CISCO IPsec VPN配置大全.docx

《CISCO IPsec VPN配置大全.docx》由会员分享，可在线阅读，更多相关《CISCO IPsec VPN配置大全.docx（16页珍藏版）》请在得力文库 - 分享文档赚钱的网站上搜索。

1、编号：时间：2021年x月x日书山有路勤为径，学海无涯苦作舟页码：第16页 共16页CISCO IPsec VPN配置大全红头发(aka CCIE#15101), ?3 x* x/ ?6 i7 r% F/ G, i: 5 i2 F5 _4 K: R/ cH: r+ B( G7 ! 纽爱科网络实验室社区2 S! 2 u! ! UM) . u6 H$ y+ k8 j一.基于PSK的IPsec VPN配置Z2 U+ n8 ?, v* R y首先IOS带k的就可以了,支持加密特性,拓扑如下:6 h: r4 ?, O0 g% n/ m纽爱科网络实验室社区 topo.jpg (57.02 KB)2008-

2、10-11 20:147 / D b+ Sx g+ _, p, S1 f X! Ms1.R1基本配置:3 r# k, ! 2 u R1(config)#interface loopback0/ P$ Q; w8 V% b) 4 w! OR1(config-if)#ip address 10.1.1.1 1 J1 gI1 g; R1(config-if)#no shutdown2 A9 T- u! & w0 v + y. gR1(config-if)#interface serial0/0# s, l a3 ! d1 P% _* n# i_R1(config-if)#ip address192.

3、168.1.1 255.255.255.252纽爱科网络实验室社区+ l6 m7 Q$ G6 K2 j1 G7 D1 |R1(config-if)#clock rate 56000, H2 w6 x/ q4 n) mR1(config-if)#no shutdown2 g E6 g* g( m; $ k e; RR1(config-if)#exit9 e3 h1 O p4 A% i* J3 U8 & + R) y2 Y. / q# g* W2.定义感兴趣流量与路由协议:, R7 r# . p t; f- CR1(config)#access-list 100 permit ip 10.1.1.

4、0 0.0.0.255 10.2.2.0 0.0.0.2558 S- M X- A- # D/ lR1(config)#ip route 0.0.0.0 0.0.0.0 serial0/05 J3 w. i3 R1 ( q8 6 T1 P4 p( 1 d& G h9 u# K3.全局启用ISAKMP并定义对等体及其PSK(预共享密钥):. | % D3 . y6 u i$ XR1(config)#crypto isakmp enable v- P# M! d7 o/ y8 VFR1(config)#crypto isakmp key 91lab address 192.168.1.2 t6 Y

5、?; z! 0 A( V! J# l3 X6 i1 7 K1 c 4 I: v4.定义IKE策略:9 h4 n/ e/ N g( k7 g! 0 OR1(config)#crypto isakmp policy 104 V) f2 v( F* H. w8 K. j: b* v! FR1(config-isakmp)#encryption aes 128 /-默认是DES加密-/$ Y5 r8 b5 i W2 F- e, b/ VR1(config-isakmp)#hash sha /-默认是SHA-1-/) s( - m/ r% X1 w7 H纽爱科网络实验室社区R1(config-isakm

6、p)#authentication pre-share 5 R- f% p3 T# d9 q# hR1(config-isakmp)#group 2 /-默认是768位的DH1-/) J a9 z0 U9 W9 h yR1(config-isakmp)#lifetime 3600 /-默认是86400秒-/4 c+ N/ Y+ M! T( a& D; |5 nR1(config-isakmp)#exit3 d( x9 J$ c k0 x: G4 P. b5 X- _! 5.定义IPSec转换集(transform set):4 n: T/ J3 |7 Z4 n& x. _! KR1(confi

7、g)#crypto ipsec transform-set tt esp-aes 128 esp-sha-hmac $ y1 6 i! ; + b+ PR1(cfg-crypto-trans)#mode tunnel 6 x O( 6 F/ gR1(cfg-crypto-trans)#exit纽爱科网络实验室社区; K, y1 G( ( q * O0 v! n1 |2 n$ F - % n纽爱科网络实验室社区6.定义crypto map并应用在接口上:3 CHQ# m+ P! a: % W2 q* CR1(config)#crypto map cisco 10 ipsec-isakmp 9 N

