Ipsec 远程访问 ×××     思科客户端。 <?xml:namespace prefix = o ns = "urn:schemas-microsoft-com:office:office" />

 

 

说明： client 没有固定 ip ， server 分配一个内部 ip 给 client 。

两种 IKE 配置模式协商。

1 ：网关主动发起

2 ：客户端主动发起

三个步骤配置 IKE 模式。

1 ：定义一个 ip 地址池。

                                           Ip local pool test 192.168.1.100-192.168.1.200
2：在IKE配置中关联ip地址池

isakmp client configuration address-pool local test outside

3: 在加密图设置中，定义加密图和客户端协商 IKE 模式配置，是否客户端和网关发起这个过程。

                                           Crypto map mymap client configuration addreess initiate

 

扩展认证

认证在阶段 1 后阶段 2 前发生，没有 xauth ， IKE 仅能够认证一个设备

 

 

tunnel group: 为一组用户提供相同的策略。

ASA7.2 提供了四个缺省的 tunnel group  一个 LAN-TO-LAN 通道组（ DefaultL<?xml:namespace prefix = st1 ns = "urn:schemas-microsoft-com:office:smarttags" />2L ），一个远程访问通道组 (DefaultRAgroup) ，一个 WEB××× 通道组 (DefaultWEB×××Group) ，一个缺省的组策略。

 

 
远程访问 Ipsec×××  pix 配置

 

 

hostname(config)# interface ethernet0

hostname(config-if)# ip address 10.10.4.200 255.255.0.0

hostname(config-if)# nameif outside

hostname(config)# no shutdown

hostname(config)# isakmp policy 1 authentication pre-share

hostname(config)# isakmp policy 1 encryption 3des

hostname(config)# isakmp policy 1 hash sha

hostname(config)# isakmp policy 1 group 2

hostname(config)# isakmp policy 1 lifetime 43200

hostname(config)# isakmp enable outside

hostname(config)# ip local pool testpool 192.168.0.10-192.168.0.15

hostname(config)# username testuser password 12345678

hostname(config)# crypto ipsec transform set FirstSet esp-3des esp-md5-hmac

hostname(config)# tunnel-group testgroup type ipsec-ra

hostname(config)# tunnel-group testgroup general-attributes

hostname(config-general)# address-pool testpool

hostname(config)# tunnel-group testgroup ipsec-attributes

hostname(config - ipsec)# pre-shared-key 44kkaol59636jnfx

hostname(config)# crypto dynamic-map dyn1 1 set transform-set FirstSet

 

hostname(config)# crypto dynamic-map dyn1 1 set reverse-route

hostname(config)# crypto map mymap 1 ipsec-isakmp dynamic dyn1

hostname(config)# crypto map mymap interface outside

hostname(config)# write memory