在防火墙之间使用 PDM 创建冗余隧道

下载选项

PDF (1.4 MB)
在各种设备上使用 Adobe Reader 查看
ePub (1.4 MB)
在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上使用各种应用查看
Mobi (Kindle) (1.6 MB)
在 Kindle 设备上查看或在多个设备上使用 Kindle 应用查看

已更新: 2006 年 2 月 2 日

文档 ID:66166

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

简介

本文档介绍使用 Cisco PIX Device Manager (PDM) 在两个 PIX 防火墙之间配置隧道的过程。PIX 防火墙放置在两个不同的站点。在无法到达主路径的情况下，需要通过冗余链路来开启隧道。IPsec 是在 IPsec 对等体之间提供数据机密性、数据完整性和数据原始身份验证的开放标准组合。

先决条件

要求

本文档没有任何特定的要求。

使用的组件

本文档中的信息基于以下软件和硬件版本：

Cisco Secure PIX 515E 防火墙 6.x 以及 PDM 版本 3.0

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。

网络图

本文档使用以下网络设置：

规则

有关文档约定的更多信息，请参考 Cisco 技术提示约定。

背景信息

IPsec 协商可分为五个步骤，并且包括两个 Internet 密钥交换 (IKE) 阶段。

IPsec 隧道由相关数据流启动。如果数据流在 IPsec 对等体之间传输，则它会被认为是相关数据流。

在 IKE 第 1 阶段中，IPsec 对等体对建立的 IKE 安全关联 (SA) 策略进行协商。对等体经过身份验证后，会使用 Internet 安全关联和密钥管理协议 (ISAKMP) 创建安全隧道。

在 IKE 第 2 阶段中，IPsec 对等体使用经身份验证的安全隧道对 IPsec SA 转换进行协商。共享策略的协商决定建立 IPsec 隧道的方式。

根据 IPsec 转换集中配置的 IPsec 参数，将在 IPsec 对等体之间创建 IPsec 隧道并传输数据。

如果删除了 IPsec SA，或者 IPsec SA 的生存时间到期，则 IPsec 隧道将终止。

注意：如果两个IKE阶段上的SA在对等体上不匹配，则两个PIX之间的IPsec协商失败。

配置

下面的过程将指导您完成其中一个 PIX 防火墙的配置，以便在存在相关流量时触发隧道。此配置还可帮助您在 PIX-01 与 PIX-02 之间没有通过路由器 1 (R1) 的连接时，建立通过备份链路的隧道，该备份链路通过路由器 2 (R2)。本文档说明如何使用 PDM 来配置 PIX-01。您可以按照类似方法来配置 PIX-02。

本文档假设您已配置路由。

若要一次只接通一条链路，需要让 R2 为 192.168.1.0 网络和 172.30.0.0 网络通告一个更差度量。例如，如果您使用 RIP 进行路由，则除了其他网络通告外，R2 还具有下面的配置：

R2(config)#router rip
R2(config-router)#offset-list 1 out 2 s1 
R2(config-router)#offset-list 2 out 2 e0
R2(config-router)#exit 
R2(config)#access-list 1 permit 172.30.0.0 0.0.255.255
R2(config)#access-list 2 permit 192.168.1.0 0.0.0.255

配置过程

在首次键入 https://<Inside_IP_Address_on_PIX> 以启动 PDM 并单击 VPN 选项卡时，会显示有关自动 VPN 向导的信息。

选择 Wizards > VPN Wizard。
VPN 向导启动，并提示您选择要配置的 VPN 的类型。选择 Site-to-Site VPN，然后选择 outside 接口以作为将启用 VPN 的接口，然后单击 Next。
输入对等体 IP 地址，IPsec 隧道应在此地址终止。在本示例中，隧道在PIX-02的外部接口上结束。单击Next。
输入您选择使用的 IKE Policy 参数，然后单击 Next。
为 Transform Set 提供 Encryption 和 Authentication 参数，然后单击 Next。
为了选择需要保护的相关流量，请选择需要使用 IPsec 保护的本地网络和远程网络。