ipsec如何配置 - ipsec如何配置

　　RemoteVPN--easyVPN---remote access 使用这种方法 实现两个主要目的：

　　1、简单的client配置，easy VPN remote

　　2、中心的server，动态的推送配置到client，easy VPN server 所以client很easy，server端的配置一点都不easy

　　远程连接有哪些困难需要克服：

　　1、IPsec的客户端使用server端未知的IP地址来连接网关，这样就不可能在两端定义一个预共享密钥。

　　2、IPsec的客户端通常希望用私网IP进入专用网络，而不是公网IP

　　3、IPsec的客户端必须使用DNS服务器、DHCP服务器和其他一些在专用网络上作为信息主要来源的服务器，而不是使用ISP的服务器。

　　4、IPsec客户端常在PAT设备之后进行连接，但由于ESP要加密TCP或UDP头中的信息，端口自然也加密了，PAT将不能正常工作。

　　为解决以上难题，设计了IKE协商的1.5阶段。 IKE的1.5阶段由两部分组成-- 1、x-auth扩展认证 2、模式配置

　　在远程IPsec连接中，通常使用IKE主动模式。只有三条消息交换。 扩展认证--允许认证IPsec客户端的使用者，被IPsec网关认证。

　　可以先让所有的客户都使用同一个预共享密钥连接到IPsec网关，然后再使用扩展认证来确定用户的身份，等于要进行两次认证。这样就解决了第一个问题（IPsec两端无法定义预共享密钥的难题）。

　　扩展认证是基于每一个用户的，一般靠IPsec网关与AAA服务器结合来实现。 扩展认证在IKE第一阶段完成后进行，扩展认证总共有四个消息的交换。 消息一：IPsec网关发向客户端，询问用户名和密码 消息二：客户端发向IPsec网关，回应用户名和密码 消息三：IPsec验证完毕后，通知客户端成功或失败 消息四：如果收到成功的消息，客户端返回一个确认 模式配置：

　　允许IPsec网关为客户端推送一个内部的IP地址和DNS服务器等信息。这样客户端就可以用这个内部的IP地址进入专用网络。 NAT-T也叫NAT透明

　　用于解决在发生PAT的情况下进行正确的地址转换 解决方法--将ESP分组再封装进一个UDP头中。

　　VPN 3005以上的设备都可以做server

　　1700、1800可以做client，实际上不光可以用硬件来做client，软件也可以做，在移动办公中就是软件做

　　1800以上都可以做server

　　remote-VPN配置

　　server端配置

　　aaa new-model //启用AAA

　　aaa authentication login REMOTE local aaa authorization network REMOTE local

　　username wolf password 0 cisco //建立本地数据库 cryptoisakmp policy 10 hash md5

　　authentication pre-share group 2

　　encryption des

　　crypto isakmp client configuration group IPSEC-GROUP 组名，设不同组的目地是为内部不同的部门分配不同的IP

　　key xiangweixing组密码组名和组密码是一对，需要用户端也是一样的配置 pool IP-POOL

　　cryptoipsec transform-set MYSET esp-des esp-md5-hmac crypto dynamic-map MYMAP 10 set transform-set MYSET

　　reverse-route 反向路由注入

　　crypto map CISCO client authentication list REMOTE 启用XAUTH crypto map CISCO isakmp authorization list REMOTE

　　crypto map CISCO client configuration address respond 地址推送方式（分强制推送和请求推送）

　　crypto map CISCO 10 ipsec-isakmp dynamic MYMAP interface s1/0 crypto map CISCO

　　ip local pool IP-POOL 172.16.1.20 172.16.1.50

　　---------------------------------------------------------------- client端配置

　　cryptoipsec client ezvpn EZVPN

　　group IPSEC-GROUP key xiangweixing conn manual

　　peer 202.100.1.1 对端地址 mode client int s1/0

　　cryptoipsec client ezvpn EZVPN outside int e0/0

　　cryptoipsec client ezvpn EZVPN inside ip route 0.0.0.0 0.0.0.0 s1/0

　　R2#crypto ipsec client ezvpn connect R2#crypto ipset client ezvpnxauth 在客户端查看： show crypto session

　　show crypto ipsec client ezvpn 在服务器端查看：

　　show crypto session group show crypto session summary