IPSec ×××配置命令
底层用静态路由连通
R2(config)#ip route 1.1.1.0 255.255.255.0 10.1.1.10
R2(config)#ip route 2.2.2.0 255.255.255.0 202.100.1.10 //这条路由在现实环境中由默认路由代替,由于1111到2222的数据包被加密,Internet上不会出现去往2222的明文数据包。
R2(config)#ip route 61.128.1.0 255.255.255.0 202.100.1.10
R1(config)#ip route 2.2.2.0 255.255.255.0 10.1.1.1
R4(config)#ip route 1.1.1.0 255.255.255.0 61.128.1.10
R4(config)#ip route 202.100.1.0 255.255.255.0 61.128.1.10
IPSec ×××加密过程
1.明文数据包1111到2222从Site1的内部接口进入路由器
2.查询路由表,按静态路由出去
3.铭文数据包尝试在F0/1接口出去,遇到crypto map匹配的感兴趣流
4.所匹配的感兴趣流会触发加密行为,产生新的数据包
5.加密产生的新数据包目的61.128.1.1,查路由表
IKE第一阶段
R2(config)#crypto isakmp enable //激活ISAKMP,模拟器默认关闭,真机开启
R2(config)#crypto isakmp policy 10 //这个数字本地有效
R2(config-isakmp)#authentication pre-share //认证方式为预共享密钥,默认为数字签名认证
R2(config-isakmp)#encryption 3des //IKE数据包加密算法使用3DES,默认为DES
R2(config-isakmp)#hash md5 //IKE数据包完整性校验的散列算法使用MD5,默认SHA-1
R2(config-isakmp)#group 2 //DH交换使用使用Group2,默认Group1
R2(config)#crypto isakmp key 0 L2Lkey address 61.128.1.1 //预共享密钥认证的共享秘密为L2Lkey,且仅用于此认证
IKE第二阶段
配置Site1转换策略
Site1(config)#ip access-list extended *** //设置感兴趣流
Site1(config-ext-nacl)#permit ip 1.1.1.0 0.0.0.255 2.2.2.0 0.0.0.255 //满足此兴趣流的被加密
Site1(config)#cry ipsec transform-set Trans esp-des esp-md5-hmac //转换具体数据的策略,名字Trans,封装ESP,加密DES,完整性校验MD5
Site1(config)#crypto map cry-map 10 ipsec-isakmp //用ID10标记××× 一个map可以匹配多个ID,一个接口关联一个map
% NOTE: This new crypto map will remain disabled until a peer
and a valid access list have been configured. //日志消息提示要关联ACL才能生效
Site1(config-crypto-map)#match address *** //匹配感兴趣流
Site1(config-crypto-map)#set transform-set Trans //具体转换策略
Site1(config-crypto-map)#set peer 61.128.1.1 //指明对端接口地址
Site1(config-crypto-map)#set pfs group2 //启用pfs
Site1(config-crypto-map)#set security-association lifetime seconds 1800 //设置IPSec SA生存周期
Site1(config)#interface f0/1
Site1(config-if)#crypto map cry-map //将crypto map应用到接口
*Sep 4 16:29:16.375: %CRYPTO-6-ISAKMP_ON_OFF: ISAKMP is ON //日志消息ISAKMP开启了
配置Site2
Internet(config)#crypto isakmp policy 10
Internet(config-isakmp)#encryption 3des
Internet(config-isakmp)#authentication pre-share
Internet(config-isakmp)#hash md5
Internet(config-isakmp)#group 2
Internet(config)#crypto isakmp key 0 L2Lkey address 202.100.1.1
Internet(config)#ip access-list extended ***
Internet(config-ext-nacl)#permit ip 2.2.2.0 0.0.0.255 1.1.1.0 0.0.0.255
Internet(config)#crypto ipsec transform-set cisco esp-des esp-md5-hmac
Internet(config)#cry map cisco 10 ipsec-isakmp
Internet(config-crypto-map)#match add ***
Internet(config-crypto-map)#set transform-set cisco
Internet(config-crypto-map)#set peer 202.128.1.1
Internet(config)#int f0/0
Internet(config-if)#crypto map cisco
转载于:https://blog.51cto.com/jiayi13275898/1548887