8、$ ?2 p# R, Q6 J; DR1(config-crypto-map)#match address 100 X+ w8 p* Z( a3 7 u% uR1(config-crypto-map)#set peer 192.168.1.2 /-定义要应用crypto map的对等体地址-/; Y+ o% D: X+ ?# O9 M1 ?# sR1(config-crypto-map)#set transform-set tt /-定义crypto map要应用的IPsec转换集-/2 F! _9 s7 z- o. HR1(config-crypto-map)#exit# t+ j: v1

9、e$ A. b0 M+ R1(config)#interface serial0/ U# g+ B1 I# h2 jv3 M, jR1(config-if)#crypto map cisco/ S O4 9 d& u W& D( _3 F. m4 W& t4 T* ?E* M k* j*Mar1 00:08:31.131: %CRYPTO-6-ISAKMP_ON_OFF: ISAKMP is ON, W. ?/ f, Nv2 A5 l( Ub X% W+ N1 _6 X c. yR1(config-if)#end8 F* a9 d3 D1 JR1#纽爱科网络实验室社区. j- l* P2 r?

10、R1配置完成.2 U. v& Y- x( N( E d3 Y3 0 j( S3 ?% B7 z. r同理,R2相关配置如下:纽爱科网络实验室社区, p$ 0 B& u, Q5 K! ; * W& D5 I( 纽爱科网络实验室社区!4 q: g6 B1 Z! Ecrypto isakmp policy 109 m7 5 6 q& s5 x6 sencr aes$ n9 V! d+ Q5 N 0 k 6 ?: Mauthentication pre-4 i( |5 ox5 M U2 v( group 2z$ Y% X0 H- v* pcrypto isakmp key 91lab address

11、192.168.1.1) p& c- X2 R/ A5 x9 s1 1 D) o!8 b9 H0 K1 s, P : w, a! Q( f!纽爱科网络实验室社区& $ 1 U M5 crypto ipsec transform-set tt esp-aes esp-sha-hmac & : d9 ! N/ |0 Z* J7 r9 H!$ j) x# y. E# U/ - M+ Ecrypto map cisco 10 ipsec-isakmp 纽爱科网络实验室社区 v u# z9 q1 _& wset peer 192.168.1.12 I( _: ; U& wb4 Y2 T% l& Bset

12、 transform-set tt % q N+ P! ? F; M* x- xmatch address 100纽爱科网络实验室社区0 |- ?. I. I _ j!4 s0 Z. A8 S9 f0 W!纽爱科网络实验室社区 Zl2 M, a1 l3 G# _ D$ P3 q4 !8 d1 b. P7 4 * z!* h1 U& D4 9 l$ h2 z! I& finterface Loopback08 q$ Q$ t/ A q. i/ a1 Z纽爱科网络实验室社区ip address 10.2.2.1 255.255.255.02 _8 ( g+ r, t+ m; n+ h# x# !8

13、 V+ s5 L: A! o( Y% K/ Einterface Serial0/0* k6 J) d& q9 s- k3 ?6 4 Q Z) Uip address 192.168.1.2 255.255.255.252- R. V8 hT0 1 crypto map cisco纽爱科网络实验室社区- W. a; m Q$ R ( ?7 h: J |!( 0 U6 p# G4 i3 Nip route 0.0.0.0 0.0.0.0 Serial0/09 S; 9 T* h- q, Q( F# r1 T!* U: $ c, I6 S! I纽爱科网络实验室社区access-list 100 p

14、ermit ip 10.2.2.0 0.0.0.255 10.1.1.0 0.0.0.2551 l; / Q h5 5 0 9 c/ q!二.采用积极模式并PSK的IPsec VPN配置3 |9 h6 W8 h7 Y7 9 uZ) k! P3 / X4 c4 $ ?纽爱科网络实验室社区 / U4 t- W) r+ G E% U( d l: M$ M- % T9 O/ X3 N3 Hz& S4 ! u1.R1基本配置:- F! W( Z3 c7 hR1(config)#interface loopback01 o- D8 ) Z& S, b( s/ G4 ZR1(config-if)#ip ad

