목차

소개

사전 요구 사항

요구 사항

사용되는 구성 요소

표기 규칙

구성

네트워크 다이어그램

구성

다음을 확인합니다.

문제 해결

문제 해결 명령

관련 정보

소개

이 문서에서는 프라이빗 주소를 사용하는 3개의 라우터가 포함된 풀 메시 컨피그레이션에 대해 설명합니다. 이 예에서는 다음 기능을 설명합니다.

- ESP(Encapsulating Security Payload) - DES(Data Encryption Standard)만 해당

- 사전 공유 키

- 각 라우터 뒤의 프라이빗 네트워크: 192.168.1.0, 192.168.2.0 및 192.168.3.0

- isakmp 정책 및 암호화 맵 컨피그레이션

- access-list 및 route-map 명령으로 정의된 터널 트래픽. PAT(Port Address Translation) 외에도 Cisco IOS® Software Release 12.2(4)T2 이상에서 일대일 고정 NAT(Network Address Translation)에 경로 맵을 적용할 수 있습니다. 자세한 내용은 NAT - Capability to use Route Maps with Static Translations Feature Overview를 참조하십시오.

참고: 암호화 기술은 내보내기 제어의 대상이 됩니다. 암호화 기술 수출에 관한 법률을 아는 것은 여러분의 책임입니다. 수출 통제와 관련하여 궁금한 점이 있으시면 export@cisco.com으로 이메일을 보내주십시오.

사전 요구 사항

요구 사항

이 문서에 대한 특정 요건이 없습니다.

사용되는 구성 요소

이 문서의 정보는 다음 소프트웨어 및 하드웨어 버전을 기반으로 합니다.

- Cisco IOS Software 릴리스 12.3.(7)T.

- IPSec으로 구성된 Cisco 라우터

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우, 모든 명령어의 잠재적인 영향을 미리 숙지하시기 바랍니다.

표기 규칙

문서 표기 규칙에 대한 자세한 내용은 Cisco 기술 팁 표기 규칙을 참조하십시오.

구성

이 섹션에는 이 문서에서 설명하는 기능을 구성하기 위한 정보가 표시됩니다.

참고: 이 문서에 사용된 명령에 대한 추가 정보를 찾으려면 명령 조회 도구(등록된 고객만 해당)를 사용합니다.

네트워크 다이어그램

이 문서에서는 다음 네트워크 설정을 사용합니다.

구성

이 문서에서는 다음 구성을 사용합니다.

- 라우터 1

- 라우터 2

- 라우터 3

라우터 1

Current configuration:

!

version 12.3

service timestamps debug datetime msec

service timestamps log datetime msec

no service password-encryption

!

hostname router1

!

boot-start-marker

boot-end-marker

!

!

clock timezone EST 0

no aaa new-model

ip subnet-zero

!

!

ip audit po max-events 100

no ftp-server write-enable

!

!--- Configure Internet Key Exchange (IKE) policy and !--- pre-shared keys for each peer.

!--- IKE policy defined for peers.

crypto isakmp policy 4

authentication pre-share

!--- Pre-shared keys for different peers.

crypto isakmp key xxxxxx1234 address 100.228.202.154

crypto isakmp key xxxxxx1234 address 200.154.17.130

!

!

!--- IPSec policies:

crypto ipsec transform-set encrypt-des esp-des

!

!

crypto map combined local-address Serial0

!--- Set the peer, transform-set and encryption traffic for tunnel peers.

crypto map combined 20 ipsec-isakmp

set peer 100.228.202.154

set transform-set encrypt-des

match address 106

crypto map combined 30 ipsec-isakmp

set peer 200.154.17.130

set transform-set encrypt-des

match address 105

!

!

interface Serial0

ip address 100.232.202.210 255.255.255.252

ip nat outside

serial restart-delay 0

!--- Apply the crypto map to the interface.

crypto map combined

!

interface FastEthernet0

ip address 192.168.1.1 255.255.255.0

ip nat inside

!

ip classless

ip route 0.0.0.0 0.0.0.0 100.232.202.209

no ip http server

no ip http secure-server

!

