CISCO路由器IPSEC快速配置

IPsec是一套协议，为IP层的Internet通信提供安全性。IPsec的最常见用途是在两个位置（网关到网关）之间或远程用户与企业网络（主机到网关）之间提供虚拟专用网络(VPN)。

IKE模式（第1阶段）

主模式

当发起方向响应方发送建议或建议时，IKE会话开始。节点之间的首次交换建立了基本的安全策略；发起方提出了要使用的加密和身份验证算法。响应方选择适当的建议（我们假设已选择建议）并将其发送给发起方。下一次交换会传递Diffie-Hellman公钥和其他数据。所有进一步协商都在IKE SA内加密。第三个交换对ISAKMP会话进行身份验证。建立IKE SA后，IPSec协商（快速模式）开始。

积极模式(野蛮模式)

主动模式将IKE SA协商压缩为三个数据包，发起方传递SA所需的所有数据。响应方发送建议、密钥材料和ID，并验证下一个数据包中的会话。发起方回复并验证会话。协商更快，且发起方和响应方ID以明文方式传递。

IPsec模式（第2阶段）

快速模式

IPSec协商或快速模式类似于主动模式IKE协商，除协商外，必须在IKE SA内进行保护。快速模式会协商数据加密的SA并管理该IPSec SA的密钥交换。

拓扑说明： R1和R3分别作为网关通过ISP 互通，各自内网要求通过IPSEC VPN互通

ISP配置

hostname isp

interface GigabitEthernet0/0

ip address 12.0.0.2 255.255.255.0

interface GigabitEthernet0/1

ip address 23.0.0.2 255.255.255.0

R1配置

hostname r1

interface Loopback0

ip address 192.168.1.1 255.255.255.255

//配置lo0模拟内网网段

interface GigabitEthernet0/0

ip address 12.0.0.1 255.255.255.0

ip route 0.0.0.0 0.0.0.0 12.0.0.2

access-list 100 permit ip host 192.168.1.1 host 172.16.1.1

//配置感兴趣流

crypto isakmp policy 10

encr 3des

authentication pre-share

group 2

//配置IKE的策略加密方式认证方式DH算法

crypto isakmp key 0 cisco address 23.0.0.3

//配置与共享密钥

crypto ipsec transform-set AA esp-3des esp-md5-hmac

//配置IPSEC转换集加密验证方式传输模式

crypto map aa 10 ipsec-isakmp

set peer 23.0.0.3

set transform-set AA

match address 100

//创建加密MAP，绑定IPSEC IKE，配置对等体，感兴趣流，转换集

interface GigabitEthernet0/0

crypto map aa

//接口应用IPSEC MAP

R3配置

hostname r3

interface Loopback0

ip address 172.16.1.1 255.255.255.255

interface GigabitEthernet0/0

ip address 23.0.0.3 255.255.255.0

ip route 0.0.0.0 0.0.0.0 23.0.0.2

access-list 100 permit ip host 172.16.1.1 host 192.168.1.1

crypto isakmp policy 10

encr 3des

authentication pre-share

group 2

crypto isakmp key 0 cisco address 12.0.0.1

crypto ipsec transform-set AA esp-3des esp-md5-hmac

crypto map aa 10 ipsec-isakmp

set peer 12.0.0.1

set transform-set AA

match address 100

conf t

interface GigabitEthernet0/0

crypto map aa

配置完成后检查两端配置

内网带源Ping测正常

查看IKE sa 和IPSEC sa

配置排错主要检查：

1 双方外网接口路由是否可达

2 双方是否具有匹配的SA

3 双发是否正确配置PSK