15、dress 10.1.1.1 255.255.255.0 b/ 8 o: m, c% m: g5 i% H9 K4 NR1(config-if)#no shutdown. ! s8 M H/ SR1(config-if)#interface serial0/03 a0 ?4 d/ K5 D # L6 ; u& s, _R1(config-if)#ip address192.168.1.1 255.255.255.252! U W) R& T3 ?0 B) HR1(config-if)#clock rate 56000* K, R4 P; ?# ?8 F3 IR1(config-if)#no s

16、hutdown. V$ ! I( 7 f# B. O- R1(config-if)#exit9 p V! a* Q; d5 f( / _2 2 b3 X, + Q8 r2.定义感兴趣流量与路由协议:( 3 C ; a1 p$ Z$ E3 v+ c& vR1(config)#access-list 100 permit ip 10.1.1.0 0.0.0.255 10.2.2.0 0.0.0.255/ 0 _$ z) g8 i S# BR1(config)#ip route 0.0.0.0 0.0.0.0 serial0/00 a. m/ h- df u7 F纽爱科网络实验室社区; u/ H,

17、Z1 Y5 n7 I4 v9 Y纽爱科网络实验室社区3.全局启用ISAKMP并定义对等体及其PSK(预共享密钥),采用积极模式:& G. O( D2 i+ F) R1(config)#crypto isakmp enable 纽爱科网络实验室社区$ F- D K! * X1 P# i& n PR1(config)#crypto isakmp peer address 192.168.1.27 # n1 v % G$ K4 t3 FR1(config-isakmp-peer)#set aggressive-mode client-endpoint ipv4-address 192.168.1.1

18、 ( F0 C* k7 b8 H! + R1(config-isakmp-peer)#set aggressive-mode password 91lab5 J2 p. t4 k% k8 k) Y1 c, w7 r* G4.定义IKE策略:; D& A- b4 f: N) f- ?0 J. _. j- R1(config)#crypto isakmp policy 10) a a; 2 G8 v, UR1(config-isakmp)#encryption aes 128 /-默认是DES加密-/6 K1 B& Q# e g) Y- r8 z A7 S9 RR1(config-isakmp)#

19、hash sha /-默认是SHA-1-/+ K$ w: N. L9 b1 kR1(config-isakmp)#authentication pre-share 9 j9 d0 y3 X6 7 DR1(config-isakmp)#group 2 /-默认是768位的DH1-/: p. P: y U: r) A, E) CyR1(config-isakmp)#lifetime 3600 /-默认是86400秒-/7 Q0 y6 4 X/ R2 |1 RR1(config-isakmp)#exit& A% u0 n 3 G# |7 p) D) P3 k# w4 k; M7 j( ?% R8 b

20、4 l1 J5 v+ b- r+ b5.定义IPSec转换集(transform set):7 T/ T! ?! B6 n+ r3 N% T纽爱科网络实验室社区R1(config)#crypto ipsec transform-set tt esp-aes 128 esp-sha-hmac 纽爱科网络实验室社区9 s) j1 v, q2 8 D3 X4 V% cR1(cfg-crypto-trans)#mode tunnel . x3 O& H# L1 e F- tR1(cfg-crypto-trans)#exit6 7 G) i+ 9 v+ u9 q! D6 ?! l( o1 ?, t0 u

21、& 6.定义crypto map并应用在接口上:/ J6 Z) i$ c$ h- i% N3 i H纽爱科网络实验室社区R1(config)#crypto map cisco 10 ipsec-isakmp J; H5 z: f1 D q q+ ER1(config-crypto-map)#match address 100 3 ?, H7 f: z& ?R1(config-crypto-map)#set peer 192.168.1.2 /-定义要应用crypto map的对等体地址-/! |* , p& G$ d) C( U! d- SR1(config-crypto-map)#set t

