在路由器中安全儲存預共用金鑰

下載選項

PDF (353.4 KB)
在多種裝置上使用 Adobe Reader 檢視
ePub (77.6 KB)
在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上的各種應用程式中檢視
Mobi (Kindle) (63.0 KB)
在 Kindle 裝置或多部裝置的 Kindle 應用程式上檢視

已更新: 2025 年 12 月 8 日

文件 ID:46420

無偏見用語

本產品的文件集力求使用無偏見用語。針對本文件集的目的，無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言，或引用第三方產品的語言，因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。

關於此翻譯

思科已使用電腦和人工技術翻譯本文件，讓全世界的使用者能夠以自己的語言理解支援內容。請注意，即使是最佳機器翻譯，也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責，並建議一律查看原始英文文件（提供連結）。

簡介

本文描述如何在路由器中設定當前和新預共用金鑰的加密。

必要條件

需求

本文件沒有特定需求。

採用元件

本檔案中的資訊是根據以下軟體版本：

Cisco IOS XE®軟體版本16.9

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

慣例

請參閱思科技術提示慣例以瞭解更多有關文件慣例的資訊。

背景資訊

Cisco IOS軟體版本12.3(2)T程式碼引進相關功能，允許路由器以非揮發性RAM、非揮發性RAM(NVRAM)中安全型別6格式加密網際網路安全關聯和金鑰管理通訊協定(ISAKMP)預先共用金鑰。要加密的預共用金鑰可以配置為標準、在ISAKMP金鑰環下、在主動模式下或者作為組密碼在Easy Virtual Private Network(EzVPN)伺服器或客戶端設定下。

設定

本節提供可用於設定本檔案中所述功能的資訊。

引入了以下兩個命令以啟用預共用金鑰加密：

key config-key password-encryption [primary key]
密碼加密aes

[主金鑰] 是使用高級加密標準(AES)對稱密碼加密路由器配置中的所有其他金鑰的密碼/金鑰。主鍵不存儲在路由器配置中，且在連線到路由器時無法以任何方式看到或獲取。

配置後，主金鑰用於加密路由器配置中的所有當前金鑰或新金鑰。如果命令行中未指定[主鍵]，則路由器會提示使用者輸入該鍵並重新輸入該鍵以進行驗證。如果金鑰已存在，則會提示使用者先輸入舊金鑰。在您發出password encryption aes指令之前，金鑰不會加密。

可以使用金鑰配置金鑰更改主金鑰（雖然除非金鑰以某種方式受到危害，否則不必更改主金鑰）。..... 再次使用新[primary-key]發出命令。路由器配置中的所有當前加密金鑰均使用新金鑰重新加密。

您可以在發出no key config-key...時刪除主鍵。。但是，這會導致路由器配置中所有當前配置的金鑰都無效（顯示一條警告消息，詳細說明了此消息並確認刪除主金鑰）。由於主金鑰不再存在，路由器無法解密和使用第6類口令。

附註：出於安全原因，刪除主金鑰或刪除password encryption aes 命令都不會解密路由器配置中的密碼。一旦密碼被加密，它們就不會被解密。如果主金鑰未刪除，配置中的當前加密金鑰仍可解密。

此外，若要檢視密碼加密功能的調試型別消息，請在配置模式下使用password logging命令。

組態

本檔案在路由器上使用以下設定：

加密目前的預先共用金鑰
Router#show running-config Building configuration... ! crypto isakmp policy 10 authentication pre-share crypto isakmp key cisco123 address 10.1.1.1 ! <output omitted> ! end Router#configure terminal Enter configuration commands, one per line. End with CNTL/Z. Router(config)#key config-key password-encrypt testkey123 Router(config)#password encryption aes Router(config)#^Z Router# Router#show running-config Building configuration... ! ! password encryption aes ! ! crypto isakmp policy 10 authentication pre-share crypto isakmp key 6 FLgBaJHXdYY_AcHZZMgQ_RhTDJXHUBAAB address 10.1.1.1 ! <output omitted> ! end

加密目前的預先共用金鑰

Router#show running-config 
Building configuration...
!
crypto isakmp policy 10
 authentication pre-share
crypto isakmp key cisco123 address 10.1.1.1
!
<output omitted>
!
end

Router#configure terminal
Enter configuration commands, one per line.  End with CNTL/Z.
Router(config)#key config-key password-encrypt testkey123
Router(config)#password encryption aes
Router(config)#^Z
Router#
Router#show running-config 
Building configuration...
!
!
password encryption aes
!
!
crypto isakmp policy 10
 authentication pre-share
crypto isakmp key 6 FLgBaJHXdYY_AcHZZMgQ_RhTDJXHUBAAB address 10.1.1.1
!
<output omitted>
!
end

以互動方式新增新主鍵
Router(config)#key config-key password-encrypt New key: Confirm key: Router(config)#

以互動方式修改當前主鍵
Router(config)#key config-key password-encrypt Old key: New key: Confirm key: Router(config)# *Jan 7 01:42:12.299: TYPE6_PASS: Master key change heralded, re-encrypting the keys with the new primary key

以互動方式修改當前主鍵

Router(config)#key config-key password-encrypt
 Old key: 
New key: 
Confirm key: 
Router(config)#
*Jan  7 01:42:12.299: TYPE6_PASS: Master key change heralded, re-encrypting the keys with the new primary key

刪除主鍵
Router(config)#no key config-key password-encrypt WARNING: All type 6 encrypted keys will become unusable Continue with primary key deletion ? [yes/no]: yes Router(config)#

驗證

目前沒有適用於此組態的驗證程序。

修訂	發佈日期	意見
4.0	08-Dec-2025	重新認證
1.0	19-Jan-2006	初始版本

在路由器中安全儲存預共用金鑰

下載選項

無偏見用語

關於此翻譯

目錄

簡介

必要條件

需求

採用元件

慣例

背景資訊

設定

組態

驗證

相關資訊

修訂記錄

由思科工程師貢獻

這份文件是否有所幫助？

讓思科協助您

本文件適用於這些產品