Безопасность и VPN : Протоколы IPSec Negotiation/IKE

Настройка IPSec Router-to-Router, Pre-shared, NAT Overload между частными сетями

9 февраля 2011 - Перевод, выполненный профессиональным переводчиком
Другие версии: PDF-версия:pdf | Машинный перевод (28 июля 2013) | Английский (14 января 2008) | Отзыв

Содержание

Введение
Предварительные условия
      Требования
      Используемые компоненты
      Условные обозначения
Настройка
      Схема сети
      Варианты конфигурации
Проверка
Поиск и устранение неполадок
      Команды для устранения неполадок
Связанные обсуждения сообщества поддержки Cisco
Дополнительные сведения

Введение

Этот пример конфигурации иллюстрирует шифрование трафика между двумя частными сетями (10.50.50.x и 10.103.1.x) с использованием IPSec. Сети знают друг друга по частным адресам.

Предварительные условия

Требования

Для этого документа нет особых требований.

Используемые компоненты

Сведения, содержащиеся в данном документе, касаются следующих версий программного обеспечения и оборудования:

  • ПО Cisco IOS®, выпуск 12.3.1a

  • Маршрутизаторы Cisco 2691

Сведения, представленные в этом документе, были получены от устройств, работающих в специальной лабораторной среде. Все устройства, описанные в данном документе, были запущены с конфигурацией по умолчанию. При работе в действующей сети необходимо понимать последствия выполнения любой команды.

Условные обозначения

Подробные сведения об условных обозначениях см. в документе Условное обозначение технических терминов Cisco.

Настройка

В этом разделе содержатся сведения о настройке функций, описанных в этом документе.

Примечание. Для поиска дополнительных сведений о командах, описываемых в данном документе, используйте средство поиска команд (только для зарегистрированных пользователей).

Схема сети

В этом документе используются настройки сети, показанные на данной диаграмме:

/image/gif/paws/7276/overload_private.gif

Варианты конфигурации

В настоящем документе используются следующие конфигурации.

Маршрутизатор A
Router_A#write terminal
Building configuration...
Current configuration : 1638 bytes 
! 
version 12.3 
service timestamps debug datetime msec 
service timestamps log datetime msec 
no service password-encryption 
! 
hostname Router_A 
! 
boot system flash:c2691-ik9o3s-mz.123-1a.bin 
! 
ip subnet-zero 
! 
ip audit notify log 
ip audit po max-events 100 
no ftp-server write-enable 
! 
crypto isakmp policy 1 
hash md5  
authentication pre-share 
crypto isakmp key cisco123 address 95.95.95.2 
! 
crypto ipsec transform-set rtpset esp-des esp-md5-hmac  
! 
crypto map rtp 1 ipsec-isakmp  
set peer 95.95.95.2 
set transform-set rtpset  

!--- Include the private network to private network traffic 
!--- in the encryption process. 

match address 115 
! 
no voice hpi capture buffer 
no voice hpi capture destination  
!  
interface FastEthernet0/0 
ip address 99.99.99.2 255.255.255.0 
ip nat outside 
duplex auto 
speed auto 
crypto map rtp 
! 
interface FastEthernet0/1 
ip address 10.50.50.50 255.255.255.0 
ip nat inside 
duplex auto 
speed auto 
! 

!--- Except the private network traffic from the 
!--- Network Address Translation (NAT) process. 

ip nat inside source route-map nonat interface FastEthernet0/0 overload 
ip http server 
no ip http secure-server 
ip classless 
ip route 0.0.0.0 0.0.0.0 99.99.99.1 
! 

!--- Except the private network traffic from the NAT process.
 
access-list 110 deny ip 10.50.50.0 0.0.0.255 10.103.1.0 0.0.0.255 
access-list 110 permit ip 10.50.50.0 0.0.0.255 any 

!--- Include the private network to private network traffic 
!--- in the encryption process. 

access-list 115 permit ip 10.50.50.0 0.0.0.255 10.103.1.0 0.0.0.255 
! 

!--- Except the private network traffic from the NAT process. 

route-map nonat permit 10 
match ip address 110 
! 
dial-peer cor custom 
! 
line con 0 
exec-timeout 0 0 
line aux 0 
line vty 0 4 
login 
! 
end  
  
Router_A#

Маршрутизатор B
Router_B#write terminal
Building configuration...
Current configuration : 1394 bytes 
! 
version 12.3 
service timestamps debug datetime msec 
service timestamps log datetime msec 
no service password-encryption 
! 
hostname Router_B 
! 
boot system flash:c2691-ik9o3s-mz.123-1a.bin 
! 
ip subnet-zero 
! 
ip audit notify log 
ip audit po max-events 100 
no ftp-server write-enable 
! 
crypto isakmp policy 1 
hash md5  
authentication pre-share 
crypto isakmp key cisco123 address 99.99.99.2 
! 
crypto ipsec transform-set rtpset esp-des esp-md5-hmac 
! 
crypto map rtp 1 ipsec-isakmp  
set peer 99.99.99.2 
set transform-set rtpset  

!--- Include the private network to private network traffic 
!--- in the encryption process.
 
match address 115 
! 
no voice hpi capture buffer 
no voice hpi capture destination  
! 
interface FastEthernet0/0 
ip address 95.95.95.2 255.255.255.0 
ip nat outside 
duplex auto 
speed auto 
crypto map rtp 
! 
interface FastEthernet0/1 
ip address 10.103.1.75 255.255.255.0 
ip nat inside 
duplex auto 
speed auto 
! 

!--- Except the private network traffic from the NAT process.
 
ip nat inside source route-map nonat interface FastEthernet0/0 overload 
ip http server 
no ip http secure-server 
ip classless 
ip route 0.0.0.0 0.0.0.0 95.95.95.1 
! 

!--- Except the private network traffic from the NAT process. 

access-list 110 deny ip 10.103.1.0 0.0.0.255 10.50.50.0 0.0.0.255 
access-list 110 permit ip 10.103.1.0 0.0.0.255 any 

!--- Include the private network to private network traffic 
!--- in the encryption process. 

access-list 115 permit ip 10.103.1.0 0.0.0.255 10.50.50.0 0.0.0.255 
! 

!--- Except the private network traffic from the NAT process. 

route-map nonat permit 10 
match ip address 110 
! 
dial-peer cor custom 
! 
line con 0 
exec-timeout 0 0 
line aux 0 
line vty 0 4 
login 
! 
end 
Router_B# 

Проверка

В настоящее время для этой конфигурации нет процедуры проверки.

Поиск и устранение неполадок

Команды для устранения неполадок

Некоторые команды show поддерживаются интерпретатором выходных данных (доступен только для зарегистрированных пользователей); интерпретатор позволяет просматривать анализ выходных данных команды show.

Примечание. Прежде чем применять команды отладки (debug), ознакомьтесь с разделом Важные сведения о командах debug.

  • debug crypto ipsec sa – показывает процесс согласования по протоколу IPSec на этапе 2.

  • debug crypto isakmp sa – показывает согласование протокола ISAKMP (протокол управления ассоциациями безопасности и ключами в Интернете) на 1-м этапе.

  • debug crypto engine – служит для просмотра шифруемых сеансов.


Связанные обсуждения сообщества поддержки Cisco

В рамках сообщества поддержки Cisco можно задавать и отвечать на вопросы, обмениваться рекомендациями и совместно работать со своими коллегами.


Дополнительные сведения


Document ID: 7276