

找到“ISA服务器管理—陈列—配置—常规—指定拨号首选项”

设置用来进行宽带拨号的宽带账号

选择用来拨号的网卡

选择建立的宽带拨号连接

2>在ISA上利用“创建vpn点到点连接”向导进行设置

3>Vpn建立后的一些参数

4>ISA后的维护

在ISA服务器重新启动或者重新拨号了，都会导致拨号获取的外网地址改变了，需要在拨号的连接上查看获取的新的外网地址，如下图红色圈住的地址。

获取到新的外网地址后，需要在ISA上做些修改，找到“ISA服务器管理—陈列—配置—网络—网络”选项卡切换到连接上，将本地VPN网关IP地址改成新获取到的外网IP地址。

点击应用后设置完成，在客户端电脑上pingCisco内部地址，会开始建立IPSec隧道的，在ISA上ping是不通的，但是不是提示timeout。

在ISA的监视会话中能看见如下的记录：

注意：

只有在ISA客体端的用户pingCisco那边内网地址才能开始建立连接，反过来从Cisco那边开始pingISA那边内网地址是不能开始建立连接的。

二、客体在固定IP环境下的相关设置

1、CiscoASA5540可以采用第一种设置的方式设置而不用理会客体是固定地址还是ADSL拨号，只需要将对方内网的地址段加到对应的NAT0里面。

2、CiscoASA5540还可以用sitetosite模式进行设置

1>建立好sitetosite设置

2>修改vpn参数以符合ISA的参数

3、客体ISA还是按照第一种情况里面的设置进行设置，只是不需要建立拨号连接，不需要修改本地VPN网关IP地址。

只需要将外网网卡的地址设置成网络运营商给定的IP地址即可。