Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Conventies

Configureren

Configuraties

Verifiëren

Problemen oplossen

Opdrachten voor probleemoplossing

Gerelateerde informatie

Inleiding

Dit document biedt een voorbeeldconfiguratie voor een IOS-to-IOS IPSec-tunnel met behulp van Advanced Encryption Standard (AES)-encryptie.

Voorwaarden

Vereisten

AES-encryptie-ondersteuning is geïntroduceerd in Cisco IOS® 12.2(13)T.

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

- Cisco IOS-softwarerelease 12.3(10)E

- Cisco 1721 routers

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.

Conventies

Raadpleeg voor meer informatie over documentconventies de technische Tips van Cisco.

Configureren

Deze sectie bevat informatie over het configureren van de functies die in dit document worden beschreven.

N.B.: Als u aanvullende informatie wilt vinden over de opdrachten in dit document, gebruikt u het Opdrachtplanningprogramma (alleen geregistreerd klanten).

Configuraties

Dit document gebruikt de configuraties die hier worden weergegeven.

- router 1721-A

- router 1721-B

router 1721-A

R-1721-A#show run

Building configuration...

Current configuration : 1706 bytes

!

! Last configuration change at 00:46:32 UTC Fri Sep 10 2004

! NVRAM config last updated at 00:45:48 UTC Fri Sep 10 2004

!

version 12.3

service timestamps debug datetime msec

service timestamps log datetime msec

no service password-encryption

!

hostname R-1721-A

!

boot-start-marker

boot-end-marker

!

!

memory-size iomem 15

mmi polling-interval 60

no mmi auto-configure

no mmi pvc

mmi snmp-timeout 180

no aaa new-model

ip subnet-zero

ip cef

!

!

!

ip audit po max-events 100

no ip domain lookup

no ftp-server write-enable

!

!

!

!

!--- Define Internet Key Exchange (IKE) policy.

crypto isakmp policy 10

!--- Specify the 256-bit AES as the !--- encryption algorithm within an IKE policy.

encr aes 256

!--- Specify that pre-shared key authentication is used.

authentication pre-share

!--- Specify the shared secret.

crypto isakmp key cisco123 address 10.48.66.146

!

!

!--- Define the IPSec transform set.

crypto ipsec transform-set aesset esp-aes 256 esp-sha-hmac

!

!--- Define crypto map entry name "aesmap" that will use !--- IKE to establish the security associations (SA).

crypto map aesmap 10 ipsec-isakmp

!--- Specify remote IPSec peer.

set peer 10.48.66.146

!--- Specify which transform sets !--- are allowed for this crypto map entry.

set transform-set aesset

!--- Name the access list that determines which traffic !--- should be protected by IPSec.

match address acl_vpn

!

!

!

interface ATM0

no ip address

shutdown

no atm ilmi-keepalive

dsl equipment-type CPE

dsl operating-mode GSHDSL symmetric annex A

dsl linerate AUTO

!

interface Ethernet0

ip address 192.168.100.1 255.255.255.0

ip nat inside

half-duplex

!

interface FastEthernet0

ip address 10.48.66.147 255.255.254.0

ip nat outside

speed auto

!--- Apply crypto map to the interface.

crypto map aesmap

!

ip nat inside source list acl_nat interface FastEthernet0 overload

ip classless

ip route 0.0.0.0 0.0.0.0 10.48.66.1

ip route 192.168.200.0 255.255.255.0 FastEthernet0

no ip http server

no ip http secure-server

!

ip access-list extended acl_nat

!--- Exclude protected traffic from being NAT'ed.

deny   ip 192.168.100.0 0.0.0.255 192.168.200.0 0.0.0.255

permit ip 192.168.100.0 0.0.0.255 any

!--- Access list that defines traffic protected by IPSec.

ip access-list extended acl_vpn

permit ip 192.168.100.0 0.0.0.255 192.168.200.0 0.0.0.255

!

!

line con 0

exec-timeout 0 0

line aux 0

line vty 0 4

!

end

R-1721-A#

router 1721-B

R-1721-B#show run

Building configuration...

Current configuration : 1492 bytes

!

