ASA remote ××× 實戰

拓撲以下圖：

 

 

配置步驟以下：

一、首先創建一個地址池，遠程訪問客戶端須要在登陸期間分配一個IP地址，因此咱們還須要爲這些客戶端創建一個DHCP地址池。
 
  ip local pool ***-pool 10.10.99.10-10.10.99.250

二、創建IKE第一階段。
 
  crypto isakmp policy 30   
  authentication pre-share

 

  encryption des
  hash md5
  group 2
  lifetime 43200
 
三、將IKE第一階段應用在outside接口上面。
 
  crypto isakmp enable outside-CTC
 
四、定義轉換集。

   crypto ipsec transform-set my***set esp-des esp-md5-hmac  \\my***set爲自定義轉換集名字

五、動態加密映射配置。

   crypto dynamic-map my***-dynamic-map 30 set transform-set my***set  \\my***-dynamic-map 爲自定義map名
   crypto dynamic-map my***-dynamic-map 30 set reverse-route
   crypto dynamic-map my***-dynamic-map 30 set security-association lifetime seconds 288000         
 
六、在靜態加密映射中調用動態加密映射並應用在接口上面。
 
   crypto map kb***_map 10 ipsec-isakmp dynamic my***-dynamic-map  \\kb***_map 自定義靜態map名
   crypto map kb***_map interface outside-CTC  

七、nat穿越。
  
   crypto isakmp nat-traversal

八、建立與設置組策略。

   group-policy kb*** internal             \\kb*** 策略組名
   group-policy kb*** attributes
   dns-server value 202.96.209.6            \\設置client的DNS
   default-domain value cisco.com           \\設置client的域名                                                                                                ***-idle-timeout 300
 ***-filter value kbox-nonat
 ipsec-udp enable
 client-firewall none
 client-access-rule none

九、隧道組的創建及設置屬性。

   tunnel-group kb*** type ipsec-ra
   tunnel-group kb*** ipsec-attributes 
      pre-shared-key 123456                 \\隧道組的密碼
   tunnel-group kb*** general-attributes
      authentication-server-group  LOCAL
      default-group-policy kb***
      address-pool ***-pool
 
十、配置用戶帳戶。

    username test password 123456   \\用戶名、密碼
    username test attributes
    ***-group-policy kb***

十一、配置NAT免除。(nat 0 配置之後，client網段才能訪問內部須要開通的網段)

    access-list ***nonat extended permit ip 10.10.17.0 255.255.255.0 10.10.99.0 255.255.255.0   \\容許client訪問10.10.17.0 網段
access-list kbox-nonat extended permit ip any 10.10.0.0 255.255.0.0 

    nat (inside) 0 access-list ***nonat

十二、隧道分離配置。(若是不配置隧道分離，客戶端將不可以訪問Internet)

   access-list split-tunnel-acl extended permit ip 10.10.1.0 255.255.0.0 any
   access-list split-tunnel-acl extended permit ip 192.168.0.0 255.255.0.0 any
   group-policy ***client attributes
   split-tunnel-policy tunnelspecified
   split-tunnel-network-list value split-tunnel-acl

保存完畢。

如下爲客戶端設置