目录

简介

先决条件

要求

使用的组件

配置

网络图

本地路由器配置

本地路由器最终配置

ISP配置

远程路由器最终配置

确认

故障排除

简介

本文档介绍一种配置，用于在使用互联网密钥交换版本2(IKEv2)协议的两台Cisco路由器之间设置IPv6、基于路由的站点到站点隧道。

先决条件

要求

Cisco 建议您了解以下主题：

- Cisco IOS®/Cisco IOS® XE CLI配置的基础知识

- Internet安全关联、密钥管理协议(ISAKMP)和IPsec协议的基础知识

- 了解IPv6编址和路由

使用的组件

本文档中的信息基于以下软件版本：

- 运行17.03.04a的Cisco IOS XE作为本地路由器

- 运行17.03.04a作为远程路由器的Cisco IOS

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

配置

网络图

本地路由器配置

步骤1.启用IPv6单播路由。

ipv6 unicast-routing

步骤2.配置路由器接口。

interface GigabitEthernet1

ipv6 address 2001:DB8:1::1/64

no shutdown

interface GigabitEthernet2

ipv6 address FC00::1/64

no shutdown

步骤3.设置IPv6默认路由。

ipv6 route ::/0 GigabitEthernet1

步骤4.配置Ikev2建议。

crypto ikev2 proposal IKEv2-PROP

encryption aes-cbc-128

integrity sha1

group 14

步骤5.配置Ikev2策略。

crypto ikev2 policy IKEv2-POLI

proposal IKEv2-PROP

步骤6.使用预共享密钥配置密钥环。

crypto ikev2 keyring IPV6_KEY

peer Remote_IPV6

address 2001:DB8:2::2/64

pre-shared-key cisco123

步骤7.配置Ikev2配置文件。

crypto ikev2 profile IKEV2-PROF

match identity remote address 2001:DB8:2::2/64

authentication remote pre-share

authentication local pre-share

keyring local IPV6_KEY

步骤8.配置第2阶段策略。

crypto ipsec transform-set ESP-AES-SHA esp-aes esp-sha-hmac

mode tunnel

步骤9.配置IPsec配置文件。

crypto ipsec profile IPSEC-PROF

set transform-set ESP-AES-SHA

set ikev2-profile IKEV2-PROF

步骤10.配置隧道接口。

interface Tunnel1

ipv6 address 2001:DB8:3::1/64

tunnel source GigabitEthernet1

tunnel mode ipsec ipv6

tunnel destination 2001:DB8:2::2

tunnel protection ipsec profile IPSEC-PROF

end

步骤11.配置相关流量的路由。

ipv6 route FC00::/64 2012::1

本地路由器最终配置

ipv6 unicast-routing

!

interface GigabitEthernet1

ipv6 address 2001:DB8:1::1/64

no shutdown

!

interface GigabitEthernet2

ipv6 address FC00::1/64

no shutdown

!

ipv6 route ::/0 GigabitEthernet1

!

crypto ikev2 proposal IKEv2-PROP

encryption aes-cbc-128

integrity sha1

group 14

!

crypto ikev2 policy IKEv2-POLI

proposal IKEv2-PROP

!

crypto ikev2 keyring IPV6_KEY

peer Remote_IPV6

address 2001:DB8:2::2/64

pre-shared-key cisco123

!

crypto ikev2 profile IKEV2-PROF

match identity remote address 2001:DB8:2::2/64

authentication remote pre-share

authentication local pre-share

keyring local IPV6_KEY

!

crypto ipsec transform-set ESP-AES-SHA esp-aes esp-sha-hmac

mode tunnel

!

crypto ipsec profile Prof1

set transform-set ESP-AES-SHA

!

crypto ipsec profile IPSEC-PROF

set transform-set ESP-AES-SHA

set ikev2-profile IKEV2-PROF

!

interface Tunnel1

ipv6 address 2001:DB8:3::1/64

tunnel source GigabitEthernet1

tunnel mode ipsec ipv6

tunnel destination 2001:DB8:2::2

tunnel protection ipsec profile IPSEC-PROF

end

!

ipv6 route FC00::/64 2012::1

ISP配置

ipv6 unicast-routing

!

!

interface GigabitEthernet1

description Link to R1

ipv6 address 2001:DB8:1::2/64

!

interface GigabitEthernet2

description Link to R3

ipv6 address 2001:DB8:2::1/64

!

!

!

ipv6 route 2001:DB8:1::/64 GigabitEthernet1

ipv6 route 2001:DB8:2::/64 GigabitEthernet2

!

远程路由器最终配置

ipv6 unicast-routing

!

interface GigabitEthernet1

ipv6 address 2001:DB8:2::2/64

no shutdown

!

interface GigabitEthernet2

ipv6 address FC00::2/64

no shutdown

!

ipv6 route ::/0 GigabitEthernet1

!

crypto ikev2 proposal IKEv2-PROP

encryption aes-cbc-128

integrity sha1

group 14

!

crypto ikev2 policy IKEv2-POLI

proposal IKEv2-PROP

!

crypto ikev2 keyring IPV6_KEY

peer Remote_IPV6

address 2001:DB8:1::1/64

pre-shared-key cisco123

!

crypto ikev2 profile IKEV2-PROF

match identity remote address 2001:DB8:1::1/64

authentication remote pre-share

authentication local pre-share

keyring local IPV6_KEY

!

crypto ipsec transform-set ESP-AES-SHA esp-aes esp-sha-hmac

mode tunnel

!

crypto ipsec profile Prof1

set transform-set ESP-AES-SHA

!

crypto ipsec profile IPSEC-PROF

set transform-set ESP-AES-SHA

set ikev2-profile IKEV2-PROF

!

