考试网 >> IT认证 >> 思科 >> Cisco指导 >> VPN实例配置方案:IPSec配置

发布时间：2006-06-28 03:16     点击：

--------------IPSec配置----------------

IPSec 使用加密、数据完整性、源发鉴别以及拒绝重演分组来保护和认证网络层对等端之间的IP分组

IPSec对于构建内因网、外因网以及远程用户接入VPN来说非常有用处

IPSec支持以下标准

--Internet协议的安全体系结构

--IKE(Internet密钥交换)

--DES(数据加密标准)

--MD5

--SHA

--AH(Authentication Header，认证首部)数据认证和反重演(anti-reply)服务

--ESP(Encapsulation Security Payload，封装安全净荷)数据隐私、数据验证以及反重演(anti-reply)服务

敏感流量由访问列表所定义，并且通过crypto map(保密图)集被应用到接口上。

配置

1、为密钥管理配置IKE

2、（可选）定义SA的全局生命期

(global)crypto ipsec security-association lifetime seconds seconds

(global)crypto ipsec security-association lifetime killobytes kilobytes

3、定义保密访问列表来定义受保护的流量

(global)access-list access-list-number ....

或者

(global)ip access-list extended name

扩展的访问列表必须定义由IPSec保护哪种IP流量。保密图(crypto map)援引这个访问列表来确定在接口上要保护的流量。

4、定义IPSec交换集

(1)创建变换集

(global)crypto ipsec transform-set name [transform1 | transform2 | transform3]

可以在一个保密图(crypto map)中定义多个变换集。如果没有使用IKE，那么只能定义一种变换集。用户能够选择多达三种变换。

（可选）选择一种AH变换

--ah-md5-hmac

--ah-sha-hmac

--ah-rfc-1828

（可选）选择一种ESP加密编号

--esp-des

--esp-3des

--esp-rfc-1829

--esp-null

以及这些验证方法之一

--esp-md5-hmac

--esp-sha-hmac

（可选）选择IP压缩变换

--comp-lzs

发表评论： 匿名发表 用户名: 查看评论

您将承担一切因您的行为、言论而直接或间接导致的民事或刑事法律责任 留言板管理人员有权保留或删除其管辖留言中的任意内容 本站提醒：不要进行人身攻击。谢谢配合。