Cisco-router als een externe VPN-server die een voorbeeld van de configuratie van AIM gebruikt

Inleiding

Dit document beschrijft hoe u het Cisco Security apparaat Manager (DSM) kunt gebruiken om de Cisco router te configureren om op te treden als een Makkelijk VPN-server. Cisco PDM u uw router als een VPN-server voor de Cisco VPN-client kunt configureren met behulp van een gebruikersvriendelijke interface op basis van webbeheer. Nadat de Cisco-routerconfiguratie is voltooid, kan deze worden geverifieerd met behulp van de Cisco VPN-client.

Voorwaarden

Vereisten

Dit document gaat ervan uit dat de router van Cisco volledig operationeel en gevormd is om Cisco PDM toe te staan om configuratieveranderingen aan te brengen.

Opmerking: Verwijs naar Toestemming voor HTTPS Toegang voor Sm om de router toe te staan om te worden gevormd door het Sdm.

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

• Cisco 3640 router met Cisco IOS® softwarerelease 12.3(14T)

• Security apparaat Manager versie 2.3.1

• Cisco VPN-client versie 4.8

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.

Conventies

Raadpleeg de Cisco Technical Tips Convention voor meer informatie over documentconventies.

Configureren

In deze sectie, wordt u voorgesteld met de informatie om de eigenschappen van de Makkelijk VPN Server te vormen die een verre eindgebruiker toelaat om te communiceren met IPsec met om het even welke Cisco IOS® VPN gateway.

Opmerking: Gebruik het Opname Gereedschap (alleen geregistreerde klanten) om meer informatie te verkrijgen over de opdrachten die in deze sectie worden gebruikt.

Netwerkdiagram

Het netwerk in dit document is als volgt opgebouwd:

Configuratieprocedure

Voltooi deze stappen om de router van Cisco als een verre server van VPN te vormen die ontwikkel.

1. Selecteer Configureren > VPN > Makkelijk VPN-server vanuit het Home-venster en klik op Start Easy VPN Server.

   

2. AAA moet op de router zijn ingeschakeld voordat de configuratie van de Makkelijke VPN-server is gestart. Klik op Ja om verder te gaan met de configuratie.

   De 'AAA' is geactiveerd op de router' berichtdisplays in het venster. Klik op OK om de configuratie van Makkelijk VPN-server te starten.

   

3. Klik op Next om de Easy VPN Server-wizard te starten.

   

4. Selecteer de interface waarop de clientverbindingen worden afgesloten en het verificatietype.

   

5. Klik op Next om het beleid van Internet Key Exchange (IKE) te configureren en gebruik de knop Add om het nieuwe beleid te maken.

   De configuraties aan beide zijden van de tunnel moeten precies overeenkomen. Maar de Cisco VPN-client selecteert automatisch de juiste configuratie voor zichzelf. Daarom is geen IKE-configuratie nodig op de client-pc.

   

6. Klik op Next om de standaard transformatie set te kiezen of de nieuwe transformatie set toe te voegen om het encryptie- en verificatiealgoritme te specificeren. In dit geval wordt de standaard transformator gebruikt.

   

7. Klik op Next om een nieuwe lijst te maken met de autorisatie- en accounting (AAA) autorisatie voor de benadering van groepsbeleid of om een bestaande lijst van netwerkmethoden te kiezen die gebruikt wordt voor groepsautorisatie.

   

8. Configuratie van gebruikersverificatie op de Gemakkelijke VPN Server.

   U kunt gebruikersverificatiegegevens opslaan op een externe server zoals een RADIUS-server of een lokale database of op beide. Een lijst met AAA-inlogverificatiemethoden wordt gebruikt om te bepalen in welke volgorde de gebruikersverificatiedetails moeten worden doorzocht.

   

9. In dit venster kunt u gebruikersgroepbeleid in de lokale database toevoegen, bewerken, klonen of verwijderen.

   

10. Voer een naam in voor de naam van de tunnelgroep. Geef de vooraf gedeelde sleutel aan die gebruikt wordt voor authenticatie informatie.

    Maak een nieuwe pool of selecteer een bestaande pool die wordt gebruikt om de IP-adressen aan de VPN-clients toe te wijzen.

    

11. Dit venster geeft een samenvatting van de maatregelen die u hebt genomen. Klik op Voltooien als u tevreden bent met de configuratie.

    

12. De sdm stuurt de configuratie naar de router om de actieve configuratie bij te werken. Klik op OK om dit te voltooien.

    

13. Na voltooiing, kunt u de veranderingen in de configuratie indien nodig bewerken en wijzigen.

    

    Routerconfiguratie (VPN-server)

