?
?
?
案例一
?
一、網(wǎng)絡(luò)拓?fù)洌?/span>
?
?
?
二、網(wǎng)絡(luò)環(huán)境說明
Cisco 881路由器： wan：200.200.200.200 255.255.255.0
lan1:192.168.6.1 255.255.255.0
?
愛快路由：270版本
Wan1:100.100.100.100 255.255.255.0
Lan1:192.168.100.1 255.255.255.0
?
需求效果：
兩端子網(wǎng)192.168.6.0與192.168.100.0網(wǎng)段通過ipsec VPN實現(xiàn)互通
?
?
三、配置說明
?
1、Cisco881路由
????
Building?configuration...
Current?configuration?:?2286?bytes
Last?configuration?change?at?16:00:49?GMT?Wed?Feb?8?2017
version?15.2
crypto?isakmp?policy?10? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?定義密鑰的屬性對應(yīng)愛快IKE提議
encr?3des? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ??配置在建立連接時協(xié)商IKE使用的加密算法
hash?md5? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ??配置在建立連接時協(xié)商IKE使用的三列算法
authentication?pre-share? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ??用預(yù)共享密鑰PSK倆認(rèn)證對等體是否合法
lifetime?10800? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?存活時間對應(yīng)愛快IKE存活時間
crypto?isakmp?key?sanshi?address?100.100.100.100? ? ? ? ? ? ? ? ? ? ? ? ?配置預(yù)共享密鑰參數(shù)和對端地址
? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?
?
crypto?ipsec?transform-set?myset?esp-3des?esp-md5-hmac?
?mode?tunnel? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ?配置ipsec傳輸集名稱和參數(shù) 對應(yīng)愛快ESP算法設(shè)置
?
crypto?map?mymap?10?ipsec-isakmp?
set?peer?100.100.100.100
set?transform-set?myset??
調(diào)用ipsec transform為之前設(shè)置的myset傳輸集??
?
match?address?ipsec? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? ? 設(shè)置感興趣流為匹配名為ipsec的acl
interface?FastEthernet4??
description?gw:200.200.200.1
ip?address?200.200.200.200 255.255.255.0?
ip?nat?outside
crypto?map?mymap?將ipsec應(yīng)用到該接口
interface?Vlan1
ip?address?192.168.6.1?255.255.255.0
ip?nat?inside
ip?virtual-reassembly?in：Cisco交換機(jī)本身的內(nèi)網(wǎng)網(wǎng)段設(shè)置。
ip?nat?inside?source?list?110?interface?FastEthernet4?overloa
access-list?110?deny???ip?192.168.6.0?0.0.0.255?192.168.100.0?0.0.0.255
access-list?110?permit?ip?192.168.6.0?0.0.0.255?any
ACL里面192.168.6.0 0.0.0.255 192.168.100.0 0.0.0.255 不做nat轉(zhuǎn)發(fā)。其他數(shù)據(jù)流量做nat轉(zhuǎn)發(fā)
ip?route?0.0.0.0?0.0.0.0?FastEthernet4?183.62.16.1
ip?access-list?extended?ipsec??
permit?ip?192.168.6.0?0.0.0.255?192.168.100.0?0.0.0.255
配置匹配的感興趣流。定義需要進(jìn)行加密走VPN隧道的流量定
end
?
2、愛快路由設(shè)置
?
?
特別鳴謝：博瑞捷網(wǎng)絡(luò)提供環(huán)境與信息。
?
?
?
案例二
?
1、思科路由的頁面配置
?
?
2、愛快路由里面的配置
?
?
?
?
注意：
1、本地標(biāo)識，可以為空
2、思科路由的“phase1 DH Group”，要選擇Group2，對應(yīng)愛快里面的IKE提議的“MODP1024”
3、加密算法、認(rèn)證算法一定要一致，可以一端選擇，一端自動協(xié)商。
（但是一定要選擇兩端都支持的方式，建議查看下，確認(rèn)后選擇）
?
?
?
