history007的博客

IPsec经典模式说明

热8已有 326 次阅读 2012-09-14 11:57 标签: 经典

实验环境：
1o0（1.1.1.1/24）-R1-202.101.1.X-R2-202.101.2.X-R3-lo0(3.3.3.3/24)
注：X为设备号
实验过程：
1.配置在R1和R3上配置默认路由
R1:
ip route 202.101.2.0 255.255.255.0 202.101.1.2
ip route 3.3.3.0 255.255.255.0 202.101.1.2--------配置这条路由的原因，是由路由器的对数据包的处理决定的
R3：
ip route 202.101.1.0 255.255.255.0 202.101.2.2
ip route 1.1.1.0 255.255.255.0 202.101.2.2

2.配置IKE的第一阶段
IKE的第一阶段主要目的是对建立IPSec的双方进行认证，确保合法对等体建立IPsec VPN。协商得到的结构就是IKE SA

R1
crypto isakmp policy 10
encr 3des //IKE数据包加密算法使用3DES，默认为DES
hash md5 //IKE数据包完整性的散列算法使用MD5，默认为SHA-1
authentication pre-share //IKE第一阶段5-6个包，认证方式为域共享密钥认证，默认为数字签名认证
group 2 //IKE的第一阶段3-4个包，DH交换使用Group2，默认为Group1
crypto isakmp key cisco address 202.101.2.3 //IKE第一个阶段5-6个包，预共享密钥认证为cisco ，这个key仅仅只用于认证，加密具体数据使用的是3-4个包DH产生的随机密钥

3.配置IKE的第二阶段
第二阶段的主要目的就是根据需要加密的实际流量（感兴趣流），来协商保护流量策略。协商的结果就是IPSec SA

R1
ip access-list extended vpn //抓取感兴趣的实际流量
permit ip 0.0.0.0 255.255.255.0 0.0.0.0 255.255.255.0

crypto ipsec transform-set Trans esp-des esp-md5-hmac //转换数据的具体策略名为Trans，封装使用ESP，加密使用DES，完整性校验为MD5-hmac
!
crypto map vpn 10 ipsec-isakmp // ID“10”仅仅标示一个VPN，一个map可以配置多个ID，一个接口只能运用一个MAP
set peer 202.101.2.3 //设置与哪一个设备建立VPN
set security-association lifetime seconds 1800 //设置IPSec SA的生存周期
set transform-set Trans //设置装换点的数据策略
set pfs group2 //启用PFS，完美向前保密
match ip address vpn //配置感兴趣流，通信点之间的流量

3.调用接口
interface Serial1/2
crypto map vpn

R3的配置基本同R1一样需要注意的是感兴趣流和相关地址的配置

测试结果
R1#ping 3.3.3.3 source 1.1.1.1

Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 3.3.3.3, timeout is 2 seconds:
Packet sent with a source address of 1.1.1.1
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 40/68/112 ms

主要查看命令
show crypto isakmp sa
R1#show crypto isakmp sa
dst             src             state          conn-id slot status
202.101.2.3     202.101.1.1     QM_IDLE              1    0 ACTIVE

show crypto isakmp sa detail
R1#show crypto isakmp sa detail
Codes: C - IKE configuration mode, D - Dead Peer Detection
       K - Keepalives, N - NAT-traversal
       X - IKE Extended Authentication
       psk - Preshared key, rsig - RSA signature
       renc - RSA encryption

C-id Local           Remote          I-VRF Status    Encr Hash Auth DH Lifetime Cap.
1     202.101.1.1     202.101.2.3              ACTIVE    3des md5 psk 2       23:37:21
       Connection-id:Engine-id = 1:1(software)

show crypto ipsec sa
R1#show crypto ipsec sa

interface: Serial1/2
    Crypto map tag: cisco, local addr 202.101.1.1

   protected vrf: (none)
   local ident (addr/mask/prot/port): (1.1.1.0/255.255.255.0/0/0)
   remote ident (addr/mask/prot/port): (3.3.3.0/255.255.255.0/0/0)
   current_peer 202.101.2.3 port 500   // 远端加密点为202.101.2.3 ，ISAMAP的流量为UDP的500端口
     PERMIT, flags={origin_is_acl,}
    #pkts encaps: 9, #pkts encrypt: 9, #pkts digest: 9
    #pkts decaps: 9, #pkts decrypt: 9, #pkts verify: 9
    #pkts compressed: 0, #pkts decompressed: 0
    #pkts not compressed: 0, #pkts compr. failed: 0
    #pkts not decompressed: 0, #pkts decompress failed: 0
    #send errors 1, #recv errors 0

     local crypto endpt.: 202.101.1.1, remote crypto endpt.: 202.101.2.3
     path mtu 1500, ip mtu 1500, ip mtu idb Serial1/2
     current outbound spi: 0x1EE65577(518411639)

     inbound esp sas:
      spi: 0xB1049E66(2969869926)
        transform: esp-des esp-md5-hmac ,
        in use settings ={Tunnel, } //传输使用的模式为Tunnel模式
        conn id: 2002, flow_id: SW:2, crypto map: cisco
        sa timing: remaining key lifetime (k/sec): (4417682/355)
        IV size: 8 bytes
        replay detection support: Y
        Status: ACTIVE

     inbound ah sas:

     inbound pcp sas:

     outbound esp sas:
      spi: 0x1EE65577(518411639)
        transform: esp-des esp-md5-hmac ,
        in use settings ={Tunnel, }   //传输使用的模式为Tunnel模式
        conn id: 2001, flow_id: SW:1, crypto map: cisco
        sa timing: remaining key lifetime (k/sec): (4417682/355)
        IV size: 8 bytes
        replay detection support: Y
        Status: ACTIVE

     outbound ah sas:

     outbound pcp sas:

感谢教主提供的书籍及影像资料
写得比较急好多地方并未考虑周全，希望大家多多提意见

分享举报