配置Cisco VPN 3002硬件客户端到Cisco IOS路由器的在网络扩展模式的EzVPN

下载选项

PDF (719.4 KB)
在各种设备上使用 Adobe Reader 查看
ePub (379.5 KB)
在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上使用各种应用查看
Mobi (Kindle) (412.2 KB)
在 Kindle 设备上查看或在多个设备上使用 Kindle 应用查看

已更新: 2007 年 2 月 7 日

文档 ID:24226

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

简介

本文档介绍在网络扩展模式下通过 Cisco IOS 软件版本 12.2(8)T 和 Easy VPN (EzVPN) 服务器功能连接到 Cisco IOS® 路由器的 Cisco VPN 3002 硬件客户端的配置。这使得 Cisco IOS 可以终止来自 EzVPN 客户端（例如 VPN 客户端、PIX 和 Cisco IOS EzVPN 客户端）的 VPN 隧道。VPN 客户端连接到前端设备时，至少有五个安全关联 (SA)（一个 Internet Key Exchange [IKE] 加上四个 IPSec）。这归结于这样一个事实：当VPN客户端连接到数据转发器时，总是协商2个IPSec SA，一个是集中器的公共接口的IP地址，另一个是数据转发器的IP地址。此隧道用于管理目的，可以通过GUI或命令行界面(CLI)从数据转发器连接到VPN客户端。该过程是自动完成的。其他二个适用于VPN客户端和Cisco IOS路由器之后的网络之间的数据流。

要了解更多关于 VPN 服务器是 PIX 6.x 的相同方案的详细信息，请参阅为 PIX 6.x 配置 VPN 3002 硬件客户端。

要了解更多关于 VPN 服务器是 Cisco VPN 3000 系列集中器的相同方案的详细信息，请参阅以网络扩展模式配置 VPN 3002 硬件客户端与 VPN 3000 集中器之间的连接。

Cisco VPN 3002 硬件客户端
Cisco IOS 软件版本 12.2(8)T 及更高版本

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。

Cisco IOS 路由器
Cisco VPN 3002 硬件客户端

Cisco IOS 路由器
akim#show running Current configuration : 1449 bytes ! version 12.2 service config service timestamps debug uptime service timestamps log uptime no service password-encryption ! hostname akim ! !--- Enable Authentication, Authorizing and Accounting (AAA) !--- for user authentication and group authorization. aaa new-model !--- To enable X-Auth for user authentication, !--- enable the AAA commands. aaa authentication login userauthen local !--- To enable group authorization, !--- enable the AAA commands. aaa authorization network groupauthor local aaa session-id common ! !--- Define the username and password to be used for X-Auth. username fadi password 0 cisco memory-size iomem 10 ip subnet-zero ! ! ! !--- Create an Internet Security Association and !--- Key Management Protocol (ISAKMP) policy for Phase 1 negotiations. crypto isakmp policy 3 encr 3des authentication pre-share group 2 ! !--- Create a group with the pre-shared key for IKE authentication. crypto isakmp client configuration group fadigroup key cisco123 ! ! !--- Create the Phase 2 policy for actual data encryption. crypto ipsec transform-set myset esp-3des esp-sha-hmac ! !--- Create a dynamic map and !--- apply the transform set that was created earlier. crypto dynamic-map dynmap 10 set transform-set myset ! !--- Create the actual crypto map, !--- and apply the AAA lists that were created earlier. !--- These commands associate the AAA commands to the crypto map. crypto map clientmap client authentication list userauthen crypto map clientmap isakmp authorization list groupauthor crypto map clientmap 10 ipsec-isakmp dynamic dynmap ! ! ! ! ! ! ! ! fax interface-type fax-mail mta receive maximum-recipients 0 ! ! ! ! !--- Apply the crypto map on the interface where !--- traffic leaves the router. interface FastEthernet0/0 ip address 209.165.202.129 255.255.255.224 duplex auto speed auto crypto map clientmap ! interface Serial0/0 no ip address shutdown no fair-queue clockrate 2000000 ! interface FastEthernet0/1 ip address 10.48.220.1 255.255.254.0 duplex auto speed auto ! interface Serial0/1 no ip address shutdown clockrate 2000000 ! ip classless ip route 0.0.0.0 0.0.0.0 209.165.202.130 ip http server ip pim bidir-enable ! ! ! ! call rsvp-sync ! ! mgcp profile default ! dial-peer cor custom ! ! ! ! ! line con 0 exec-timeout 0 0 line aux 0 line vty 0 4 ! ! end

Cisco IOS 路由器

akim#show running 
Current configuration : 1449 bytes
!
version 12.2
service config
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname akim
!

!--- Enable Authentication, Authorizing and Accounting (AAA) !--- for user authentication and group authorization.

aaa new-model

!--- To enable X-Auth for user authentication, !--- enable the AAA commands.

aaa authentication login userauthen local

!--- To enable group authorization, !--- enable the AAA commands.

aaa authorization network groupauthor local
aaa session-id common
!

!--- Define the username and password to be used for X-Auth.

username fadi password 0 cisco
memory-size iomem 10
ip subnet-zero
!
!
!

!--- Create an Internet Security Association and !--- Key Management Protocol (ISAKMP) policy for Phase 1 negotiations.

crypto isakmp policy 3
 encr 3des
 authentication pre-share
 group 2
!

!--- Create a group with the pre-shared key for IKE authentication.

crypto isakmp client configuration group fadigroup
 key cisco123
!
!

!--- Create the Phase 2 policy for actual data encryption.

crypto ipsec transform-set myset esp-3des esp-sha-hmac
!

!--- Create a dynamic map and !--- apply the transform set that was created earlier.

crypto dynamic-map dynmap 10
 set transform-set myset
!

!--- Create the actual crypto map, !--- and apply the AAA lists that were created earlier. !--- These commands associate the AAA commands to the crypto map.

crypto map clientmap client authentication list userauthen
crypto map clientmap isakmp authorization list groupauthor
crypto map clientmap 10 ipsec-isakmp dynamic dynmap
!
!
!
!
!
!
!
!
fax interface-type fax-mail
mta receive maximum-recipients 0
!
!
!
!

!--- Apply the crypto map on the interface where !--- traffic leaves the router.

interface FastEthernet0/0
 ip address 209.165.202.129 255.255.255.224
duplex auto
 speed auto
 crypto map clientmap
!
interface Serial0/0
 no ip address
 shutdown
 no fair-queue
 clockrate 2000000
!
interface FastEthernet0/1
 ip address 10.48.220.1 255.255.254.0
duplex auto
 speed auto
!
interface Serial0/1
 no ip address
 shutdown
 clockrate 2000000
!
ip classless
ip route 0.0.0.0 0.0.0.0 209.165.202.130
ip http server
ip pim bidir-enable
!
!
!
!
call rsvp-sync
!
!
mgcp profile default
!
dial-peer cor custom
!
!
!
!
!
line con 0
 exec-timeout 0 0
line aux 0
line vty 0 4
!
!
end