IPSec ***的配置（思科）

路由器IPSec配置实例

最新推荐文章于 2025-04-12 14:00:00 发布

weixin_34392843

最新推荐文章于 2025-04-12 14:00:00 发布

阅读量161

点赞数

CC 4.0 BY-SA版权

原文链接：http://blog.51cto.com/13562306/2068214

本文详细介绍了路由器R1、R2及R3的IPSec配置步骤，包括IP地址配置、ISAKMP策略设置、静态路由配置、访问控制列表定义、IPSec策略配置以及加密映射集的应用等内容。

IPSec ***的配置（思科）
路由器R1的配置：
1.配置ip地址
f0/1 172.16.10.254 255.255.255.0
f0/0 100.0.0.1 255.255.255.252

2.配置ISAKMP策略
R1(config)#crypto isakmp policy 1 // 配置密码ISAKMP策略1

R1(config-isakmap)#encryption 3des //使用加密方式为3DES加密（定义保密级别）

R1(config-isakmap)#hash sha //指定加密算法为sha（MD5执行速度较快，但其安全性相对SHA稍差一点）

R1(config-isakmap)#authentication pre-share //采用共享秘钥的方式

R1(config-isakmap)#group 2 //指定DH算法的密钥长度为组2（DH组1的有效密钥长度为768，DH组2的有效密钥长度为1 024， DH组 5 的有效密钥长度为1 536 密）

R1(config)#crypto isakmp key tedu address 200.0.0.1 //配置预共享密钥的密钥为：tedu，远程对等体的IP地址为200.0.0.1(（需要加密的外网地址）

3.配置静态路由
R1(config)#ip route 0.0.0.0 0.0.0.0 100.0.0.2 //默认路由下一跳为100.0.0.2

4.配置ACL
R1(config)#access-list 100 permit ip 172.16.10.0 0.0.0.255 10.10.33.0 0.0.0.255
配 //访问列表100允许IP172.16.10.0网段访问10.10.33.0网段，通配符都为0.0.0.255（匹配前24位）

5.配置IPSec策略（转换集）
R1(config)#crypto ipsec transform-set yf-set ah-sha-hmac esp-des // transform-set: 转换集// cisco：转换集的名称// esp-des：用ESP做封装，用des做加密// esp-sha-hmac：用ESP封装，用sha做哈希

6.配置加密映射集
R1(config)#crypto map yf-map 1 ipsec-isakmp //对第二阶段的策略做汇总,定义了一个加密图,配置个map id,根据MAP ID来执行任务将多个策略汇总到一个MAP中，然后在端口中调用

R1(config-crypto-map)#set peer 200.0.0.1 //配置对等体的要加密的地址
R1(config-crypto-map)#set transform-set yf-set //调用yf-set
R1(config-crypto-map)#match address 100 //调用ACL 100

7.将映射集应用在接口
R1(config)#interface f0/0
R1(config-if)#crypto map yf-map // 将端口映射在外网端口(在外网端口调用）

路由器R2配置：
1.配置ip地址
f0/0 100.0.0.2 255.255.255.252
f0/1 200.0.0.2 255.255.255.252

2.配置静态路由
R2(config)#ip route 172.16.10.0 255.255.255.0 100.0.0.1
R2(config)#ip route 10.10.33.0 255.255.255.0 200.0.0.1

路由器R3配置
1.配置ip地址
f0/0 200.0.0.1 255.255.255.252
f0/1 10.10.33.254 255.255.255.0

2.配置默认路由
R3(config)#ip route 0.0.0.0 0.0.0.0 200.0.0.2

3.IPSec ×××的配置
R3(config)#crypto isakmp policy 1
R3(config-isakmap)#encryption 3des
R3(config-isakmap)#hash sha
R3(config-isakmap)#authentication pre-share
R3(config-isakmap)#group 2
R3(config)#crypto isakmp key tedu address 100.0.0.1
R3(config)#access-list 100 permit ip 10.10.33.0 0.0.0.255 172.16.10.0 0.0.0.255 R3(config)#crypto ipsec transform-set yf-set esp-des ah-sha-hmac
R3(config)#crypto map yf-map 1 ipsec-isakmp
R3(config-crypto-map)#set peer 100.0.0.1
R3(config-crypto-map)#set transform-set yf-set
R3(config-crypto-map)#match address 100
R3(config)#interface f0/0 R2(config-if)#crypto map yf-map

验证
IPSec ***的配置（思科）