cisco-vpn配置指南(带注解)

AB只需对相应配置做更改即可1IKErouter〔config)＃cryptoisakmpenable ＃启用IKE〔默认是启动的)router(config〕＃cryptoisakmppolicy100 #建立IKE策略，优先级为100router〔config-isakmp〕＃authenticationpre—share #使用预共享的密码进展身份验证router〔config-isakmp〕＃encryptiondes #使用des加密方式router(config-isakmp)＃group1 ＃指定密钥位数，group2安全性更高，但更耗cpurouter(config-isakmp〕＃hashmd5 #指定hash算法为MD5〔其他方式：sha，rsa〕router〔config—isakmp〕#lifetime86400 ＃指定SA有效期时间。默认86400秒,两端要全都以上配置可通过showcryptoisakmppolicy显示。VPN两端路由器的上述配置要完全一样。2Keysrouter〔config)#cryptoisakmpkeycisco1122address10.0.0。2--(vpnIP地址)3IPSECrouter(config〕＃cryptoipsectransform—setabcesp—desesp-md5-hmacIPSec交换集abc这个名字可以任凭取，两端的名字也可不一样,但其他参数要全都。router(config〕＃cryptoipsecsecurity—associationlifetime86400ipsecmap里指定即可router(config)＃access—list110permittcp172.16.1。00。0。0。255172。16。2。00。0.0。255router〔config)＃access-list110permittcp172.16.2。00.0.0.255172.16.1.00。0.0。255IPSEC加密映射router(config〕#cryptomapmymap100ipsec—isakmp创立加密图router〔config—crypto-map)#matchaddress110 用ACL来定义加密的通信router〔config—crypto—map)＃setpeer10.0.0。2 标识对方路由器IP地址router〔config—crypto-map)#settransform—setabc指定加密图使用的IPSEC交换集router(config-crypto—map)#setsecurity—associationlifetime86400router〔config—crypto—map〕#setpfsgroup1应用加密图到接口router(config〕#interfaceethernet0/1router(config-if)＃cryptomapmamap相关学问点：对称加密或私有密钥加密：加密解密使用一样的私钥DES-—数据加密标准dataencryptionstandard3DES——3倍数据加密标准tripledataencryptionstandardAES——高级加密标准advancedencryptionstandard一些技术供给验证:MAC--消息验证码messageauthenticationcodeHMAC—-散列消息验证码hash-basedmessageauthenticationcodeMD5SHA是供给验证的散列函数对称加密被用于大容量数据，由于非对称加密站用大量cpu资源非对称或公共密钥加密：RSA rivest—shamir—adelman用公钥加密，私钥解密。公钥是公开的，但只有私钥的拥有者才能解密两个散列常用算法：HMAC—MD5128位的共享私有密钥HMAC-SHA—I160位的私有密钥ESP协议：用来供给机密性，数据源验证，无连接完整性和反重放效劳，并且通过防止流量分析来限SA建立和实现时的选择.DES3DES算法完成.HMAC,keyedSHA—IMD5供给IKE—-internetIPSECIPSECIPSEC安全关联实现IKE的组件1：des，3des用来加密的方式2:Diffie—Hellman基于公共密钥的加密协议允许对方在担忧全的信道上建立公共密钥，在IKE中被用来建立会话密钥。group1768位，group21024位3：MD5，SHA-—验证数据包的散列算法。RAS签名—-基于公钥加密系统Tunnel通道可以看作是最简洁的一种VPN形式,它的参数很简洁只要配置TunnelSource和TunnelDestination两个参数就可以了.在公司的南京办事处与上海办事处之间建立VPN联接南京办事处网络设置：IP10。1.1。0/24IP202。102。1.5/24上海办事处网络设置：IP10.1.2。0/24IP202.102。1.6/24南京路由器配置!servicetimestampsdebuguptimeservicetimestampsloguptimenoservicepassword—encryption！hostnamenanjing!enablecisco！！!———-—-以下配置加密——————--cryptoisakmppolicy1iskamppolicynumber1encryptiondesDESencryption3DESDES加密hashshamd5(二端保持全都〕authenticationpre-sharegroup1Diffie-Hellman组，1768位，21024位lifetime14400指定安全关联的有效期，不设就为默认值-——---以下配置密钥方法--—-—cryptoisakmpidentityaddressisakmp标识cryptoisakmpkey654321address202.102。