IPSECVPN建立详解

IPSEC

VPN

建立详解（实验版）

RT1

：

crypto isakmp policy 10

//

设置

I SAKMP

策略

encr 3des

//

使用

3DES

加密

hash md5

//

用< /p>

MD5

作为摘要算法

authentication pre-share

//

认证方式以预共享密钥

group 2

//

定义

DH

算< /p>

法为组

2crypto isakmp identity address

//

使用用

IP

地址作为身份标识

crypto isakmp key cisco1 address 172.1.2.2

//

配 置

预共享密钥和对方

IPcrypto isakmp key cisco2 address 172.1.3.2//

配置预共享密钥和对方

IPcrypto ipsec transform-set cisco esp-aes esp-md5-hmac //

配置传输集参数，用来协商

IPSEC SA

的策

略

!crypto map RT1 10 ipsec-isakmp

//

配置加密图

set peer 172.1.2.2

//< /p>

设置对等

体

set transform-set cisco

//

调用传输集

match address 101

//

匹配感兴趣流量

crypto map RT1 20 ipsec-isakmp

set peer 172.1.3.2 set transform-set cisco match address 102interface Ethernet0/0

ip address 172.1.1.2 255.255.255.240crypto map RT1

//< /p>

在接口上应用加密图

access-list 101 permit ip 192.168.20.0 0.0.0.255 192.168.36.0 0.0.0.255

//

定义感兴趣流量

access- list 102 permit ip 192.168.20.0 0.0.0.255 192.168.40.0 0.0.0.255//

定义感兴趣流量

ip route 0.0.0.0 0.0.0.0 172.1.1.1 //

两个加密点间必须要通

RT2

：

crypto isakmp policy 10

//ISAKMP

参数需跟对端一

致

encr 3des hash md5 authentication pre- share group 2crypto isakmp identity addresscrypto isakmp key cisco1 address

172.1.1.2

//

共享密钥需跟对端一致

crypto ipsec transform-set cisco esp-aes esp-md5-hmac //I PSEC

参数跟对端一

致

!crypt o map RT2 10 ipsec-isakmp set peer 172.1.1.2 set transform-set cisco match address 101interface Ethernet0/

0 ip address 172.1.2.2 255.255.255.240crypto map RT2access-list 101 permit ip 192.168.36.0 0.0.0.255 192.168.20.0 0.

0.0.255ip route 0.0.0.0 0.0.0.0 172.1.2.1 //

两个加密点间必须要通

RT3

：

crypto isakmp policy 10//ISAKMP

< br>参数需跟对端一

致

encr 3des hash md5 authentication pre-share group 2crypto isakmp key cisco2 address 172.1.1.2

//

< br>共享密钥需跟对端

一致

crypto isakmp identity addresscrypto ipsec transform-set cisco esp-aes esp-md5-hmac //IPSEC

参数跟对端一

!crypto map RT3 10 ipsec-isakmp set peer 172.1.1.2 set transform-set cisco match address 101interface Ethernet0/

0 ip address 172.1.3.2 255.255.255.240crypto map RT3access-list 101 permit ip 192.168.40.0 0.0.0.255 192.168.20.0 0.

0.0.255ip route 0.0.0.0 0.0.0.0 172.1.3.1 //

两个加密点间必须要通

ISAKMP SA

（双向，第一阶段协商完成建立）

RT3#show crypto isakmp sadst src state conn-id slot status

172.1.1.2 172.1.3.2

QM_IDLE 1 0 ACTIVE

IPSEC SA

（两个单向，

inbound

和

outbound

，第二阶段完成建立）

RT3#show crypto ipsec sa

inbound esp sas:

spi: 0x88A9E91(143302289)

//

安全参数索

引

transform: esp- aes esp-md5-hmac ,//IPSEC

协商参

数

in use settings ={Tunnel, }

conn id: 2001, flow_id: SW:1, crypto map: RT3

//

应用的加密

图

sa timing: remaining key lifetime (k/sec): (4528168/1384) IV size: 16 bytes replay detection

support: Y

Status: ACTIVE

//SA

为活跃状态

outbound esp sas:

spi: 0xB2979D58(2996280664)

//

安全参数

索引

transform: esp-aes esp-md5-hmac ,//IPSEC

协商参

数

in use settings ={Tunnel, }

conn id: 2002, flow_id: SW:2, crypto map: RT3

//

应用的加密

图

sa timing: remaining key lifetime (k/sec): (4528168/1374) IV size: 16 bytes replay detection

support: Y

Status: ACTIVE

//SA

为活跃状态

debug

信息分析

IKE