22、ransform-set tt /-定义crypto map要应用的IPsec转换集-/纽爱科网络实验室社区; x! + i: I7 4 XR1(config-crypto-map)#exit4 7 t0 N- $ z纽爱科网络实验室社区R1(config)#interface serial0/00 yF1 d B- G( R1(config-if)#crypto map cisco / W; W* R3 / S/ ?5 Z纽爱科网络实验室社区0 P7 & P: |( t$ b, m# K) a*Mar1 00:08:31.131: %CRYPTO-6-ISAKMP_ON_OFF: ISAKM

23、P is ON ( I* V1 E. o. P* Y3 h2 q_% m8 0 & w) $ ?R1(config-if)#end s% - g- H8 ?* lR1#- m2 f, M$ T2 q, n纽爱科网络实验室社区R1配置完成. e* v+ T) w$ pd9 I) R/ d2 同理,R2配置如下:% 1 r: l2 q 0 w! ?! r7 W% N( % b, R!T3 & X- S; x4 s5 B2 j% g& Lcrypto isakmp policy 10. C# _ j7 p8 O0 T6 + - eencr aes纽爱科网络实验室社区4 e$ jA; O! Y2 VK

24、authentication pre-share! A9 o p! X+ 5 group 2+ t ?9 Q( J4 Q; ! v0 j!; N E+ _ ?8 E( Bcrypto isakmp peer address 0 0 ( a- Iset aggressive-mode password 91lab; k6 u3 S4 w: r+ eset aggressive-mode client-endpoint ipv4-address 192.168.1.1 7 m: X. t. 3 R$ a9 !9 P1 D6 H+ f. L!z6 U3 b; Q9 C1 j4 t. G; Ecryp

25、to ipsec transform-set tt esp-aes esp-sha-hmac 8 L, C: |( p$ O!6 O3 I0 3 Z- q! X) bcrypto map cisco 10 ipsec-isakmp * G# i3 W0 . j) o7 G* a2 I/ 4 Y1 vset peer 192.168.1.19 k: h8 Z. z8 |( _- F1 u. U% fset transform-set tt ) n2 ?* G9 V: k|8 m% Cmatch address 1009 U# G+ q$ Y+ x/ ?) C7 9 C5 |!纽爱科网络实验室社区

26、) |- x8 e/ e2 , S: R L!2 + m1 i1 y5 F, i!纽爱科网络实验室社区7 C4 # s3 D. |$ , Ki5 y!( V: O9 u( e% zinterface Loopback05 Y7 W% f3 A2 Aip address 10.2.2.1 255.255.255.0 t* G6 j5 . R1 h/ v!7 x* d J & R; interface Serial0/0/ e% j5 f! R6 z! Arip address 192.168.1.2 255.255.255.252- ! j) $ f) U5 D! 3 p4 mcrypto ma

27、p cisco3 y) v1 c. ?! h7 d# X!纽爱科网络实验室社区4 Z, l/ E- - y: Fip route 0.0.0.0 0.0.0.0 Serial0/0% n% r5 O9 M8 k, s# m2 G( v!& N3 FJ3 P0 A: U3 C2 Q; - u纽爱科网络实验室社区access-list 100 permit ip 10.2.2.0 0.0.0.255 10.1.1.0 0.0.0.2556 g* ( h i u!三.GRE隧道与IPsec的结合# B& c% J4 h6 z9 H: h- H4 g6 ZGRE隧道本身不带安全特性,可以通过结合基于P

28、SK的IPsec来实现安全功能.拓扑如下:1 1 , J$ i1 J9 ns% x; U5 X % M8 n5 b; n& _( u. J+ D$ n1 % q, X( r J1 1.R1基本配置:( m! W; / c# h. N, xR1(config)#interface loopback0) S( P, Y, U1 - Q4 C4 IR1(config-if)#ip address 10.1.1.1 255.255.255.03 j1 y. e3 m5 g( dR1(config-if)#no shutdown$ $ _8 - ? p% i9 j/ VR1(config-if)#int

29、erface serial0/00 s, e. S3 R6 V8 s6 s3 UR1(config-if)#ip address192.168.1.1 255.255.255.2527 X# k$ # + T& J) $ P, CR1(config-if)#clock rate 56000. X& * 2 W5 p7 f6 ; AR1(config-if)#no shutdown% |/ h/ g* - FR1(config)#interface tunnel 0% Ed0 g. a5 E5 R1(config-if)#ip unnumbered serial0/0# La4 Y: p* oR