! Last configuration change at 14:11:41 UTC Wed Sep 8 2004

!

version 12.3

service timestamps debug datetime msec

service timestamps log datetime msec

no service password-encryption

!

hostname R-1721-B

!

boot-start-marker

boot-end-marker

!

!

memory-size iomem 15

mmi polling-interval 60

no mmi auto-configure

no mmi pvc

mmi snmp-timeout 180

no aaa new-model

ip subnet-zero

ip cef

!

!

!

ip audit po max-events 100

no ip domain lookup

no ftp-server write-enable

!

!

!

!

!

!--- Define IKE policy.

crypto isakmp policy 10

!--- Specify the 256-bit AES as the !--- encryption algorithm within an IKE policy.

encr aes 256

!--- Specify that pre-shared key authentication is used.

authentication pre-share

!--- Specify the shared secret.

crypto isakmp key cisco123 address 10.48.66.147

!

!

!--- Define the IPSec transform set.

crypto ipsec transform-set aesset esp-aes 256 esp-sha-hmac

!

!--- Define crypto map entry name "aesmap" that uses !--- IKE to establish the SA.

crypto map aesmap 10 ipsec-isakmp

!--- Specify remote IPSec peer.

set peer 10.48.66.147

!--- Specify which transform sets !--- are allowed for this crypto map entry.

set transform-set aesset

!--- Name the access list that determines which traffic !--- should be protected by IPSec.

match address acl_vpn

!

!

!

interface Ethernet0

ip address 192.168.200.1 255.255.255.0

ip nat inside

half-duplex

!

interface FastEthernet0

ip address 10.48.66.146 255.255.254.0

ip nat outside

speed auto

!--- Apply crypto map to the interface.

crypto map aesmap

!

ip nat inside source list acl_nat interface FastEthernet0 overload

ip classless

ip route 0.0.0.0 0.0.0.0 10.48.66.1

ip route 192.168.100.0 255.255.255.0 FastEthernet0

no ip http server

no ip http secure-server

!

ip access-list extended acl_nat

!--- Exclude protected traffic from being NAT'ed.

deny   ip 192.168.200.0 0.0.0.255 192.168.100.0 0.0.0.255

permit ip 192.168.200.0 0.0.0.255 any

!--- Access list that defines traffic protected by IPSec.

ip access-list extended acl_vpn

permit ip 192.168.200.0 0.0.0.255 192.168.100.0 0.0.0.255

!

!

line con 0

exec-timeout 0 0

line aux 0

line vty 0 4

!

end

R-1721-B#

Verifiëren

Deze sectie verschaft informatie die u kunt gebruiken om te bevestigen dat uw configuratie correct werkt.

Bepaalde opdrachten met show worden ondersteund door de tool Output Interpreter (alleen voor geregistreerde klanten). Hiermee kunt u een analyse van de output van opdrachten met show genereren.

- Laat crypto isakmp sa-displays de staat voor de Internet Security Association en Key Management Protocol (ISAKMP) SA.

router 1721-A

R-1721-A#show crypto isakmp sa

dst             src             state          conn-id slot

10.48.66.147    10.48.66.146    QM_IDLE              1    0

router 1721-B

R-1721-B#show crypto isakmp sa

dst             src             state          conn-id slot

10.48.66.147    10.48.66.146    QM_IDLE              1    0

- Laat crypto ipsec sa-displays de statistieken op de actieve tunnels zien.

router 1721-A

R-1721-A#show crypto ipsec sa

interface: FastEthernet0

Crypto map tag: aesmap, local addr. 10.48.66.147

protected vrf:

local  ident (addr/mask/prot/port): (192.168.100.0/255.255.255.0/0/0)

remote ident (addr/mask/prot/port): (192.168.200.0/255.255.255.0/0/0)

current_peer: 10.48.66.146:500

PERMIT, flags={origin_is_acl,}

#pkts encaps: 30, #pkts encrypt: 30, #pkts digest 30

#pkts decaps: 30, #pkts decrypt: 30, #pkts verify 30

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. failed: 0

#pkts not decompressed: 0, #pkts decompress failed: 0

#send errors 0, #recv errors 0

local crypto endpt.: 10.48.66.147, remote crypto endpt.: 10.48.66.146

path mtu 1500, ip mtu 1500, ip mtu idb FastEthernet0

current outbound spi: 2EB0BA1A

inbound esp sas:

spi: 0xFECA28BC(4274661564)

transform: esp-256-aes esp-sha-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2000, flow_id: 1, crypto map: aesmap

sa timing: remaining key lifetime (k/sec): (4554237/2895)

