cisco ipsec vpn配置实例

在公司的南京办事处与上海办事处之间建立VPN联接。南京办事处网络设置：内网IP10.1.1.0/24外网IP202.102.1.5/24上海办事处网络设置：内网IP10.1.2.0/24外网IP202.102.1.6/24南京路由器配置!servicetimestampsdebuguptimeservicetimestampsloguptimenoservicepassword-encryption!hostnamenanjing!enablecisco!!!------以下配置加密--------cryptoisakmppolicy1生成iskamppolicynumber1encryptiondes选择用DESencryption也可用3DES指定三倍DES加密hashsha指定使用的散列算法，也可以是md5(二端保持一致)authenticationpre-sharegroup1指定为Diffie-Hellman组,1表示768位,2表示1024位lifetime14400指定安全关联的有效期，不设就为默认值------以下配置密钥方法-----cryptoisakmpidentityaddress指定与远程路由器通信时使用isakmp标识cryptoisakmpkey654321address202.102.1.6对远程路由器端口202.102.1.6使用密钥654321cryptoisakmpkey654321address192.168.1.2对远程路由器隧道端口192.168.1.2使用密钥654321!------以下定义一个转换集-----cryptoipsectransform-settset1ah-md5-hmacesp-desesp-md5-hmac可以定义一个或多个集!!-------以下建立加密图------cryptomapcmap1local-addressserial0定义加密图cmap1并指定s0为本地地址cryptomapcmap11ipsec-isakmp用序号1设置加密图setpeer202.102.1.6设定目标地址setpeer192.168.1.2settransform-settest1指定转换集matchaddress111指定加密访问列表111中的地址!!process-max-time200!-------以下设置隧道端口------interfaceTunnel0ipaddress192.168.1.1255.255.255.0tunnelsource202.102.1.5tunneldestination202.102.1.6cryptomapcmap!-------以下设置内网口------interfaceEthernet0ipaddress10.1.1.1255.255.255.0!-------以下设置外网口------interfaceserial0ipaddress202.102.1.5255.255.255.0noipmroute-cachenofair-queuecryptomapcmap!ipclassless!-------以下建立访问列表111------access-list111permitiphost202.102.1.5host202.102.1.6access-list111permitiphost202.102.1.6host202.102.1.5access-list111permitip10.1.1.00.0.0.255202.102.1.00.0.0.255access-list111permitip10.1.2.00.0.0.255202.102.1.00.0.0.255access-list111permitip10.1.1.00.0.0.25510.1.2.00.0.0.255access-list111permitip10.1.2.00.0.0.25510.1.1.00.0.0.255!linecon0lineaux0linevty04passwordciscologin!end!上海路由器配置!servicetimestampsdebuguptimeservicetimestampsloguptimenoservicepassword-encryption!hostnameshanghai!enablecisco!!!------以下配置加密--------cryptoisakmppolicy1生成iskamppolicynumber1encryptiondes选择用DESencryption也可用3DES指定三倍DES加密hashsha指定使用的散列算法，也可以是md5(二端保持一致)authenticationpre-sharegroup1指定为Diffie-Hellman组,1表示768位,2表示1024位lifetime14400指定安全关联的有效期，不设就为默认值------以下配置密钥方法-----cryptoisakmpidentityaddress指定与远程路由器通信时使用isakmp标识cryptoisakmpkey654321address202.102.1.5对远程路由器端口202.102.1.6使用密钥654321cryptoisakmpkey654321address202.102.1.6对远程路由器端口202.102.1.6使用密钥654321cryptoisakmpkey654321address192.168.1.1对远程路由器隧道端口192.168.1.2使用密钥654321!------以下定义一个转换集-----cryptoipsectransform-settset1ah-md5-hmacesp-desesp-md5-hmac可以定义一个或多个集!!-------以下建立加密图------cryptomapcmap1local-addressserial0定义加密图cmap1并指定s0为本地地址cryptomapcmap11ipsec-isakmp用序号1设置加密图setpeer202.102.1.5设定目标地址setpeer202.102.1.6setpeer192.168.1.1settransform-settest1指定转换集matchaddress111指定加密访问列表111中的地址!!process-max-time200!-------以下设置隧道端口------interfaceTunnel0ipaddress192.168.1.2255.255.255.0tunnelsource202.102.1.6tunneldestination202.102.1.5cryptomapcmap!-------以下设置内网口------interfaceEthernet0ipaddress10.1.2.1255.255.255.0!-------以下设置外网口------interfaceserial0ipaddress202.102.1.6255.255.255.0noipmroute-cachenofair-queuecryptomapcmap!ipclassless!-------以下建立访问列表111------access-list111permitiphost202.102.1.5host202.102.1.6access-list111permitiphost202.102.1.6host202.102.1.5access-list111permitip10.1.1.00.0.0.255202.102.1.00.0.0.255access-list111permitip10.1.2.00.0.0.255202.102.1.00.0.0.255access-list111permitip10.1.1.00.0.0.25510.1.2.00.0.0.255access-list111permitip10.1.2.00.0.0.25510.1.1.00.0.0.255!linecon0lineaux0linevty04passwordciscologin!end