環(huán)境：接口地址都已經(jīng)配置完，路由也配置了，雙方可以互相通信了

　　密鑰認(rèn)證的算法2種：md5和sha1

　　加密算法2種： des和3des

　　IPsec傳輸模式3種：

　　AH驗(yàn)證參數(shù):ah-md5-hmac(md5驗(yàn)證)、ah-sha-hmac(sha1驗(yàn)證)

　　ESP加密參數(shù)：esp-des(des加密)、esp-3des(3des加密)、esp-null(不對數(shù)據(jù)進(jìn)行加密)

　　ESP驗(yàn)證參數(shù)：esp-md5-hma(md5驗(yàn)證)、esp-sha-hmac(采用sha1驗(yàn)證)

　　1 啟用IKE協(xié)商

　　routerA(config)#crypto isakmp policy 1 建立IKE協(xié)商策略(1是策略編號1-1000，號

　　越小，優(yōu)先級越高

　　routerA(config-isakmap)#hash md5 密鑰認(rèn)證的算法

　　routerA(config-isakmap)#authentication pre-share 告訴路由使用預(yù)先共享的密鑰

　　routerA(config)#crypto isakmp key 123456 address 20.20.20.22 (123456是設(shè)置的共享密

　　20.20.20.22是對端的IP地

　　址)。

　　routerB(config)#crypto isakmp policy 1

　　routerB(config-isakmap)#hash md5

　　routerB(config-isakmap)#authentication pre-share

　　routerB(config)#crypto isakmp key 123456 address 20.20.20.21 (路由B和A的配置除了這里

　　的對端IP地址變成了20.20.20.21，其他都要一樣的)。

　　2 配置IPSec相關(guān)參數(shù)

　　routerA(cnfog)#crypto ipsec transform-set test ah-md5-hamc esp-des (test傳輸模式的名

　　稱。ah-md5-hamc esp-des表示傳輸模式中采用的驗(yàn)證和加

　　密參數(shù) )。

　　routerA(config)#acess-list 101 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255

　　(定義哪些地址的報(bào)文加密或是不加密)

　　routerB(config)#crypto ipsec transform-set test ah-md5-hamc esp-des

　　routerB(config)#acess-list 101 permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255

　　(路由器B和A的配置除了這里的源和目的IP地址變了，其他都一樣)

　　3 設(shè)置crypto map (目的把IKE的協(xié)商信息和IPSec的參數(shù)，整合到一起，起一個(gè)名字)

　　routerA(config)#crypto map testmap 1 ipsec-isakmp (testmap:給crypto map起的名字。

　　1：優(yōu)先級。ipsec-isakmp:表示此IPSec鏈接采用IKE自動協(xié)商)

　　routerA(config-crypto-map)#set peer 20.20.20.22 (指定此VPN鏈路，對端的IP地址)。

　　routerA(config-crypto-map)#set transform-set test (IPSec傳輸模式的名字)

　　routerA(config-crypto-map)#match address 101 (上面定義的ACL列表號)

　　routerA(config)#crypto map testmap 1 ipsec-isakmp

　　routerA(config-crypto-map)#set peer 20.20.20.21 (和A路由的配置只有這里的對端IP不一樣)

　　routerA(config-crypto-map)#set transform-set test

　　routerA(config-crypto-map)#match address 101

　　4 把crypto map 的名字應(yīng)用到端口

　　routerA(config)#inter s0/0 (進(jìn)入應(yīng)用VPN的接口)

　　routerA(config-if)#crypto map testmap (testmap：crypto map的名字)

　　B路由和A完全一樣

　　查看VPN的配置

　　查看安全聯(lián)盟(SA)

　　Router#show crypto ipsec sa

　　顯示crypto map 內(nèi)的所有配置

　　router#show crypto map

　　查看優(yōu)先級

　　router#show crypto isakmp policy

• 上一篇：檢查H3C路由器的安全漏洞經(jīng)驗(yàn)記錄
• 下一篇：VLAN的基本配置命令介紹