目錄

簡介

必要條件

需求

採用元件

慣例

設定

網路圖表

組態

驗證

Cisco VPN 2611

Cisco VPN 3640

驗證加密對映序列號

疑難排解

疑難排解指令

相關資訊

簡介

本文檔演示如何在兩台Cisco路由器和Cisco VPN客戶端4.x之間配置IPsec。Cisco IOS®軟體版本12.2(8)T和更新版本支援來自Cisco VPN Client 3.x及更新版本的連線。

請參閱設定IPsec路由器動態LAN到LAN對等路由器和VPN客戶端，以瞭解更多有關L2L通道的一端由另一端動態分配IP地址的情況的資訊。

必要條件

需求

嘗試此組態之前，請確保符合以下要求：

- 要分配給IPsec的地址池

- 一個名為3000clients的組，其預共用金鑰為cisco123，用於VPN客戶端

- 組和使用者身份驗證在路由器上本地完成，用於VPN客戶端。

- 在LAN到LAN隧道的ISAKMP key命令上使用no-xauth引數。

採用元件

本文件中的資訊是以下列軟體和硬體版本為依據.

- 執行Cisco IOS軟體版本12.2(8)T的路由器。

注意：最近已使用思科IOS軟體版本12.3(1)對本文檔進行了測試。 不需要更改。

- Cisco VPN Client for Windows Version 4.x（任何VPN Client 3.x及更高版本均工作）。

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路正在作用，請確保您已瞭解任何指令可能造成的影響。

以下輸出顯示了路由器上show version命令的輸出。

vpn2611#show version

Cisco Internetwork Operating System Software

IOS (tm) C2600 Software (C2600-JK9O3S-M), Version 12.2(8)T,

RELEASE SOFTWARE (fc2)

TAC Support: http://www.cisco.com/tac

Copyright (c) 1986-2002 by cisco Systems, Inc.

Compiled Thu 14-Feb-02 16:50 by ccai

Image text-base: 0x80008070, data-base: 0x81816184

ROM: System Bootstrap, Version 11.3(2)XA4, RELEASE SOFTWARE (fc1)

vpn2611 uptime is 1 hour, 15 minutes

System returned to ROM by reload

System image file is "flash:c2600-jk9o3s-mz.122-8.T"

cisco 2611 (MPC860) processor (revision 0x203)

with 61440K/4096K bytes of memory.

Processor board ID JAD04370EEG (2285146560)

M860 processor: part number 0, mask 49

Bridging software.

X.25 software, Version 3.0.0.

SuperLAT software (copyright 1990 by Meridian Technology Corp).

TN3270 Emulation software.

2 Ethernet/IEEE 802.3 interface(s)

1 Serial network interface(s)

32K bytes of non-volatile configuration memory.

16384K bytes of processor board System flash (Read/Write)

Configuration register is 0x2102

慣例

請參閱思科技術提示慣例以瞭解更多有關文件慣例的資訊。

設定

本節提供用於設定本檔案中所述功能的資訊。

網路圖表

本文檔使用此網路設定。

注意：本示例中的IP地址在全域性網際網路中不可路由，因為它們是實驗室網路中的私有IP地址。

組態

配置Cisco 2611路由器

思科2611路由器

vpn2611#show run

Building configuration...

Current configuration : 2265 bytes

!

version 12.2

service timestamps debug uptime

service timestamps log uptime

no service password-encryption

!

hostname vpn2611

!

!--- Enable AAA for user authentication !--- and group authorization.

aaa new-model

!

!

!--- In order to enable X-Auth for user authentication, !--- enable the aaa authentication commands.

aaa authentication login userauthen local

!--- In order to enable group authorization, enable !--- the aaa authorization commands.

aaa authorization network groupauthor local

aaa session-id common

!

!--- For local authentication of the IPSec user, !--- create the user with a password.

username cisco password 0 cisco

ip subnet-zero

!

!