1.6202.102.1。6使用密钥654321cryptoisakmpkey654321address192.168.1.2192.168。1。2使用密钥654321！—— 以下定义一个转换集-————cryptoipsectransform—settset1ah-md5—hmacesp-desesp-md5-hmac可以定义一个或多个集！！———--—-以下建立加密图—-—--—cryptomapcmap1local-addressserial0cmap1s0为本地地址cryptomapcmap11ipsec—isakmp1设置加密图setpeer202。102。1.6设定目标地址setpeer192。168。1.2settransform-settest1指定转换集matchaddress111111中的地址!！process—max—time200！—— ——以下设置隧道端口————-—interfaceTunnel0ipaddress192。168.1.1255.255.255.0tunnelsource202。102.1。5tunneldestination202。102.1。6cryptomapcmap！——--—--以下设置内网口-—————interfaceEthernet0ipaddress10.1.1.1255.255。255。0!-----——以下设置外网口--———-interfaceserial0ipaddress202.102。1。5255。255。255.0noipmroute-cachenofair-queuecryptomapcmap!ipclassless！—--——--111———-——access-list111permitiphost202。102。1.5host202。102.1。6access-list111permitiphost202。102。1.6host202。102。1.5access—list111permitip10.1。1。00.0.0.255202。102.1。00。0。0。255access—list111permitip10。1.2.00.0.0。255202.102。1.00.0.0。255access—list111permitip10.1.1.00。0.0.25510。1。2.00.0.0。255access-list111permitip10.1。2.00.0.0.25510。1.1。00.0。0。255!linecon0lineaux0linevty04passwordciscologin！end!上海路由器配置!servicetimestampsdebuguptimeservicetimestampsloguptimenoservicepassword—encryption！hostnameshanghai!enablecisco！!!--————以下配置加密-———----cryptoisakmppolicy1iskamppolicynumber1encryptiondesDESencryption3DESDES加密hashshamd5〔二端保持全都)authenticationpre-sharegroup1Diffie-Hellman组,1768位,21024位lifetime14400指定安全关联的有效期，不设就为默认值——--—-以下配置密钥方法———-—cryptoisakmpidentityaddressisakmp标识cryptoisakmpkey654321address202.102.1.5202。102.1.6654321cryptoisakmpkey654321address202.10216202102.16654321cryptoisakmpkey654321address192.168.1。1192。168。1。2使用密钥654321！-—-———以下定义一个转换集—————cryptoipsectransform-settset1ah—md5-hmacesp—desesp—md5-hmac可以定义一个或多个集！!—---——-以下建立加密图—-———-cryptomapcmap1local—addressserial0cmap1s0为本地地址cryptomapcmap11ipsec—isakmp1设置加密图setpeer202。102。1.5设定目标地址setpeer202.102。1。6setpeer192。168。1.1settransform—settest1指定转换集matchaddress111111中的地址！！process—max—time200！——-———-以下设置隧道端口-—-——-interfaceTunnel0ipaddress192。168.1.2255。255.255.0tunnelsource202。102。1。6tunneldestination202.102.1。5cryptomapcmap!—-—-—--以下设置内网口—---——interfaceEthernet0ipaddress10。1.2.1255.255.255。0!-—--—--以下设置外网口——-—-—interfaceserial0ipaddress202.102.1.6255。255.255。0noipmroute-cachenofair—queuecryptomapcmap!ipclassless!---—--—111-———--access-list111permitiphost202。102.1。5host202.102。1。6access—list111permitiphost202.102.1。6host202。102.1.5access—list111permitip10.1.1