목차

소개
시작하기 전에
표기 규칙
사전 요구 사항
사용되는 구성 요소
네트워크 다이어그램
Cisco 장치에서 작동하도록 Microsoft Windows 2000 Server 구성
수행된 작업
단계별 지침
Cisco 디바이스 구성
Cisco 3640 라우터 구성
PIX 구성
VPN 3000 Concentrator 구성
VPN 5000 Concentrator 구성
다음을 확인합니다.
문제 해결
문제 해결 명령
관련 정보

소개

이 문서에서는 미리 공유된 키를 사용하여 IPSec 터널을 형성하여 2개의 프라이빗 네트워크에 연결하는 방법을 설명합니다. Cisco 디바이스 내부의 프라이빗 네트워크(192.168.l.X) 및 Microsoft 2000 Server 내의 프라이빗 네트워크(10.32.50.X) 이 구성을 시작하기 전에 Cisco 디바이스 내부 및 2000 Server 내부에서 인터넷(172.18.124.X 네트워크로 표시)으로 이동하는 트래픽이 이동하는 것으로 가정합니다.

Microsoft 웹 사이트에서 Microsoft Windows 2000 서버를 구성하는 방법에 대한 자세한 내용을 확인할 수 있습니다. http://support.microsoft.com/support/kb/articles/Q252/7/35.ASP leavingcisco.com

시작하기 전에

표기 규칙

문서 규칙에 대한 자세한 내용은 Cisco 기술 팁 표기 규칙을 참조하십시오.

사전 요구 사항

이 문서에 대한 특정 요건이 없습니다.

사용되는 구성 요소

이러한 구성은 아래의 소프트웨어 및 하드웨어 버전을 사용하여 개발 및 테스트되었습니다.

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 라이브 네트워크에서 작업하는 경우, 사용하기 전에 모든 명령의 잠재적인 영향을 이해해야 합니다.

네트워크 다이어그램

이 문서에서는 아래 다이어그램에 표시된 네트워크 설정을 사용합니다.

2000-01.gif

Cisco 장치에서 작동하도록 Microsoft Windows 2000 Server 구성

수행된 작업

다음 다이어그램은 Microsoft Windows 2000 서버 구성에서 수행되는 작업을 보여 줍니다.

2000-flow.gif

단계별 지침

Microsoft 웹 사이트의 컨피그레이션 지침 leavingcisco.com 을 따랐으면 다음 단계를 사용하여 컨피그레이션이 Cisco 디바이스에서 작동할 수 있는지 확인합니다. 화면 캡처를 통해 코멘트와 변경 사항이 표시됩니다.

  1. Microsoft Windows 2000 Server에서 시작 > 실행 > secpol.msc를 클릭하고 다음 화면의 정보를 확인합니다.

    Microsoft 웹 사이트의 지침을 사용하여 2000 서버를 구성하면 다음 터널 정보가 표시됩니다.

    참고: 예제 규칙을 "to_cisco"라고 합니다.

    2000-02.gif

  2. 이 예제 규칙에는 두 개의 필터가 있습니다. Microsoft-Cisco 및 Cisco-Microsoft.

    2000-03.gif

  3. Cisco-Microsoft IP Security Rule(Cisco-Microsoft IP 보안 규칙)을 선택한 다음 Edit(편집)를 클릭하여 IP Filter Lists(IP 필터 목록)를 보거나 추가/편집합니다.

    2000-03a.gif

  4. 규칙의 General(일반) > Advanced(고급) 탭에는 IKE 수명(480분 = 28800초)이 있습니다.

    2000-04.gif

  5. 규칙의 General > Advanced > Methods 탭에는 IKE 암호화 방법(DES), IKE 해싱(SHA1) 및 Diffie-Helman 그룹(Low(1))이 있습니다.

    2000-05.gif

  6. 각 필터에는 5개의 탭이 있습니다.

    1. 인증 방법(IKE[Internet Key Exchange]용 사전 공유 키):

      2000-06.gif

    2. 연결 유형(LAN):

      2000-07.gif

    3. 필터 동작(IPSec):

      2000-08.gif

      Filter Action(필터 작업) > IPSec 터널 > Edit(편집) > Edit(편집)를 선택하고 Custom(사용자 지정)을 클릭합니다.