!

ip audit notify log

ip audit po max-events 100

!

!--- Create an Internet Security Association and !--- Key Management Protocol (ISAKMP) !--- policy for Phase 1 negotiations for the VPN 3.x Clients.

crypto isakmp policy 3

encr 3des

authentication pre-share

group 2

!

!--- Create an ISAKMP policy for Phase 1 !--- negotiations for the LAN-to-LAN tunnels.

crypto isakmp policy 10

hash md5

authentication pre-share

!--- Specify the PreShared key for the LAN-to-LAN tunnel. !--- Make sure that you use the !--- no-xauth parameter with your ISAKMP key.

crypto isakmp key cisco123 address 172.18.124.199 no-xauth

!

!--- Create a group that is used to !--- specify the WINS, DNS servers' address !--- to the client, along with the pre-shared !--- key for authentication.

crypto isakmp client configuration group 3000client

key cisco123

dns 10.10.10.10

wins 10.10.10.20

domain cisco.com

pool ippool

!

!

!--- Create the Phase 2 Policy for actual data encryption.

crypto ipsec transform-set myset esp-3des esp-md5-hmac

!

!--- Create a dynamic map and apply !--- the transform set that was created earlier.

crypto dynamic-map dynmap 10

set transform-set myset

!

!

!--- Create the actual crypto map, and !--- apply the AAA lists that were created !--- earlier. Also create a new instance for your !--- LAN-to-LAN tunnel. Specify the peer IP address, !--- transform set, and an Access Control List (ACL) for this !--- instance.

crypto map clientmap client authentication list userauthen

crypto map clientmap isakmp authorization list groupauthor

crypto map clientmap client configuration address respond

crypto map clientmap 1 ipsec-isakmp

set peer 172.18.124.199

set transform-set myset

match address 100

crypto map clientmap 10 ipsec-isakmp dynamic dynmap

!

!

fax interface-type fax-mail

mta receive maximum-recipients 0

!

!

!--- Apply the crypto map on the outside interface.

interface Ethernet0/0

ip address 172.18.124.159 255.255.255.0

half-duplex

crypto map clientmap

!

interface Serial0/0

no ip address

shutdown

!

interface Ethernet0/1

ip address 10.10.10.1 255.255.255.0

no keepalive

half-duplex

!

!

!--- Create a pool of addresses to be !--- assigned to the VPN Clients.

ip local pool ippool 14.1.1.100 14.1.1.200

ip classless

ip route 0.0.0.0 0.0.0.0 172.18.124.1

ip http server

ip pim bidir-enable

!

!

!--- Create an ACL for the traffic !--- to be encrypted. In this example, !--- the traffic from 10.10.10.0/24 to 10.10.20.0/24 !--- is encrypted.

access-list 100 permit ip 10.10.10.0 0.0.0.255 10.10.20.0 0.0.0.255

!

!

snmp-server community foobar RO

call rsvp-sync

!

!

mgcp profile default

!

dial-peer cor custom

!

!

line con 0

exec-timeout 0 0

line aux 0

line vty 0 4

!

!

end

配置3640路由器

思科3640路由器

vpn3640#show run

Building configuration...

Current configuration : 1287 bytes

!

! Last configuration change at 13:47:37 UTC Wed Mar 6 2002

!

version 12.2

service timestamps debug uptime

service timestamps log uptime

no service password-encryption

!

hostname vpn3640

!

!

ip subnet-zero

ip cef

!

!--- Create an ISAKMP policy for Phase 1 !--- negotiations for the LAN-to-LAN tunnels.

crypto isakmp policy 10

hash md5

authentication pre-share

!--- Specify the PreShared key for the LAN-to-LAN !--- tunnel. You do not have to add the !--- X-Auth parameter, as this !--- router does not do Cisco Unity Client IPsec !--- authentication.

crypto isakmp key cisco123 address 172.18.124.159

!

!

