IPsec VPN配置
環(huán)境：接口地址都已經(jīng)配置完，路由也配置了，雙方可以互相通信了
密鑰認(rèn)證的算法2種：md5和sha1
加密算法2種： des和3des
IPsec傳輸模式3種：
AH驗(yàn)證參數(shù):ah-md5-hmac(md5驗(yàn)證)、ah-sha-hmac(sha1驗(yàn)證)
ESP加密參數(shù)：esp-des(des加密)、esp-3des(3des加密)、esp-null（不對(duì)數(shù)據(jù)進(jìn)行加密）
ESP驗(yàn)證參數(shù)：esp-md5-hma(md5驗(yàn)證)、esp-sha-hmac(采用sha1驗(yàn)證)
1 啟用IKE協(xié)商
routerA(config）#crypto isakmp policy 1 建立IKE協(xié)商策略（1是策略編號(hào)1-1000，號(hào)
越小，優(yōu)先級(jí)越高
routerA(config-isakmap)#hash md5 密鑰認(rèn)證的算法
routerA(config-isakmap)#authentication pre-share 告訴路由使用預(yù)先共享的密鑰
routerA(config)#crypto isakmp key 123456 address 20.20.20.22 (123456是設(shè)置的共享密
20.20.20.22是對(duì)端的IP地
址）。
routerB(config)#crypto isakmp policy 1
routerB(config-isakmap)#hash md5
routerB(config-isakmap)#authentication pre-share
routerB(config)#crypto isakmp key 123456 address 20.20.20.21 (路由B和A的配置除了這里
的對(duì)端IP地址變成了20.20.20.21，其他都要一樣的）。
2 配置IPSec相關(guān)參數(shù)
routerA(cnfog)#crypto ipsec transform-set test ah-md5-hamc esp-des (test傳輸模式的名
稱。ah-md5-hamc esp-des表示傳輸模式中采用的驗(yàn)證和加
密參數(shù) ）。
routerA(config)#acess-list 101 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
（定義哪些地址的報(bào)文加密或是不加密）
routerB(config)#crypto ipsec transform-set test ah-md5-hamc esp-des
routerB(config)#acess-list 101 permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255
（路由器B和A的配置除了這里的源和目的IP地址變了，其他都一樣）
3 設(shè)置crypto map （目的把IKE的協(xié)商信息和IPSec的參數(shù)，整合到一起，起一個(gè)名字）
routerA(config)#crypto map testmap 1 ipsec-isakmp (testmap:給crypto map起的名字。
1：優(yōu)先級(jí)。ipsec-isakmp:表示此IPSec鏈接采用IKE自動(dòng)協(xié)商）
routerA(config-crypto-map)#set peer 20.20.20.22 (指定此VPN鏈路，對(duì)端的IP地址）。
routerA(config-crypto-map)#set transform-set test (IPSec傳輸模式的名字）
routerA(config-crypto-map)#match address 101 (上面定義的ACL列表號(hào)）
routerA(config)#crypto map testmap 1 ipsec-isakmp
routerA(config-crypto-map)#set peer 20.20.20.21 （和A路由的配置只有這里的對(duì)端IP不一樣）
routerA(config-crypto-map)#set transform-set test
routerA(config-crypto-map)#match address 101
4 把crypto map 的名字應(yīng)用到端口
routerA(config)#inter s0/0 (進(jìn)入應(yīng)用VPN的接口）
routerA(config-if)#crypto map testmap （testmap：crypto map的名字）
B路由和A完全一樣
查看VPN的配置
查看安全聯(lián)盟（SA）
Router#show crypto ipsec sa
顯示crypto map 內(nèi)的所有配置
router#show crypto map
查看優(yōu)先級(jí)
router#show crypto isakmp policy
【編輯推薦】
