目錄

簡介

必要條件

需求

採用元件

慣例

背景資訊

設定

網路圖表

HQ-ASA上的ASDM配置

驗證

疑難排解

疑難排解指令

相關資訊

簡介

本文說明如何使用Internet金鑰交換(IKE)版本2在兩個Cisco Adaptive Security Appliance(ASA)之間配置站點到站點VPN隧道。本文檔介紹了使用自適應安全裝置管理器(ASDM)GUI嚮導配置VPN隧道的步驟。

必要條件

需求

確保Cisco ASA已配置了基本設定。

採用元件

本文中的資訊係根據以下軟體和硬體版本：

- 運行軟體版本8.4及更高版本的Cisco ASA 5500系列自適應安全裝置

- Cisco ASDM軟體6.4版及更高版本

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路正在作用，請確保您已瞭解任何指令可能造成的影響。

慣例

請參閱思科技術提示慣例以瞭解更多有關文件慣例的資訊。

背景資訊

IKEv2是對現有IKEv1協定的增強，包括以下優點：

- IKE對等體之間的消息交換更少

- 單向驗證方法

- 內建對失效對等體檢測(DPD)和NAT遍歷的支援

- 使用可擴展身份驗證協定(EAP)進行身份驗證

- 使用防堵塞cookie消除簡單DoS攻擊的風險

設定

本節提供用於設定本文件中所述功能的資訊。

註：使用Command Lookup Tool(僅限註冊客戶)可獲取本節中使用的命令的詳細資訊。

網路圖表

本檔案會使用以下網路設定：

本文檔顯示HQ-ASA上的站點到站點VPN隧道的配置。在BQ-ASA上，同一事件可以作為映象執行。

HQ-ASA上的ASDM配置

可以使用易於使用的GUI嚮導配置此VPN隧道。

請完成以下步驟：

1. 登入到ASDM，然後轉到Wizards > VPN Wizards > Site-to-site VPN Wizard。

2. 出現站點到站點VPN連線設定視窗。按「Next」（下一步）。

3. 指定對等IP地址和VPN訪問介面。按「Next」（下一步）。

4. 選擇兩個IKE版本，然後按一下下一步。

注意：此處配置了IKE的兩個版本，因為當IKEv2失敗時，啟動器可以從IKEv2備份到IKEv1。

5. 指定本地網路和遠端網路，以便加密這些網路之間的流量並通過VPN隧道。按「Next」（下一步）。

6. 為兩個版本的IKE指定預共用金鑰。

IKE版本1和2之間的主要區別在於它們允許的身份驗證方法。IKEv1在VPN的兩端僅允許一種型別的驗證（即預共用金鑰或憑證）。 但是，IKEv2允許使用單獨的本地和遠端身份驗證CLI配置非對稱身份驗證方法（即發起方的預共用金鑰身份驗證，但響應方的證書身份驗證）。

此外，您可以在兩端使用不同的預共用金鑰。HQ-ASA端的本地預共用金鑰將成為BQ-ASA端的遠端預共用金鑰。同樣，HQ-ASA端的Remote Pre-shared key將變為BQ-ASA端的Local Pre-shared key。

7. 為IKE版本1和2指定加密演算法。此處接受預設值：

8. 按一下Manage...以修改IKE策略。

附註：

- IKEv2中的IKE策略與IKEv1中的ISAKMP策略同義。

- IKEv2中的IPsec建議與IKEv1中的轉換集同義。

9. 當您嘗試修改現有策略時，出現以下消息：

按一下「OK」以繼續。

10. 選擇指定的IKE策略，然後按一下Edit。

11. 您可以修改引數，例如Priority、Encryption、D-H Group、Integrity Hash、PRF Hash和Lifetime值。完成後按一下OK。

IKEv2允許將完整性演算法與偽隨機函式(PRF)演算法分開協商。這可以在IKE策略中配置，當前可用選項為SHA-1或MD5。

不能修改預設定義的IPsec建議引數。按一下IPsec Proposal欄位旁邊的Select以新增新引數。就IPsec提議而言，IKEv1和IKEv2之間的主要區別在於，IKEv1接受加密和身份驗證演算法組合的轉換集。IKEv2單獨接受加密和完整性引數，並最終生成這些引數的所有可能的OR組合。您可以在此嚮導的末尾的「摘要」幻燈片中檢視這些內容。

12. 按「Next」（下一步）。

13. 指定詳細資訊，例如NAT免除、PFS和介面ACL繞過。選擇Next。

14. 配置摘要可在此處檢視：

按一下Finish以完成站點到站點VPN隧道嚮導。使用配置的引數建立新的連線配置檔案。

驗證

使用本節內容，確認您的組態是否正常運作。

輸出直譯器工具(僅供已註冊客戶使用)(OIT)支援某些show命令。使用OIT檢視show命令輸出的分析。

- show crypto ikev2 sa — 顯示IKEv2運行時SA資料庫。

- show vpn-sessiondb detail l2l — 顯示有關站點到站點VPN會話的資訊。

疑難排解

疑難排解指令

輸出直譯器工具(僅供已註冊客戶使用)(OIT)支援某些show命令。使用OIT檢視show命令輸出的分析。

附註：使用 debug 指令之前，請先參閱有關 Debug 指令的重要資訊。

- debug crypto ikev2 — 顯示IKEv2的debug消息。

相關資訊

- Cisco ASA 5500系列裝置技術支援

- 技術支援與文件 - Cisco Systems