!--- Create the Phase 2 Policy for actual data encryption.

crypto ipsec transform-set myset esp-3des esp-md5-hmac

!

!--- Create the actual crypto map. Specify !--- the peer IP address, transform !--- set, and an ACL for this instance.

crypto map mymap 10 ipsec-isakmp

set peer 172.18.124.159

set transform-set myset

match address 100

!

call RSVP-sync

!

!

!

!--- Apply the crypto map on the outside interface.

interface Ethernet0/0

ip address 172.18.124.199 255.255.255.0

half-duplex

crypto map mymap

!

interface Ethernet0/1

ip address 10.10.20.1 255.255.255.0

half-duplex

!

ip classless

ip route 0.0.0.0 0.0.0.0 172.18.124.1

ip http server

ip pim bidir-enable

!

!--- Create an ACL for the traffic to !--- be encrypted. In this example, !--- the traffic from 10.10.20.0/24 to 10.10.10.0/24 !--- is encrypted.

access-list 100 permit ip 10.10.20.0 0.0.0.255 10.10.10.0 0.0.0.255

snmp-server community foobar RO

!

dial-peer cor custom

!

!

line con 0

exec-timeout 0 0

line aux 0

line vty 0 4

login

!

end

配置VPN客戶端4.x

按照以下步驟配置Cisco VPN客戶端4.x。

1. 啟動VPN客戶端，然後按一下New以建立新連線。

2. 輸入必要資訊，完成後按一下Save。

3. 按一下右鍵新建立的連線條目，然後按一下Connect以連線到路由器。

4. 在IPsec協商期間，系統會提示您輸入使用者名稱和密碼。

5. 該視窗顯示消息，分別顯示為「協商安全配置檔案」和「您的連結現在已安全」。

驗證

本節提供的資訊可協助您確認組態是否正常運作。

輸出直譯器工具(僅供註冊客戶使用)支援某些show命令，此工具可讓您檢視show命令輸出的分析。

Cisco VPN 2611

vpn2611#show crypto isakmp sa

dst src state conn-id slot

172.18.124.159 172.18.124.199 QM_IDLE 5 0

!--- For the LAN-to-LAN tunnel peer.

172.18.124.159 64.102.55.142 QM_IDLE 6 0

!--- For the Cisco Unity Client tunnel peer.

vpn2611#show crypto ipsec sa

interface: Ethernet0/0

Crypto map tag: clientmap, local addr. 172.18.124.159

protected vrf:

local ident (addr/mask/prot/port): (10.10.10.0/255.255.255.0/0/0)

remote ident (addr/mask/prot/port): (10.10.20.0/255.255.255.0/0/0)

current_peer: 172.18.124.199:500

!--- For the LAN-to-LAN tunnel peer.

PERMIT, flags={origin_is_acl,}

#pkts encaps: 4, #pkts encrypt: 4, #pkts digest 4

#pkts decaps: 4, #pkts decrypt: 4, #pkts verify 4

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. failed: 0, #pkts decompress

failed: 0

#send errors 0, #recv errors 0

local crypto endpt.: 172.18.124.159, remote crypto endpt.:

172.18.124.199

path mtu 1500, media mtu 1500

current outbound spi: 892741BC

inbound esp sas:

spi: 0x7B7B2015(2071666709)

transform: esp-3des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2000, flow_id: 1, crypto map: clientmap

sa timing: remaining key lifetime (k/sec): (4607999/1182)

IV size: 8 bytes

replay detection support: Y

inbound ah sas:

inbound pcp sas:

outbound ESP sas:

spi: 0x892741BC(2301051324)

transform: esp-3des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2001, flow_id: 2, crypto map: clientmap

sa timing: remaining key lifetime (k/sec): (4607999/1182)

IV size: 8 bytes

replay detection support: Y

outbound ah sas:

outbound PCP sas:

protected vrf:

local ident (addr/mask/prot/port): (172.18.124.159/255.255.255.255/0/0)

remote ident (addr/mask/prot/port): (14.1.1.106/255.255.255.255/0/0)

current_peer: 64.102.55.142:500

!--- For the Cisco Unity Client tunnel peer.