!--- Define traffic for NAT.

ip nat inside source route-map nonat interface Serial0 overload

!--- Access control list (ACL) that shows traffic to encrypt over the tunnel.

access-list 105 permit ip 192.168.1.0 0.0.0.255 192.168.3.0 0.0.0.255

access-list 106 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255

!--- ACL to avoid the traffic through NAT over the tunnel.

access-list 150 deny ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255

access-list 150 deny ip 192.168.1.0 0.0.0.255 192.168.3.0 0.0.0.255

!--- ACL to perform NAT on the traffic that does not go over the tunnel.

access-list 150 permit ip 192.168.1.0 0.0.0.255 any

!--- Do not perform NAT on the IPSec traffic.

route-map nonat permit 10

match ip address 150

!

control-plane

!

!

line con 0

line aux 0

line vty 0 4

!

!

end

라우터 2

Current configuration:

!

version 12.3

service timestamps debug datetime msec

service timestamps log datetime msec

no service password-encryption

!

hostname router2

!

boot-start-marker

boot-end-marker

!

!

clock timezone EST 0

no aaa new-model

ip subnet-zero

!

!

ip audit po max-events 100

no ftp-server write-enable

!

!--- Configure IKE policy and pre-shared keys for each peer.

!--- IKE policy defined for peers.

crypto isakmp policy 4

authentication pre-share

!--- Pre-shared keys for different peers.

crypto isakmp key xxxxxx1234 address  100.228.202.154

crypto isakmp key xxxxxx1234 address  100.232.202.210

!

!

!--- IPSec policies.

crypto ipsec transform-set encrypt-des esp-des

!

!

crypto map combined local-address Ethernet1

!--- Set the peer, transform-set and encryption traffic for tunnel peers.

crypto map combined 7 ipsec-isakmp

set peer 100.232.202.210

set transform-set encrypt-des

match address 105

crypto map combined 8 ipsec-isakmp

set peer 100.228.202.154

set transform-set encrypt-des

match address 106

!

!

!

interface Ethernet0

ip address 192.168.3.1 255.255.255.0

ip nat inside

!

interface Ethernet1

ip address 200.154.17.130 255.255.255.224

ip nat outside

!--- Apply the crypto map to the interface.

crypto map combined

!

ip classless

ip route 0.0.0.0 0.0.0.0 200.154.17.129

no ip http server

no ip http secure-server

!

!--- Define traffic for NAT.

ip nat inside source route-map nonat interface Ethernet1 overload

!--- ACL shows traffic to encrypt over the tunnel.

access-list 105 permit ip 192.168.3.0 0.0.0.255 192.168.1.0 0.0.0.255

access-list 106 permit ip 192.168.3.0 0.0.0.255 192.168.2.0 0.0.0.255

!--- ACL to avoid the traffic through NAT over the tunnel.

access-list 150 deny ip 192.168.3.0 0.0.0.255 192.168.1.0 0.0.0.255

access-list 150 deny ip 192.168.3.0 0.0.0.255 192.168.2.0 0.0.0.255

!--- ACL to perform NAT on the traffic that does not go over the tunnel.

access-list 150 permit ip any any

!--- Do not perform NAT on the IPSec traffic.

route-map nonat permit 10

match ip address 150

!

!

!

control-plane

!

!

line con 0

line aux 0

line vty 0 4

!

!

end

라우터 3 컨피그레이션

Current configuration:

!

version 12.3

service timestamps debug datetime msec

service timestamps log datetime msec

no service password-encryption

!

hostname router3

!

boot-start-marker

boot-end-marker

!

!

clock timezone EST 0

no aaa new-model

ip subnet-zero

!

!

ip audit po max-events 100

no ftp-server write-enable

!

!--- Configure IKE policy and pre-shared keys for each peer.

