基于PSK的IPsec VPN配置-51CTO.COM

本系列将详细介绍IPsec VPN配置的相关内容，相信对大家也能够有所帮助。首先IOS带k的就可以了,支持加密特性,拓扑如下:

基于PSK的IPsec VPN配置

1.R1基本配置:

R1(config)#interface loopback0  
R1(config-if)#ip address 10.1.1.1 255.255.255.0  
R1(config-if)#no shutdown  
R1(config-if)#interface serial0/0  
R1(config-if)#ip address  192.168.1.1 255.255.255.252  
R1(config-if)#clock rate 56000  
R1(config-if)#no shutdown  
R1(config-if)#exit 
1.
2.
3.
4.
5.
6.
7.
8.

2.定义感兴趣流量与路由协议:

R1(config)#access-list 100 permit ip 10.1.1.0 0.0.0.255 10.2.2.0 0.0.0.255  
R1(config)#ip route 0.0.0.0 0.0.0.0 serial0/0 
1.
2.

3.全局启用ISAKMP并定义对等体及其PSK(预共享密钥):

R1(config)#crypto isakmp enable   
R1(config)#crypto isakmp key 91lab address 192.168.1.2 
1.
2.

4.定义IKE策略:

R1(config)#crypto isakmp policy 10  
R1(config-isakmp)#encryption aes 128     /---默认是DES加密---/  
R1(config-isakmp)#hash sha            /---默认是SHA-1---/  
R1(config-isakmp)#authentication pre-share       
R1(config-isakmp)#group 2             /---默认是768位的DH1---/  
R1(config-isakmp)#lifetime 3600        /---默认是86400秒---/  
R1(config-isakmp)#exit 
1.
2.
3.
4.
5.
6.
7.

5.定义IPSec转换集(transform set):

R1(config)#crypto ipsec transform-set tt esp-aes 128 esp-sha-hmac   
R1(cfg-crypto-trans)#mode tunnel   
R1(cfg-crypto-trans)#exit 
1.
2.
3.

6.定义crypto map并应用在接口上:

R1(config)#crypto map cisco 10 ipsec-isakmp   
R1(config-crypto-map)#match address 100       
R1(config-crypto-map)#set peer 192.168.1.2     /---定义要应用crypto map的对等体地址---/  
R1(config-crypto-map)#set transform-set tt     /---定义crypto map要应用的IPsec转换集---/  
R1(config-crypto-map)#exit  
R1(config)#interface serial0/0  
R1(config-if)#crypto map cisco  
 
*Mar  1 00:08:31.131: %CRYPTO-6-ISAKMP_ON_OFF: ISAKMP is ON  
 
R1(config-if)#end  
R1#  
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.

R1配置完成.

同理,R2相关配置如下:

!   
!  
crypto isakmp policy 10  
encr aes  
authentication pre-share  
group 2    
crypto isakmp key 91lab address 192.168.1.1  
!  
!  
crypto ipsec transform-set tt esp-aes esp-sha-hmac   
!  
crypto map cisco 10 ipsec-isakmp   
set peer 192.168.1.1  
set transform-set tt   
match address 100  
!  
!  
!  
!  
interface Loopback0  
ip address 10.2.2.1 255.255.255.0  
!  
interface Serial0/0  
ip address 192.168.1.2 255.255.255.252  
crypto map cisco  
!  
ip route 0.0.0.0 0.0.0.0 Serial0/0  
!  
access-list 100 permit ip 10.2.2.0 0.0.0.255 10.1.1.0 0.0.0.255 
1.
2.
3.
4.
5.
6.
7.
8.
9.
10.
11.
12.
13.
14.
15.
16.
17.
18.
19.
20.
21.
22.
23.
24.
25.
26.
27.
28.
29.