      2000-09.gif

      Settings(설정) - IPSec 변환 및 IPSec 수명을 클릭합니다.

      2000-10.gif

    4. IP 필터 목록 - 암호화할 소스 및 대상 네트워크:

      Cisco-Microsoft의 경우:

      2000-11.gif

      Microsoft-Cisco의 경우:

      2000-12.gif

    5. 터널 설정 - 암호화 피어:

      Cisco-Microsoft의 경우:

      2000-13.gif

      Microsoft-Cisco의 경우:

      2000-14.gif

Cisco 디바이스 구성

아래 예와 같이 Cisco 라우터, PIX 및 VPN Concentrator를 구성합니다.

Cisco 3640 라우터 구성

Cisco 3640 Router 
Current configuration : 1840 bytes
!
version 12.1
no service single-slot-reload-enable
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname moss
!
logging rate-limit console 10 except errors
!
ip subnet-zero
!
no ip finger
!
ip audit notify log
ip audit po max-events 100
!
crypto isakmp policy 1

!--- The following are IOS defaults so they do not appear: !--- IKE encryption method

encryption des

!--- IKE hashing

hash sha

!--- Diffie-Hellman group

group 1

!--- Authentication method

authentication pre-share

!--- IKE lifetime

lifetime 28800

!--- encryption peer

crypto isakmp key cisco123 address 172.18.124.157
!

!--- The following is the IOS default so it does not appear: !--- IPSec lifetime

crypto ipsec security-association lifetime seconds 3600
!

!--- IPSec transforms

crypto ipsec transform-set rtpset esp-des esp-md5-hmac 
!
crypto map rtp 1 ipsec-isakmp 

!--- Encryption peer

set peer 172.18.124.157
set transform-set rtpset 

!--- Source/Destination networks defined

match address 115
!
call rsvp-sync
!
interface Ethernet0/0
ip address 192.168.1.1 255.255.255.0
ip nat inside
half-duplex
!
interface Ethernet0/1
ip address 172.18.124.35 255.255.255.240
ip nat outside
half-duplex
crypto map rtp
!
ip nat pool INTERNET 172.18.124.35 172.18.124.35 netmask 255.255.255.240
ip nat inside source route-map nonat pool INTERNET
ip classless
ip route 0.0.0.0 0.0.0.0 172.18.124.36
no ip http server
!
access-list 101 deny ip 192.168.1.0 0.0.0.255 10.32.50.0 0.0.0.255
access-list 101 permit ip 192.168.1.0 0.0.0.255 any

!--- Source/Destination networks defined

access-list 115 permit ip 192.168.1.0 0.0.0.255 10.32.50.0 0.0.0.255
access-list 115 deny ip 192.168.1.0 0.0.0.255 any
route-map nonat permit 10
match ip address 101
!
line con 0
transport input none
line 65 94
line aux 0
line vty 0 4
!
end

PIX 구성

PIX 
PIX Version 5.2(1)
nameif ethernet0 outside security0
nameif ethernet1 inside security100
enable password 8Ry2YjIyt7RRXU24 encrypted
passwd 2KFQnbNIdI.2KYOU encrypted
hostname pixfirewall
fixup protocol ftp 21
fixup protocol http 80
fixup protocol h323 1720
fixup protocol rsh 514
fixup protocol smtp 25
fixup protocol sqlnet 1521
fixup protocol sip 5060
names

!--- Source/Destination networks defined

access-list 115 permit ip 192.168.1.0 255.255.255.0 10.32.50.0 255.255.255.0 
access-list 115 deny ip 192.168.1.0 255.255.255.0 any 
pager lines 24
logging on
no logging timestamp
no logging standby
no logging console
no logging monitor
no logging buffered
no logging trap
no logging history
logging facility 20
logging queue 512
interface ethernet0 auto
interface ethernet1 10baset
mtu outside 1500
mtu inside 1500
ip address outside 172.18.124.35 255.255.255.240
ip address inside 192.168.1.1 255.255.255.0
ip audit info action alarm
ip audit attack action alarm
no failover
failover timeout 0:00:00
failover poll 15
failover ip address outside 0.0.0.0
failover ip address inside 0.0.0.0
arp timeout 14400

