ipsec配置关键步骤(IPSec配置实例)

在尝试配置MPLSVPN之后失败,我还是决定使用IPSEC,一方面是感觉MPLS配置起来没有参考,另一方面也发现IPsec功能性安全性也胜过MPLS-VPN,从网上找到一个对比图,放在下面。

ipsec配置关键步骤(IPSec配置实例)(1)

在毕业设计的基础上,进行配置。拓扑图如下:

ipsec配置关键步骤(IPSec配置实例)(2)

网段配置:

核心路由器:与外网相连f 1/0:201.1.1.1/24;与内网相连:192.168.0.0/16

sub路由器:与外网相连g 0/0:201.4.4.2/24;与内网相连:192.168.4.0/24

一、配置IPSec打通隧道

首先在核心路由器上配置通道命令如下:

//配置ISAKMP策略 Router(config)#crypto isakmp policy 10//10为策略序列号(本地有效),取值范围是1~10000,值越小,优先级越高 Router(config-isakmp)#authentication pre-share //验证方式为预共享密钥 Router(config-isakmp)#encryption aes //加密算法为aes Router(config-isakmp)#hash sha//完整性校验算法为sha Router(config-isakmp)#group 5//5为DH密钥组号,取值为1、2、5、6 Router(config-isakmp)#exit Router(config)#crypto isakmp key 0 address 201.4.4.2 //配置Key 0表示密钥使用明文,如果取值6表示密文, address 为对端的外网口地址 //定义传输集 Router(config)#crypto ipsec transform-set pass1 esp-aes esp-sha-hmac//pass1为该传输集的名称,后面跟上传输集选项esp-des、ah-sha-hmac( esp(加密头部) 加密方式为aes 完整性校验为sha) //配置IPSec保护的数据流(ACL) Router(config)#ip access-list extended xianlu1//定义一个扩展的ACL,命名为xianlu1 Router(config-ext-nACL)#permit ip 192.168.0.0 0.0.255.255 172.16.4.0 0.0.0.255//源IP地址为本地局域网的地址,目标为对端的局域网地址;定义ACL是为了明确这些数据流会通过隧道技术转发 //配置加密映射 Router(config-crypto-map)#crypto map ser1 10 ipsec-isakmp //定义一个map(名为ser1)10为加密映射的序列号,取值1~65535,值越小,优先级越高 Router(config-crypto-map)#set transform-set pass1//关联第二阶段的策略,在加密映射中调用pass1这个传输集 Router(config-crypto-map)#set peer 201.4.4.2 //对端外网口地址 Router(config-crypto-map)#match address xianlu1 //调用ACL--xinalu1 Router(config-crypto-map)#ex //应用加密映射到外网口 Router(config)#int f 1/0//应用加密映射到外网口 Router(config-if)#crypto map ser1 *Jan 3 07:16:26.785: %CRYPTO-6-ISAKMP_ON_OFF: ISAKMP is ON

*****************======================********************

在另一台1941中配置发现

Router(config)#crypto isakmp enable ^ % Invalid input detected at '^' marker.

解决办法,命令license boot module c1900 technology-package securityk9

Router(config)# license boot module c1900 technology-package securityk9//启用安全技术包 ACCEPT? [yes/no]: yes//接受最终用户许可协议 Router#copy running-config startup-config//保存运行配置 Destination filename [startup-config]? Building configuration... [OK] Router#reload//重新加载路由器以启用安全许可证 Proceed with reload? [confirm] ########################################################################## [OK] Router>en Router#conf t Enter configuration commands, one per line. End with CNTL/Z. Router(config)#crypto isakmp enable//问题解决! Router(config)#

*****************======================********************

核心路由器:与外网相连f 1/0:201.1.1.1/24;与内网相连:192.168.0.0/16

sub路由器:与外网相连g 0/0:201.4.4.2/24;与内网相连:192.168.4.0/24

在另一台sub路由器1941中配置相同的IPSEC命令如下:

