IPsec VPN配置
環境：接口地址都已經配置完，路由也配置了，雙方可以互相通信了
密鑰認證的算法2種：md5和sha1
加密算法2種： des和3des
IPsec傳輸模式3種：
AH驗證參數:ah-md5-hmac(md5驗證)、ah-sha-hmac(sha1驗證)
ESP加密參數：esp-des(des加密)、esp-3des(3des加密)、esp-null（不對數據進行加密）
ESP驗證參數：esp-md5-hma(md5驗證)、esp-sha-hmac(采用sha1驗證)
1 啟用IKE協商
routerA(config）#crypto isakmp policy 1 建立IKE協商策略（1是策略編號1-1000，號
越小，優先級越高
routerA(config-isakmap)#hash md5 密鑰認證的算法
routerA(config-isakmap)#authentication pre-share 告訴路由使用預先共享的密鑰
routerA(config)#crypto isakmp key 123456 address 20.20.20.22 (123456是設置的共享密
20.20.20.22是對端的IP地
址）。
routerB(config)#crypto isakmp policy 1
routerB(config-isakmap)#hash md5
routerB(config-isakmap)#authentication pre-share
routerB(config)#crypto isakmp key 123456 address 20.20.20.21 (路由B和A的配置除了這里
的對端IP地址變成了20.20.20.21，其他都要一樣的）。
2 配置IPSec相關參數
routerA(cnfog)#crypto ipsec transform-set test ah-md5-hamc esp-des (test傳輸模式的名
稱。ah-md5-hamc esp-des表示傳輸模式中采用的驗證和加
密參數 ）。
routerA(config)#acess-list 101 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
（定義哪些地址的報文加密或是不加密）
routerB(config)#crypto ipsec transform-set test ah-md5-hamc esp-des
routerB(config)#acess-list 101 permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255
（路由器B和A的配置除了這里的源和目的IP地址變了，其他都一樣）
3 設置crypto map （目的把IKE的協商信息和IPSec的參數，整合到一起，起一個名字）
routerA(config)#crypto map testmap 1 ipsec-isakmp (testmap:給crypto map起的名字。
1：優先級。ipsec-isakmp:表示此IPSec鏈接采用IKE自動協商）
routerA(config-crypto-map)#set peer 20.20.20.22 (指定此VPN鏈路，對端的IP地址）。
routerA(config-crypto-map)#set transform-set test (IPSec傳輸模式的名字）
routerA(config-crypto-map)#match address 101 (上面定義的ACL列表號）
routerA(config)#crypto map testmap 1 ipsec-isakmp
routerA(config-crypto-map)#set peer 20.20.20.21 （和A路由的配置只有這里的對端IP不一樣）
routerA(config-crypto-map)#set transform-set test
routerA(config-crypto-map)#match address 101
4 把crypto map 的名字應用到端口
routerA(config)#inter s0/0 (進入應用VPN的接口）
routerA(config-if)#crypto map testmap （testmap：crypto map的名字）
B路由和A完全一樣
查看VPN的配置
查看安全聯盟（SA）
Router#show crypto ipsec sa
顯示crypto map 內的所有配置
router#show crypto map
查看優先級
router#show crypto isakmp policy
【編輯推薦】
