我遇到的网络环境如下:
公司总部asa5540 (固定IP) 分部A cisco2811(动态ADSL) 分部B cisco2811(动态ADSL) 远端用户C cisco *** client拨号软件(动态ADSL),需求是通过对asa5540及分部A、B的cisco2811进行配置,使得分部和远端用户均能访问总部网络的资源。
遇到的问题如下:
1.分别配置分部A和分部B的2811的动态×××,与总部形成L2L ×××,生成了2个动态加密图,同时有2个静态加密图,如下所示:
crypto ipsec transform-set xp esp-des esp-sha-hmac //分部A的转换集
crypto ipsec transform-set zzfgs esp-des esp-sha-hmac //分部B的转换集
crypto dynamic-map dymapzdwl 20 set transform-set xp
crypto dynamic-map dymapzdwl 20 set security-association lifetime seconds 86400
crypto dynamic-map dymapzdwl 20 set reverse-route
crypto dynamic-map dymapzdwlzz 40 set transform-set zzfgs
crypto dynamic-map dymapzdwlzz 40 set security-association lifetime seconds 86400
crypto dynamic-map dymapzdwlzz 40 set reverse-route
crypto map mapzdwl 10 ipsec-isakmp dynamic dymapzdwl //分部A的加密图
crypto map mapzdwl 20 ipsec-isakmp dynamic dymapzdwlzz //分部A的加密图
调试成功;
2.在上述基础上,配置remote ***,主要配置如下:
crypto ipsec transform-set ez***set esp-des esp-md5-hmac //remote ***的转换集
crypto dynamic-map dymapez*** 10 set transform-set ez***set
crypto dynamic-map dymapez*** 10 set security-association lifetime seconds 288000
crypto dynamic-map dymapez*** 10 set reverse-route
crypto map mapzdwl 5 ipsec-isakmp dynamic dymapez***
3.上述放在一起,出现的问题是加密图序号小的优先级高,可激活***连接,而后者就无法连通,总之只能激活L2L ×××或者remote ×××的一种,二者不能同时存在。
在网上寻找答案,也问了不少cisco专业人士,大都说没有做过类似的实验不能解决问题。这个问题纠结了我好久,今天照常在网上寻找答案,注册了N多个较专业的思科论坛账号,发帖,自己顶,终于有了成效。
就在51cto论坛上有人在我帖子里回复说,其实只需要一个加密图就可以了。我当时很好奇,就抱着试一试的态度,将分部A和B的2811进行了重新配置,将policy中的hash设为md5 同时将转换集的解析算法也设置为了esp-md5-hmac。如此一来,所有3个ISA协商的加密、解析配置完全一样。只需配置一个动态加密图、一个静态加密图,一个协商策略。如下所示:
crypto ipsec transform-set ez***set esp-des esp-md5-hmac
crypto dynamic-map dymapez*** 60 set transform-set ez***set
crypto dynamic-map dymapez*** 60 set security-association lifetime seconds 86400
crypto dynamic-map dymapez*** 60 set reverse-route
crypto map mapzdwl 1 ipsec-isakmp dynamic dymapez***
crypto map mapzdwl interface outside
crypto isakmp identity address
crypto isakmp enable outside
crypto isakmp policy 1
authentication pre-share
encryption des
hash md5
group 2
lifetime 86400
奇迹出现了,分部A、分部B,以及远端的拨号软件都与总部连通了。到此,公司的网络需求得以满足,同时给自己对×××的配置有了更深的了解。不是原来机械的命令堆积,而是理解和掌握×××实现各个网络之间连通的原理。
转载于:https://blog.51cto.com/liuxfy/579014