1、version 12.2 service timestamps debug uptime service timestamps log up time no service password-encryption hostname sam-i-am ip subnet-zero - IKE配置 sam-i-am(config)#crypto isakmp policy 1 /定义策略为1 sam-i-am(isakmp)#hash md5 /定义MD5散列算法 sam-i-am(isakmp)#authentication pre-share /定义为预共享密钥认证方式 sam-i-am(co
2、nfig)#crypto isakmp key cisco123 address 0.0.0.0 0.0.0.0 精彩文档- 配置预共享密钥为cisco123,对等端为所有IP - IPSec协议配置 sam-i-am(config)#crypto ipsec transform-set rtpset esp-des esp-md5-hmac - 创建变换集 esp-des esp-md5-hmac sam-i-am(config)#crypto dynamic-map rtpmap 10 /创建动态保密图rtpmap 10 san-i-am(crypto-map)#set transform
3、-set rtpset /使用上面的定义的变换集rtpset san-i-am(crypto-map)#match address 115 /援引访问列表确定受保护的流量 sam-i-am(config)#crypto map rtptrans 10 ipsec-isakmp dynamic rtpmap - 将动态保密图集加入到正规的图集中 interface Ethernet0 ip address 10.2.2.3 255.255.255.0 no ip directed-broadcast ip nat inside no mop enabled interface Serial0 i
4、p address 99.99.99.1 255.255.255.0 ip nat outside crypto map rtptrans /将保密映射应用到S0接口上 ip nat inside source route-map nonat interface Serial0 overload - 这个NAT配置启用了路由策略,内容为10.2.2.0到10.1.1.0的访问不进行地址翻译 - 到其他网络的访问都翻译成SO接口的IP地址 ip classless ip route 0.0.0.0 0.0.0.0 Serial0 /配置静态路由协议 no ip http server acces
5、s-list 115 permit ip 10.2.2.0 0.0.0.255 10.1.1.0 0.0.0.255 access-list 115 deny ip 10.2.2.0 0.0.0.255 any access-list 120 deny ip 10.2.2.0 0.0.0.255 10.1.1.0 0.0.0.255 access-list 120 permit ip 10.2.2.0 0.0.0.255 any sam-i-am(config)#route-map nonat permit 10 /使用路由策略 sam-i-am(router-map)#match ip ad
6、dress 120 line con 0 transport input none line aux 0 line vty 0 4 password ww login end dr_whoovie(VPN Client) service timestamps log uptime hostname dr_whoovie dr_whoovie(config)#crypto isakmp policy 1 /定义策略为1 dr_whoovie(isakmp)#hash md5 /定义MD5散列算法 dr_whoovie(isakmp)#authentication pre-share /定义为预共
7、享密钥认证方式 dr_whoovie(config)#crypto isakmp key cisco123 address 99.99.99.1 - 配置预共享密钥为cisco123,对等端为服务器端IP99.99.99.1 dr_whoovie(config)#crypto ipsec transform-set rtpset esp-des esp-md5-hmac dr_whoovie(config)#crypto map rtp 1 ipsec-isakmp - 使用IKE创建保密图rtp 1 dr_whoovie(crypto-map)#set peer 99.99.99.1 /确定
8、远程对等端 dr_whoovie(crypto-map)#set transform-set rtpset /使用上面的定义的变换集rtpset dr_whoovie(crypto-map)#match address 115 /援引访问列表确定受保护的流量 ip address 10.1.1.1 255.255.255.0 ip address negotiated /IP地址自动获取 encapsulation ppp /S0接口封装ppp协议 no ip mroute-cache no ip route-cache crypto map rtp /将保密映射应用到S0接口上 - 这个NA
9、T配置启用了路由策略,内容为10.1.1.0到10.2.2.0的访问不进行地址翻译 access-list 115 permit ip 10.1.1.0 0.0.0.255 10.2.2.0 0.0.0.255 access-list 115 deny ip 10.1.1.0 0.0.0.255 any access-list 120 deny ip 10.1.1.0 0.0.0.255 10.2.2.0 0.0.0.255 access-list 120 permit ip 10.1.1.0 0.0.0.255 any dialer-list 1 protocol ip permit dia
10、ler-list 1 protocol ipx permit route-map nonat permit 10 /使用路由策略 match ip address 120 实用标准文案transport input none - 配置-IKE ec VPN对等端为了建立信任关系,必须交换某种形式的认证密钥。IPSInternet 密钥交换(Internet Key Exchange,IKE)是一种为IPSec管理和交换密钥的标准方法。一旦两个对等端之间的IKE协商取得成功,那么IKE就创建到远程对等端的安全关联(security association,SA)。SA是单向的;在两个对等端之间存
11、在两 个SA。IKE使用UDP端口500进行协商,确保端口500不被阻塞。配置 1、(可选)启用或者禁用IKE (global)crypto isakmp enable 或者 (global)no crypto isakmp enable 默认在所有接口上启动IKE 2、创建IKE策略 (1)定义策略 (global)crypto isakmp policy priority 注释:policy 1表示策略1,假如想多配几个VPN,可以写成policy 2、policy3 (2)(可选)定义加密算法 (isakmp)encryption des | 3des 加密模式可以为56位的DES-CBC(des,默认值)或者168位的3DES(3des) (3)(可选)定义散列算法 (isamkp)hash sha | md5 默认sha (4)(可选)定义认证方式 (isamkp)authentication rsa-sig | rsa-encr | pre-share rsa-sig 要求使用CA并且提供防止抵赖功能;默认值 rsa-encr 不需要CA,提供防止抵赖功能 pre-share 通过手工配置预共享密钥 (5)(可选)定义Diffie-Hellman标识符 (isakmp)group 1 | 2 除非购买高端路由器,或是VPN通信比较少,否则最好使用
copyright@ 2008-2022 冰豆网网站版权所有
经营许可证编号:鄂ICP备2022015515号-1