!--- Except Source/Destination from Network Address Translation (NAT):

nat (inside) 0 access-list 115
route outside 0.0.0.0 0.0.0.0 172.18.124.36 1
timeout xlate 3:00:00
timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h323 0:05:00
sip 0:30:00 sip_media 0:02:00
timeout uauth 0:05:00 absolute
aaa-server TACACS+ protocol tacacs+ 
aaa-server RADIUS protocol radius 
no snmp-server location
no snmp-server contact
snmp-server community public
no snmp-server enable traps
floodguard enable
sysopt connection permit-ipsec
no sysopt route dnat

!--- IPSec transforms

crypto ipsec transform-set myset esp-des esp-md5-hmac 

!--- IPSec lifetime

crypto ipsec security-association lifetime seconds 3600
crypto map rtpmap 10 ipsec-isakmp

!--- Source/Destination networks

crypto map rtpmap 10 match address 115

!--- Encryption peer

crypto map rtpmap 10 set peer 172.18.124.157 
crypto map rtpmap 10 set transform-set myset
crypto map rtpmap interface outside
isakmp enable outside

!--- Encryption peer

isakmp key ******** address 172.18.124.157 netmask 255.255.255.240 
isakmp identity address

!--- Authentication method

isakmp policy 10 authentication pre-share

!--- IKE encryption method

isakmp policy 10 encryption des

!--- IKE hashing

isakmp policy 10 hash sha

!--- Diffie-Hellman group

isakmp policy 10 group 1

!--- IKE lifetime

isakmp policy 10 lifetime 28800
telnet timeout 5
ssh timeout 5
terminal width 80
Cryptochecksum:c237ed11307abea7b530bbd0c2b2ec08
: end

VPN 3000 Concentrator 구성

필요에 따라 VPN Concentrator를 구성하려면 아래에 표시된 메뉴 옵션 및 매개변수를 사용합니다.

VPN 5000 Concentrator 구성

VPN 5000 Concentrator 
[ IP Ethernet 1:0 ]
Mode = Routed
SubnetMask = 255.255.255.240
IPAddress = 172.18.124.35

[ General ]
IPSecGateway = 172.18.124.36
DeviceName = "cisco"
EthernetAddress = 00:00:a5:f0:c8:00
DeviceType = VPN 5002/8 Concentrator
ConfiguredOn = Timeserver not configured
ConfiguredFrom = Command Line, from Console

[ IP Ethernet 0:0 ]
Mode = Routed
SubnetMask = 255.255.255.0
IPAddress = 192.168.1.1

[ Tunnel Partner VPN 1 ]

!--- Encryption peer

Partner = 172.18.124.157

!--- IPSec lifetime

KeyLifeSecs = 3600

BindTo = "ethernet 1:0"

!--- Authentication method

SharedKey = "cisco123"
KeyManage = Auto

!--- IPSec transforms

Transform = esp(md5,des)
Mode = Main

!--- Destination network defined

Peer = "10.32.50.0/24"

!--- Source network defined

LocalAccess = "192.168.1.0/24"

[ IP Static ]
10.32.50.0 255.255.255.0 VPN 1 1

[ IP VPN 1 ]
Mode = Routed
Numbered = Off

[ IKE Policy ]

!--- IKE hashing, encryption, Diffie-Hellman group

Protection = SHA_DES_G1

Configuration size is 1088 out of 65500 bytes.

다음을 확인합니다.

현재 이 구성에 대해 사용 가능한 확인 절차가 없습니다.

문제 해결

이 섹션에서는 컨피그레이션 문제를 해결하는 데 사용할 수 있는 정보를 제공합니다.

문제 해결 명령

일부 show 명령은 출력 인터프리터 툴 에서 지원되는데(등록된 고객만), 이 툴을 사용하면 show 명령 출력의 분석 결과를 볼 수 있습니다.

참고: debug 명령을 실행하기 전에 디버그 명령에 대한 중요 정보를 참조하십시오.

Cisco 3640 Router

PIX

VPN 3000 Concentrator

VPN 5000 Concentrator

관련 정보