30、1(config-if)#tunnel source serial0/0$ K- G( ?1 x. W1 b+ o/ W3 N* IR1(config-if)#tunnel destination 192.168.1.1# b5 # D/ O% R1(config-if)#tunnel mode gre ip /-可以不打,默认即为GRE-/ I& A% S. n( T$ P G5 R1(config-if)#no shutdown& N+ b& d/ # K# QR1(config-if)#exit J# KV* X; h. i& k! |3 ) U+ z a! i5 C* b8 E+ 0

31、u2.定义感兴趣流量与路由协议:8 0 O_8 yR1(config)#access-list 100 permit gre host 192.168.1.1 host 192.168.1.2! s! u# Y/ d% t) I( WR1(config)#ip route 0.0.0.0 0.0.0.0 serial0/0( z/ o2 H3 c4 n. S: bR1(config)#ip route 10.2.2.0 255.255.255.0 serial0/0: |9 - H9 9 R A7 ?$ P$ C; F. WG4 % # 3.全局启用ISAKMP并定义对等体及其PSK(预共享密

32、钥):7 R1 r0 x. m6 P0 o h3 G1 q e1 nR1(config)#crypto isakmp enable , r4 S2 k- L7 o* V6 kR1(config)#crypto isakmp key 91lab address 192.168.1.21 9 v& |2 p1 k3 & w纽爱科网络实验室社区2 & , S- |2 4.定义IKE策略:% d) M/ H( P1 t3 B. P g纽爱科网络实验室社区R1(config)#crypto isakmp policy 100 : v0 - / f ; F7 a+ x A! nR1(config-isak

33、mp)#encryption aes 128 /-默认是DES加密-/: q* w( F, |, Y( X/ q; r纽爱科网络实验室社区R1(config-isakmp)#hash sha /-默认是SHA-1-/) |B4 ?$ t O f# eR1(config-isakmp)#authentication pre-share 8 r9 V1 x, Y: M% R1(config-isakmp)#group 2 /-默认是768位的DH1-/ j E4 4 d: $ |) L2 R1(config-isakmp)#lifetime 3600 /-默认是86400秒-/8 W+ B Y5

34、d$ W8 w2 x0 W+ R1(config-isakmp)#exit( n& t% q( m( O; x% g- e4 T8 N, k+ $ c! c I5.定义IPSec转换集(transform set):纽爱科网络实验室社区j/ p6 I7 0 o0 g! aR1(config)#crypto ipsec transform-set tt esp-aes 128 esp-sha-hmac / Z, I2 f; $ R1(cfg-crypto-trans)#mode tunnel Z t1 m/ r4 W- o) . eR1(cfg-crypto-trans)#exit; P% B*

35、 * v0 s9 5 Z5 K9 S. ?+ g# h8 d* r6.定义crypto map并应用在接口上:纽爱科网络实验室社区2 _& B) v1 z& R1(config)#crypto map cisco 10 ipsec-isakmp W* m8 O* 0 G: O2 Y& J4 ER1(config-crypto-map)#match address 100 1 Z% u( U+ P% M1 x3 K& ?5 sR1(config-crypto-map)#set peer 192.168.1.2 /-定义要应用crypto map的对等体地址-/# Xw9 z8 X( Q6 lR1

36、(config-crypto-map)#set transform-set tt /-定义crypto map要应用的IPsec转换集-/! U+ D8 ; o p& z1 MR1(config-crypto-map)#exit: O+ ?; U% z Y5 J, H1 L# r& yR1(config)#interface serial0/0: g0 C$ Q! I+ P$ P3 h0 mR1(config-if)#crypto map * Z- R7 F3 : d2 . . B- B+ $ r4 l- a z# v1 7 ?*Mar1 00:08:31.131: %CRYPTO-6-ISA