PERMIT, flags={}

#pkts encaps: 0, #pkts encrypt: 0, #pkts digest 0

#pkts decaps: 0, #pkts decrypt: 0, #pkts verify 0

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. Failed: 0, #pkts decompress

failed: 0

#send errors 0, #recv errors 0

local crypto endpt.: 172.18.124.159, remote crypto endpt.:

64.102.55.142

path mtu 1500, media mtu 1500

current outbound spi: 81F39EFA

inbound ESP sas:

spi: 0xC4483102(3293065474)

transform: esp-3des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2002, flow_id: 3, crypto map: clientmap

sa timing: remaining key lifetime (k/sec): (4608000/3484)

IV size: 8 bytes

replay detection support: Y

inbound ah sas:

inbound PCP sas:

outbound ESP sas:

spi: 0x81F39EFA(2180226810)

transform: esp-3des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2003, flow_id: 4, crypto map: clientmap

sa timing: remaining key lifetime (k/sec): (4608000/3484)

IV size: 8 bytes

replay detection support: Y

outbound ah sas:

outbound PCP sas:

protected vrf:

local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)

remote ident (addr/mask/prot/port): (14.1.1.106/255.255.255.255/0/0)

current_peer: 64.102.55.142:500

!--- For the Cisco Unity Client tunnel peer.

PERMIT, flags={}

#pkts encaps: 4, #pkts encrypt: 4, #pkts digest 4

#pkts decaps: 20, #pkts decrypt: 20, #pkts verify 20

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. Failed: 0, #pkts decompress

failed: 0

#send errors 0, #recv errors 0

local crypto endpt.: 172.18.124.159, remote crypto endpt.:

64.102.55.142

path mtu 1500, media mtu 1500

current outbound spi: B7F84138

inbound ESP sas:

spi: 0x5209917C(1376358780)

transform: esp-3des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2004, flow_id: 5, crypto map: clientmap

sa timing: remaining key lifetime (k/sec): (4607998/3474)

IV size: 8 bytes

replay detection support: Y

spi: 0xDE6C99C0(3731659200)

transform: esp-3des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2006, flow_id: 7, crypto map: clientmap

sa timing: remaining key lifetime (k/sec): (4607998/3493)

IV size: 8 bytes

replay detection support: Y

inbound ah sas:

inbound PCP sas:

outbound ESP sas:

spi: 0x58886878(1485334648)

transform: esp-3des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2005, flow_id: 6, crypto map: clientmap

sa timing: remaining key lifetime (k/sec): (4608000/3474)

IV size: 8 bytes

replay detection support: Y

spi: 0xB7F84138(3086500152)

transform: esp-3des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2007, flow_id: 8, crypto map: clientmap

sa timing: remaining key lifetime (k/sec): (4607999/3486)

IV size: 8 bytes

replay detection support: Y

outbound ah sas:

outbound PCP sas:

vpn2611#show crypto engine connection active

ID Interface IP-Address State Algorithm Encrypt Decrypt

5 Ethernet0/0 172.18.124.159 set HMAC_MD5+DES_56_CB 0 0

6 Ethernet0/0 172.18.124.159 set HMAC_SHA+3DES_56_C 0 0

2000 Ethernet0/0 172.18.124.159 set HMAC_MD5+3DES_56_C 0 4

2001 Ethernet0/0 172.18.124.159 set HMAC_MD5+3DES_56_C 4 0

2002 Ethernet0/0 172.18.124.159 set HMAC_MD5+3DES_56_C 0 0

2003 Ethernet0/0 172.18.124.159 set HMAC_MD5+3DES_56_C 0 0

2004 Ethernet0/0 172.18.124.159 set HMAC_MD5+3DES_56_C 0 9

2005 Ethernet0/0 172.18.124.159 set HMAC_MD5+3DES_56_C 0 0

2006 Ethernet0/0 172.18.124.159 set HMAC_MD5+3DES_56_C 0 79

2007 Ethernet0/0 172.18.124.159 set HMAC_MD5+3DES_56_C 4 0

vpn2611#

Cisco VPN 3640

vpn3640#show crypto isakmp sa

DST src state conn-id slot

172.18.124.159 172.18.124.199 QM_IDLE 4 0

!--- For the LAN-to-LAN tunnel peer.