IV size: 16 bytes

replay detection support: Y

inbound ah sas:

inbound pcp sas:

outbound esp sas:

spi: 0x2EB0BA1A(783333914)

transform: esp-256-aes esp-sha-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2001, flow_id: 2, crypto map: aesmap

sa timing: remaining key lifetime (k/sec): (4554237/2894)

IV size: 16 bytes

replay detection support: Y

outbound ah sas:

outbound pcp sas:

R-1721-A#

router 1721-B

R-1721-B#show crypto ipsec sa

interface: FastEthernet0

Crypto map tag: aesmap, local addr. 10.48.66.146

protected vrf:

local  ident (addr/mask/prot/port): (192.168.200.0/255.255.255.0/0/0)

remote ident (addr/mask/prot/port): (192.168.100.0/255.255.255.0/0/0)

current_peer: 10.48.66.147:500

PERMIT, flags={origin_is_acl,}

#pkts encaps: 30, #pkts encrypt: 30, #pkts digest 30

#pkts decaps: 30, #pkts decrypt: 30, #pkts verify 30

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. failed: 0

#pkts not decompressed: 0, #pkts decompress failed: 0

#send errors 5, #recv errors 0

local crypto endpt.: 10.48.66.146, remote crypto endpt.: 10.48.66.147

path mtu 1500, ip mtu 1500, ip mtu idb FastEthernet0

current outbound spi: FECA28BC

inbound esp sas:

spi: 0x2EB0BA1A(783333914)

transform: esp-256-aes esp-sha-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2000, flow_id: 1, crypto map: aesmap

sa timing: remaining key lifetime (k/sec): (4583188/2762)

IV size: 16 bytes

replay detection support: Y

inbound ah sas:

inbound pcp sas:

outbound esp sas:

spi: 0xFECA28BC(4274661564)

transform: esp-256-aes esp-sha-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2001, flow_id: 2, crypto map: aesmap

sa timing: remaining key lifetime (k/sec): (4583188/2761)

IV size: 16 bytes

replay detection support: Y

outbound ah sas:

outbound pcp sas:

R-1721-B#

- Laat actieve encryptie-motorverbindingen zien - Hiermee geeft u de totale versleuteling/decrypts per SA weer.

router 1721-A

R-1721-A#show crypto engine connections active

ID Interface       IP-Address      State  Algorithm           Encrypt  Decrypt

1 FastEthernet0   10.48.66.147    set    HMAC_SHA+AES_256_C        0        0

2000 FastEthernet0   10.48.66.147    set    HMAC_SHA+AES_256_C        0       30

2001 FastEthernet0   10.48.66.147    set    HMAC_SHA+AES_256_C       30        0

router 1721-B

R-1721-B#show crypto engine connections active

ID Interface       IP-Address      State  Algorithm           Encrypt  Decrypt

1 FastEthernet0   10.48.66.146    set    HMAC_SHA+AES_256_C        0        0

2000 FastEthernet0   10.48.66.146    set    HMAC_SHA+AES_256_C        0       30

2001 FastEthernet0   10.48.66.146    set    HMAC_SHA+AES_256_C       30        0

Problemen oplossen

Deze sectie bevat informatie waarmee u problemen met de configuratie kunt oplossen.

Opdrachten voor probleemoplossing

Opmerking: Voordat u debug-opdrachten afgeeft, raadpleegt u Belangrijke informatie over debug-opdrachten.

- debug van crypto ipsec-displays IPSec-gebeurtenissen.

- debug van crypto isakmp-displays over IKE gebeurtenissen.

- debug van crypto motor—informatie van de crypto motor.

Aanvullende informatie over het oplossen van IPSec kan worden gevonden bij IP security probleemoplossing - het begrip en het gebruik van debug-opdrachten.

Gerelateerde informatie

- Cisco IOS-softwarereleases 12.2T - Advanced Encryption Standard (AES)

- IPsec-netwerkbeveiliging configureren

- IPsec-ondersteuningspagina

- Technische ondersteuning - Cisco-systemen