第一阶段(除了策略的序号外可以不同外,其他的验证要和对端一致) SH(config)#crypto isakmp policy 20 //使用20,只是为了验证序号本地有效。也可以使用10 SH(config-isakmp)#authentication pre-share SH(config-isakmp)#encryption aes SH(config-isakmp)#hash sha SH(config-isakmp)#group 5 SH(config-isakmp)#exit SH(config)#crypto isakmp key 0 address 201.1.1.1 第二阶段 SH(config)#crypto ipsec transform-set pass2 esp-aes esp-sha-hmac //验证类型要与对端一致 SH(cfg-crypto-trans)#exit SH(config)#ip access-list extended xianlu1 //定义ACL SH(config-ext-nacl)#permit ip 172.16.4.0 0.0.0.255 192.168.0.0 0.0.255.255 SH(config)#crypto map ser1 10 ipsec-isakmp //名称本地有效 SH(config-crypto-map)#set transform-set pass2 //关联本地的第二阶段策略 SH(config-crypto-map)#set peer 201.1.1.1 SH(config-crypto-map)#match address xianlu1 SH(config-crypto-map)#exit SH(config)#int g0/0 SH(config-if)#crypto map ser1 //应用

出来Sub地级园区网之外,还需要将配货园区网连接到核心路由器

配货中心路由器:与外网相连g 0/0:201.3.3.7/24;与内网相连:10.0.0.0/8

在核心路由器添加新命令如下

Router(config)#crypto isakmp key 0 address 201.3.3.7 Router(config)#crypto ipsec transform-set pass2 esp-aes esp-sha-hmac Router(config)#ip access-list extended xianlu2 Router(config-ext-nacl)#permit ip 192.168.0.0 0.0.255.255 10.0.0.0 0.255.255.255 Router(config-ext-nacl)#ex Router(config)#crypto map ser2 10 ipsec-isakmp % NOTE: This new crypto map will remain disabled until a peer and a valid access list have been configured. Router(config-crypto-map)#set transform-set pass2 Router(config-crypto-map)#set peer 201.3.3.7 Router(config-crypto-map)#match address xianlu2 Router(config-crypto-map)#ex Router(config)#int f 1/0 Router(config-if)#crypto map ser2 *Jan 3 07:16:26.785: %CRYPTO-6-ISAKMP_ON_OFF: ISAKMP is ON

在配货中心路由器上配置参考Sub核心路由器,命令如下:

Router(config)#crypto isakmp enable Router(config)#crypto isakmp policy 20 Router(config-isakmp)#authentication pre-share Router(config-isakmp)#encryption aes Router(config-isakmp)#hash sha Router(config-isakmp)#group 5 Router(config-isakmp)#ex Router(config)#crypto isakmp key 0 address 201.1.1.1 Router(config)#crypto ipsec transform-set pass2 esp-aes esp-sha-hmac Router(config)#ip access-list extended xianlu2 Router(config-ext-nacl)#permit ip 10.0.0.0 0.255.255.255 192.168.0.0 0.0.255.255 Router(config-ext-nacl)#ex Router(config)#crypto map ser2 10 ipsec-isakmp % NOTE: This new crypto map will remain disabled until a peer and a valid access list have been configured. Router(config-crypto-map)#set transform-set pass2 Router(config-crypto-map)#set peer 201.1.1.1 Router(config-crypto-map)#match address xianlu2 Router(config-crypto-map)#ex Router(config)#int g0/0 Router(config-if)#crypto map ser2 *Jan 3 07:16:26.785: %CRYPTO-6-ISAKMP_ON_OFF: ISAKMP is ON

配置完成后测试如下:

ipsec配置关键步骤(IPSec配置实例)(3)

,

免责声明:本文仅代表文章作者的个人观点,与本站无关。其原创性、真实性以及文中陈述文字和内容未经本站证实,对本文以及其中全部或者部分内容文字的真实性、完整性和原创性本站不作任何保证或承诺,请读者仅作参考,并自行核实相关内容。文章投诉邮箱:anhduc.ph@yahoo.com

    分享
    投诉
    首页