37、KMP_ON_OFF: ISAKMP is ON纽爱科网络实验室社区( _; V/ k9 _3 g3 x3 U7 t2 w( T- H4 H( K7 _9 x* |/ X7 I0 jR1(config-if)#end7 e4 Q8 r! 4 b; K) i- JR1#/ C/ Q$ z7 I; P, h# R1配置完成.9 $ A- Q. d/ w3 p. 6 r# X y! m2 A3 U同理,R2相关配置如下:; I0 e+ R/ O: U+ L6 / S9 P5 M纽爱科网络实验室社区! $ % T( I: f5 Y!. L5 R/ G/ F% L5 z7 d4 p L纽爱科网络实验室社

38、区crypto isakmp policy 101 P& y# y5 t i2 d! z gencr 5 X1 X( ( Q$ M% x Y7 rauthentication pre-share纽爱科网络实验室社区$ x( z- u5 F6 A/ 8 J4 Dgroup 20 T: H$ U8 D7 H% Pcrypto isakmp key 91lab address 192.168.1.16 N+ G4 _# r! * k2 c) ! E( R! F! x9 _8 Q! y* W!5 l5 |0 m) n0 D i8 g* x/ ncrypto ipsec transform-set tt

39、 esp-aes esp-sha-hmac ! i z6 z8 Y1 _ T+ w+ R!5 s; N9 ( n% q* k# 3 zcrypto map cisco 10 ipsec-isakmp $ e1 K; ?) n% P( l9 |A0 Aset peer 192.168.1.1! S& s0 C3 * ?: c7 eset transform-set tt % c: 7 F) U) g3 Zmatch address 1008 M+ E+ k9 2 T8 B9 t0 _9 v( ?!f. x% h4 a8 g! x纽爱科网络实验室社区!, c6 G$ g* T; C; b: g#

40、!7 D9 W9 t3 Vc* C/ interface Tunnel0$ h& z& Y4 E; qm: ip unnumbered Serial0/06 w+ a( q1 P3 + m! Atunnel source Serial0/0/ O3 e k+ Y3 J dtunnel destination 192.168.1.1纽爱科网络实验室社区7 l( Z S) X6 S2 |!6 M, G8 M8 J9 U Z5 N Pinterface Loopback0: n& N5 A j+ o5 Wip address 10.2.2.1 9 o& U. D7 K! D J!. I+ J8 R

41、Y0 Y7 H8 h0 H: G. H7 Ninterface Serial0/0, f% % n+ a. W% wip address 192.168.1.2 255.255.255.252. E1 R( q1 P l+ q1 q- 9 Q3 Ocrypto map cisco7 _% C- c F. S1 g) R& A!( a0 7 D. ?: f1 SPip route 0.0.0.0 0.0.0.0 Serial0/0& x5 eJ- K# P) K& C8 g& J!/ j. o h# a4 gaccess-list 100 permit gre host 10.2.2.1 hos

42、t 10.1.1.1* T; A) K9 J0 O3 I% s# Y( !四.IPsec VPN的高可用性( q, R, Lt3 - J h: |% M+ B3 G2 x9 w D5 Y. u$ o7 / 通常情况下,我们希望IPsec VPN流量可以在主从路由器之间做到无缝切换,可以通过HSRP与SSO相结合的方式来达到此目的.HSRP用于保证接入流量的热备份.一旦主路由器down掉后,HSRP立即将IKE信息与SA传递给备份路由器;而SSO允许主从路由器之间共享IKE与SA信息.* O& P g+ C/ f6 A0 I7 j u: i- I5 k7 _+ / V$ b w topo.jpg

43、 (66.28 KB)2008-10-15 19:487 - 9 B2 % 4 E; MSPOKE配置如下:7 / A$ i4 I; * a1.定义感兴趣流量与路由协议:v# k: K1 * P* V1 u% M5 Y8 j5 h6 gSPOKE(config)#access-list 100 permit ip 10.1.1.0 0.0.0.255 10.2.2.0 0.0.0.255, p1 0 s, W6 g5 Y7 CSPOKE(config)#ip route 0.0.0.0 0.0.0.0 serial0/0( P6 M+ L0 Z* R2 O3 ?& a7 r2 U4 m# I7 C) h! 2.全局启用ISAKMP并定义对等体及其PSK(预共享密钥):+ N3 X6 |7 u)