!--- IKE policy defined for peers.

crypto isakmp policy 4

authentication pre-share

!--- Pre-shared keys for different peers.

crypto isakmp key xxxxxx1234 address 100.232.202.210

crypto isakmp key xxxxxx1234 address 200.154.17.130

!

!

!--- IPSec policies:

crypto ipsec transform-set encrypt-des esp-des

!

!

!--- Set the peer, transform-set and encryption traffic for tunnel peers.

crypto map combined local-address Serial0

crypto map combined 7 ipsec-isakmp

set peer 100.232.202.210

set transform-set encrypt-des

match address 106

crypto map combined 8 ipsec-isakmp

set peer 200.154.17.130

set transform-set encrypt-des

match address 105

!

!

interface Serial0

ip address 100.228.202.154 255.255.255.252

ip nat outside

serial restart-delay 0

!--- Apply the crypto map to the interface.

crypto map combined

!

interface FastEthernet0

ip address 192.168.2.1 255.255.255.0

ip nat inside

!

ip classless

ip route 0.0.0.0 0.0.0.0 100.228.202.153

no ip http server

no ip http secure-server

!

!--- Define traffic for NAT.

ip nat inside source route-map nonat interface Serial0 overload

!--- ACL that shows traffic to encrypt over the tunnel.

access-list 105 permit ip 192.168.2.0 0.0.0.255 192.168.3.0 0.0.0.255

access-list 106 permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255

!--- ACL to avoid the traffic through NAT over the tunnel.

access-list 150 deny ip 192.168.2.0 0.0.0.255 192.168.3.0 0.0.0.255

access-list 150 deny ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255

!--- ACL to perform NAT on the traffic that does not go over the tunnel.

access-list 150 permit ip 192.168.2.0 0.0.0.255 any

!--- Do not perform NAT on the IPSec traffic.

route-map nonat permit 10

match ip address 150

!

!

!

control-plane

!

!

line con 0

line aux 0

line vty 0 4

login

!

!

end

다음을 확인합니다.

이 섹션에서는 컨피그레이션이 제대로 작동하는지 확인하는 데 사용할 수 있는 정보를 제공합니다.

일부 show 명령은 출력 인터프리터 툴 에서 지원되는데(등록된 고객만), 이 툴을 사용하면 show 명령 출력의 분석 결과를 볼 수 있습니다.

- show crypto engine connections active(암호화 엔진 연결 활성 표시) - IPSec 피어 간 암호화 및 암호 해독된 패킷을 표시합니다.

- show crypto isakmp sa - 피어의 현재 IKE SA(Security Association)를 모두 표시합니다.

- show crypto ipsec sa - 현재(IPSec) SA에서 사용하는 설정을 표시합니다.

문제 해결

이 섹션에서는 컨피그레이션 문제를 해결하는 데 사용할 수 있는 정보를 제공합니다.

문제 해결 명령

일부 show 명령은 출력 인터프리터 툴 에서 지원되는데(등록된 고객만), 이 툴을 사용하면 show 명령 출력의 분석 결과를 볼 수 있습니다.

참고: debug 명령을 실행하기 전에 디버그 명령에 대한 중요 정보를 참조하십시오.

참고: 두 IPSec 라우터(피어)에서 다음 디버그가 실행 중이어야 합니다. SA 지우기는 두 피어 모두에서 수행해야 합니다.

- debug crypto isakmp - 1단계 중 오류를 표시합니다.

- debug crypto ipsec - 2단계 중 오류를 표시합니다.

- debug crypto engine - 암호화 엔진의 정보를 표시합니다.

- 암호화 연결 연결 ID [슬롯 지우기 | rsm | vip]—현재 진행 중인 암호화된 세션을 종료합니다. 암호화 세션은 세션이 시간 초과되면 일반적으로 종료됩니다. show crypto cisco connections 명령을 사용하여 connection-id 값을 확인합니다.

- clear crypto isakmp - 1단계 SA를 지웁니다.

- clear crypto sa - 2단계 SA를 지웁니다.

관련 정보

- IPSec 지원 페이지

- Technical Support - Cisco Systems