    Building configuration... Current configuration : 3336 bytes ! version 12.4 service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption ! hostname Router ! boot-start-marker boot-end-marker ! enable password cisco ! aaa new-model ! !--- In order to set AAA authentication at login, use the aaa authentication login !--- command in global configuration mode . aaa authentication login default local !--- Here, list name "sdm_vpn_xauth_ml_1" is specified for !--- the authentication of the clients. aaa authentication login sdm_vpn_xauth_ml_1 local aaa authorization exec default local aaa authorization network sdm_vpn_group_ml_1 local ! aaa session-id common ! resource policy ! ! ! ip cef ! ! ! ! !--- The RSA certificate generates after the !--- ip http secure-server command is enabled. crypto pki trustpoint TP-self-signed-392370502 enrollment selfsigned subject-name cn=IOS-Self-Signed-Certificate-392370502 revocation-check none rsakeypair TP-self-signed-392370502 ! ! crypto pki certificate chain TP-self-signed-392370502 certificate self-signed 01 3082023C 308201A5 A0030201 02020101 300D0609 2A864886 F70D0101 04050030 30312E30 2C060355 04031325 494F532D 53656C66 2D536967 6E65642D 43657274 69666963 6174652D 33393233 37303530 32301E17 0D303530 39323130 30323135 375A170D 32303031 30313030 30303030 5A303031 2E302C06 03550403 1325494F 532D5365 6C662D53 69676E65 642D4365 72746966 69636174 652D3339 32333730 35303230 819F300D 06092A86 4886F70D 01010105 0003818D 00308189 02818100 ED61BD43 0AD90559 2C7D7DB1 BB3147AA 784F3B46 9E63E63C 5CD61976 6BC46596 DB1AEB44 46644B18 8A890604 489B0447 B4B5C702 98272464 FFFD5511 A4BA79EC 239BCEA2 823F94EE 438B2E0A 5D90E9ED 8158BC8D 04F67C21 AEE1DB6F 046A0EF3 4C8798BE 0A171421 3FD5A690 7C735751 E7C58AA3 FB4CCE4F 5930212D 90EB4A33 02030100 01A36630 64300F06 03551D13 0101FF04 05300301 01FF3011 0603551D 11040A30 08820652 6F757465 72301F06 03551D23 04183016 8014B278 183F02DF 5000A124 124FEF08 8B704656 15CD301D 0603551D 0E041604 14B27818 3F02DF50 00A12412 4FEF088B 70465615 CD300D06 092A8648 86F70D01 01040500 03818100 C12AB266 0E85DAF6 264AC86F 27761351 E31DF628 BE7792B2 991725ED AAB3BABE B1F1C6CA 7E5C0D19 B9793439 E5AECC78 C5ECBE56 871EB4D3 39B60AD1 AB0B97FE 515B4CC6 81BEE802 DC02BD1B A0D10EE9 0FD79D72 B44C0143 6E39C06B D9178590 57D02A8F 750DA100 ABEEB1F1 B02A8B1F B746942B 892D1514 B2CC9D58 A28F08E2 quit ! ! ! ! ! ! ! ! ! ! !--- Creates a user account with all privileges. username sdmsdm privilege 15 password 0 sdmsdm ! ! !--- Creates an isakmp policy 1 with parameters like !--- 3des encryption, pre-share key authentication, and DH group 2. crypto isakmp policy 1 encr 3des authentication pre-share group 2 crypto isakmp client configuration group vpn !--- Defines the pre-shared key as sdmsdm. key sdmsdm pool SDM_POOL_1 netmask 255.255.255.0 ! !--- Defines transform set parameters. crypto ipsec transform-set ESP-3DES-SHA esp-3des esp-sha-hmac ! crypto dynamic-map SDM_DYNMAP_1 1 set transform-set ESP-3DES-SHA reverse-route ! !--- Specifies the crypto map parameters. crypto map SDM_CMAP_1 client authentication list sdm_vpn_xauth_ml_1 crypto map SDM_CMAP_1 isakmp authorization list sdm_vpn_group_ml_1 crypto map SDM_CMAP_1 client configuration address respond crypto map SDM_CMAP_1 65535 ipsec-isakmp dynamic SDM_DYNMAP_1 ! ! ! ! interface Ethernet0/0 no ip address shutdown half-duplex ! interface FastEthernet1/0 ip address 10.77.241.157 255.255.255.192 duplex auto speed auto ! interface Serial2/0 ip address 10.1.1.1 255.255.255.0 no fair-queue !--- Applies the crypto map SDM_CMAP1 to the interface. crypto map SDM_CMAP_1 ! interface Serial2/1 no ip address shutdown ! interface Serial2/2 no ip address shutdown ! interface Serial2/3 no ip address shutdown !--- Creates a local pool named SDM_POOL_1 for issuing IP !--- addresses to clients. ip local pool SDM_POOL_1 192.168.2.1 192.168.2.5 !--- Commands for enabling http and https required to launch SDM. ip http server ip http secure-server ! ! ! ! ! control-plane ! ! ! ! ! ! ! ! ! ! line con 0 line aux 0 line vty 0 4 password cisco ! ! end

Verifiëren

Probeer met de Cisco-router een verbinding te maken met de Cisco VPN-client om te controleren of de Cisco-router met succes is geconfigureerd.

1. Selecteer Connection Vermeldingen > New.

   

2. Vul de gegevens in van uw nieuwe aansluiting.

   Het veld Host moet het IP-adres of de hostnaam van het tunneleindpunt van de Makkelijk VPN-server (Cisco router) bevatten. De informatie over de groepsverificatie dient overeen te komen met de informatie die in stap 9 wordt gebruikt. Klik op Opslaan als u klaar bent.

   

3. Selecteer de nieuwe verbinding en klik op Connect.

   

4. Voer een gebruikersnaam en wachtwoord in voor uitgebreide verificatie (Xauth). Deze informatie wordt bepaald door de Xauth-parameters in stap 7.

   

5. Zodra de verbinding met succes is ingesteld selecteert u Statistieken uit het menu Status om de details van de tunnel te controleren.

   Dit venster toont informatie over verkeer en crypto:

   

   In dit venster wordt indien ingesteld informatie over gesplitste tunneling weergegeven:

   

6. Selecteer Log > Instellingen loggen om de logniveaus in de Cisco VPN-client in te schakelen.

   

7. Selecteer Log > Log Windows in om de logitems in de Cisco VPN-client te bekijken.

   

Gerelateerde informatie

• Cisco-router en -security apparaatbeheer downloaden en installeren
• Cisco VPN-clientondersteuningspagina
• IPsec-onderhandeling/IKE-protocollen
• Technische ondersteuning en documentatie – Cisco Systems