IPSec *** 的配置實現

IPSec  ××× 的配置實現

 如圖所示，某軟件開發公司在中小城市創建了分支公司，

分支公司開發項目小組所在網絡地址爲 172.16.10.0/24，
該網絡的主機能夠經過 ××× 訪問總公司開發數據服務器
（10.10.33.0/24）。

根據上述需求，網絡管理員須要在分支公司的網關路由器上配置 ×××。

1．分支公司的網關路由器

路由方面的配置

R1(config)#ip route 0.0.0.0 0.0.0.0 100.0.0.2

配置 ISAKMP 策略

R1(config)#crypto isakmp policy 1

        R1(config-isakmap)#encryption 3des

        R1(config-isakmap)#hash sha

        R1(config-isakmap)#authentication pre-share

        R1(config-isakmap)#group 2

        R1(config)#crypto isakmp key tedu address 200.0.0.1

配置 ACL

R1(config)#access-list 100 permit ip 172.16.10.0 0.0.0.255 10.10.33.0 0.0.0.255

配置 IPSec 策略（轉換集）

R1(config)#crypto ipsec transform-set yf-set ah-sha-hmac esp-des

配置加密映射集

R1(config)#crypto map yf-map 1 ipsec-isakmp

        R1(config-crypto-map)#set peer 200.0.0.1
        R1(config-crypto-map)#set transform-set yf-set

        R1(config-crypto-map)#match address 100

將映射集應用在接口

R1(config)#interface f0/0
        R1(config-if)#crypto map yf-map

2．總公司的網關路由器

路由方面的配置

R2(config)#ip route 0.0.0.0 0.0.0.0 200.0.0.2

IPSec ××× 方面的配置

R2(config)#crypto isakmp policy 1

        R2(config-isakmap)#encryption 3des

        R2(config-isakmap)#hash sha

        R2(config-isakmap)#authentication pre-share

        R2(config-isakmap)#group 2

        R2(config)#crypto isakmp key tedu address 100.0.0.1

        R2(config)#access-list 100 permit ip 10.10.33.0 0.0.0.255 172.16.10.0 0.0.0.255
        R2(config)#crypto ipsec transform-set yf-set ah-sha-hmac esp-des            //加密和認證算法要與分公司匹配

        R2(config)#crypto map yf-map 1 ipsec-isakmp
        R2(config-crypto-map)#set peer 100.0.0.1
        R2(config-crypto-map)#set transform-set yf-set 
        R2(config-crypto-map)#match address 100
        R2(config)#interface f0/0

        R2(config-if)#crypto map yf-map

        R3config)#ip route172.16.10.0  255.255.255.0  100.1.1.1
        R3(config)#ip route10.10.33.0   255.255.255.0   200.1.1.1

測試：

Ping 或訪問 Web 服務。