interface Tunnel1

ipv6 address 2001:DB8:3::2/64

tunnel source GigabitEthernet1

tunnel mode ipsec ipv6

tunnel destination 2001:DB8:1::1

tunnel protection ipsec profile IPSEC-PROF

end

!

ipv6 route FC00::/64 2012::1

确认

On Router 1

R1#show crypto ikev2 sa

IPv4 Crypto IKEv2  SA

IPv6 Crypto IKEv2  SA

Tunnel-id    fvrf/ivrf              Status

2          none/none             READY

Local  2001:DB8:1::1/500

Remote  2001:DB8:2::2/500

Encr: AES-CBC, keysize: 256, PRF: SHA256, Hash: SHA256, DH Grp:14, Auth sign: PSK, Auth verify: PSK

Life/Active Time: 86400/75989 sec

R1#show crypto ipsec sa

interface: Tunnel1

Crypto map tag: Tunnel1-head-0, local addr 2001:DB8:1::1

protected vrf: (none)

local  ident (addr/mask/prot/port): (::/0/0/0)

remote ident (addr/mask/prot/port): (::/0/0/0)

current_peer 2001:DB8:2::2 port 500

PERMIT, flags={origin_is_acl,}

#pkts encaps: 14, #pkts encrypt: 14, #pkts digest: 14

#pkts decaps: 14, #pkts decrypt: 14, #pkts verify: 14

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. failed: 0

#pkts not decompressed: 0, #pkts decompress failed: 0

#send errors 0, #recv errors 0

local crypto endpt.: 2001:DB8:1::1,

remote crypto endpt.: 2001:DB8:2::2

plaintext mtu 1422, path mtu 1500, ipv6 mtu 1500, ipv6 mtu idb GigabitEthernet1

current outbound spi: 0x9DC2A6F6(2646779638)

PFS (Y/N): N, DH group: none

inbound esp sas:

spi: 0x18569EF7(408329975)

transform: esp-aes esp-sha-hmac ,

in use settings ={Tunnel, }

conn id: 2104, flow_id: CSR:104, sibling_flags FFFFFFFF80000049, crypto map: Tunnel1-head-0

sa timing: remaining key lifetime (k/sec): (4608000/1193)

IV size: 16 bytes

replay detection support: Y

Status: ACTIVE(ACTIVE)

inbound ah sas:

inbound pcp sas:

outbound esp sas:

spi: 0x9DC2A6F6(2646779638)

transform: esp-aes esp-sha-hmac ,

in use settings ={Tunnel, }

conn id: 2103, flow_id: CSR:103, sibling_flags FFFFFFFF80000049, crypto map: Tunnel1-head-0

sa timing: remaining key lifetime (k/sec): (4608000/1193)

IV size: 16 bytes

replay detection support: Y

Status: ACTIVE(ACTIVE)

outbound ah sas:

outbound pcp sas:

On Router 2

R2#show crypto ikev2 sa

IPv4 Crypto IKEv2  SA

IPv6 Crypto IKEv2  SA

Tunnel-id    fvrf/ivrf              Status

1          none/none             READY

Local  2001:DB8:2::2/500

Remote  2001:DB8:1::1/500

Encr: AES-CBC, keysize: 256, PRF: SHA256, Hash: SHA256, DH Grp:14, Auth sign: PSK, Auth verify: PSK

Life/Active Time: 86400/19 sec

R2#show cryto ipsec sa

interface: Tunnel1

Crypto map tag: Tunnel1-head-0, local addr 2001:DB8:2::2

protected vrf: (none)

local  ident (addr/mask/prot/port): (::/0/0/0)

remote ident (addr/mask/prot/port): (::/0/0/0)

current_peer 2001:DB8:1::1 port 500

PERMIT, flags={origin_is_acl,}

#pkts encaps: 14, #pkts encrypt: 14, #pkts digest: 14

#pkts decaps: 14, #pkts decrypt: 14, #pkts verify: 14

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. failed: 0

#pkts not decompressed: 0, #pkts decompress failed: 0

#send errors 0, #recv errors 0

local crypto endpt.: 2001:DB8:2::2,

remote crypto endpt.: 2001:DB8:1::1

plaintext mtu 1422, path mtu 1500, ipv6 mtu 1500, ipv6 mtu idb GigabitEthernet1

current outbound spi: 0xEF1D3BA2(4011670434)

PFS (Y/N): N, DH group: none

inbound esp sas:

spi: 0x9829B86D(2552871021)

transform: esp-aes esp-sha-hmac ,

in use settings ={Tunnel, }

conn id: 2006, flow_id: CSR:6, sibling_flags FFFFFFFF80000049, crypto map: Tunnel1-head-0

sa timing: remaining key lifetime (k/sec): (4608000/3556)

IV size: 16 bytes

replay detection support: Y

Status: ACTIVE(ACTIVE)

inbound ah sas:

inbound pcp sas:

outbound esp sas:

spi: 0xEF1D3BA2(4011670434)

transform: esp-aes esp-sha-hmac ,

in use settings ={Tunnel, }

conn id: 2005, flow_id: CSR:5, sibling_flags FFFFFFFF80000049, crypto map: Tunnel1-head-0

sa timing: remaining key lifetime (k/sec): (4607998/3556)

IV size: 16 bytes

replay detection support: Y

Status: ACTIVE(ACTIVE)

outbound ah sas:

outbound pcp sas:

故障排除

要对隧道进行故障排除，请使用以下debug命令：

- debug crypto ikev2

- debug crypto ikev2 error

- debug crypto ipsec

- debug crypto ipsec error