vpn3640#show crypto ipsec sa

interface: Ethernet0/0

Crypto map tag: mymap, local addr. 172.18.124.199

protected vrf:

local ident (addr/mask/prot/port): (10.10.20.0/255.255.255.0/0/0)

remote ident (addr/mask/prot/port): (10.10.10.0/255.255.255.0/0/0)

current_peer: 172.18.124.159:500

!--- For the LAN-to-LAN tunnel peer.

PERMIT, flags={origin_is_acl,}

#pkts encaps: 4, #pkts encrypt: 4, #pkts digest 4

#pkts decaps: 4, #pkts decrypt: 4, #pkts verify 4

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. Failed: 0, #pkts decompress failed: 0

#send errors 11, #recv errors 0

local crypto endpt.: 172.18.124.199, remote crypto endpt.: 172.18.124.159

path mtu 1500, media mtu 1500

current outbound spi: 7B7B2015

inbound ESP sas:

spi: 0x892741BC(2301051324)

transform: esp-3des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 940, flow_id: 1, crypto map: mymap

sa timing: remaining key lifetime (k/sec): (4607998/1237)

IV size: 8 bytes

replay detection support: Y

inbound ah sas:

inbound PCP sas:

outbound ESP sas:

spi: 0x7B7B2015(2071666709)

transform: esp-3des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 941, flow_id: 2, crypto map: mymap

sa timing: remaining key lifetime (k/sec): (4607999/1237)

IV size: 8 bytes

replay detection support: Y

outbound ah sas:

outbound PCP sas:

vpn3640# show crypto engine connection active

ID Interface IP-Address State Algorithm Encrypt Decrypt

4

set HMAC_MD5+DES_56_CB 0 0

940 Ethernet0/0 172.18.124.199 set HMAC_MD5+3DES_56_C 0 4

941 Ethernet0/0 172.18.124.199 set HMAC_MD5+3DES_56_C 4 0

驗證加密對映序列號

如果靜態對等體和動態對等體配置在同一加密對映上，則加密對映條目的順序非常重要。動態加密對映條目的序列號必須高於所有其他靜態加密對映條目。如果靜態條目的編號高於動態條目的編號，則與這些對等體的連線將失敗。

以下是包含靜態專案與動態專案的正確編號密碼編譯對應範例。請注意，動態條目的序列號最高，並且預留空間以新增其他靜態條目：

crypto dynamic-map dynmap 10

set transform-set myset

crypto map clientmap 1 ipsec-isakmp

set peer 172.18.124.199

set transform-set myset

match address 100

crypto map clientmap 10 ipsec-isakmp dynamic dynmap

疑難排解

本節提供的資訊可協助您進行組態疑難排解。

疑難排解指令

輸出直譯器工具(僅供註冊客戶使用)支援某些show命令，此工具可讓您檢視show命令輸出的分析。

註：發出debug命令之前，請先參閱有關Debug命令的重要資訊。

- debug crypto ipsec — 顯示IPsec事件。此命令的no形式禁用調試輸出。

- debug crypto isakmp — 顯示有關IKE事件的消息。此命令的no形式禁用調試輸出。

- debug crypto engine — 顯示與加密引擎相關的資訊，例如Cisco IOS軟體何時執行加密或解密操作。

相關資訊

- IPsec協商/IKE通訊協定支援頁面

- 技術支援與文件 - Cisco Systems