EasyVPN的配置与实战案例Word下载.docx
- 文档编号:22307250
- 上传时间:2023-02-03
- 格式:DOCX
- 页数:20
- 大小:2.30MB
EasyVPN的配置与实战案例Word下载.docx
《EasyVPN的配置与实战案例Word下载.docx》由会员分享,可在线阅读,更多相关《EasyVPN的配置与实战案例Word下载.docx(20页珍藏版)》请在冰豆网上搜索。
EasyVPN接入
RouterServer的配置如下。
cryptoisakmppolicy1
encryption3des
authenticationpre-share
group2
cryptoisakmpclientconfigurationaddress-poollocalpool192
iplocalpoolpool192192.168.1.1192.168.1.254
cryptoisakmpclientconfigurationgroupvclient-group
keyvclient-key
domain
poolpool192
cryptoIPsectransform-setvclient-tfsesp-3desesp-sha-hmac
cryptodynamic-maptemplate-map1
settransform-setvclient-tfs
cryptomapvpnmapisakmpauthorizationlistvclient-group
cryptomapvpnmapclientconfigurationaddressrespond
cryptomapvpnmap1IPsec-isakmpdynamictemplate-map
interfaceLoopback0
ipaddress172.16.1.1255.255.255.240
interfaceFastEthernet0
ipaddress10.130.23.246255.255.255.240
cryptomapvpnmap
iproute192.168.1.0255.255.255.0FastEthernet0
showcryisakmpsa
showcryIPsecsa
clearcrysa
clearcryisakmp
debugcryisakmp
debugcryIPsec
4.3
基于SDM的EasyVPN配置实例
EasyVPN的配置大部分工作都在VPNServer上完成,减轻了配置工作。
在Cisco的设备中,比如,1800系列、2800系列和3800路由器系列,可以不使用命令的方式来完成配置。
在这些新系列的设备上可以用SDM(思科路由器和安全设备管理器)软件来配置。
1.CiscoSDM
CiscoSDM是一种直观且基于Web的设备管理工具,用来管理以CiscoIOS®
软件为基础的路由器。
CiscoSDM可通过智能向导简化路由器及安全配置过程,对于客户及Cisco合作伙伴而言,有了这些向导,不必对命令行接口(CLI)有专门的了解,就能快速便捷地部署、配置和监控CiscoSystems路由器。
SDM在设备上默认HTTPS管理IP是10.0.10.1。
所以如果使用默认配置登录的话,一定要保证PC的地址在10.0.10.0网段。
SDM的默认用户名是cisco,密码也是cisco。
SDM程序既可以安装在PC上,也可以安装在路由器上。
安装在PC上能节约路由器的内存并且可以用它来管理其他支持SDM管理的路由器,但是这种模式下不能执行恢复默认的操作。
安装到路由器时,基本安装需要大约4~5MB的Flash空间,CiscoSDMExpress组件需要1.5MB的Flash空间,只用于路由器的初始化配置无须安装。
IE默认禁止网页访问本机资源,需要修改IE的安全设置。
选择IE“工具”菜单,选择“Internet选项”,切换到“高级”选项卡,在“设置”里找到“允许活动内容在我的计算机上运行”,启用该功能;
另外在“隐私”选项卡中取消“打开窗口阻止程序”选项。
SDM下载地址为1.5,如果尚未安装,可以到Sun公司网站下载。
将SDM安装到路由器之后,路由器必须进行以下配置才能支持SDM管理工具。
iphttpserver
//允许HTTP登录
iphttpsserver
//允许HTTPS登录
iphttpauthenticationlocal
//指定本地认证
iphttptimeout-policyidleidle-numberlifelife-numberrequestrequest-number
//修改Web接口超时参数
userusernameprivilege15secret0secret
//必须是Secret,不可以用Password关键字
如果需要Telnet或者Ssh远程登录设备,则增加以下配置命令。
linevty04
//路由器型号不同VTY的数量也不同
loginlocal
transportinputtelnetssh
//允许Telnet和Ssh
如果以上步骤配置正确完整,则在IE中输入http:
//“路由器IP地址”,就可以开始使用SDM了。
如果是第一次登录SDM,则提示修改默认用户名cisco,以及默认密码cisco。
具体启用配置SDM软件的方法,请查阅产品随机手册和思科网站上的相关信息,相关资料。
使用SDM配置VPN的前提是要能保证配置端可以通过HTTPS访问路由器的Web管理界面。
值得庆幸的是SDM如今已经支持中文版本。
2.SDM配置EasyVPN的步骤
下面介绍使用思科安全设备管理器(SDM)将Cisco路由器配置成EasyVPNServer。
一旦思科路由器配置完成后,可以使用思科VPN客户端(CiscoSystemsVPNClient)进行验证。
第1步:
从左侧主操作窗口选择Configure→VPN→EasyVPNServer,然后单击LaunchEasyVPNServerWizard,启动EasyVPN服务器向导,如图14-10所示。
图4-10
LaunchEasyVPNServerWizard
第2步:
在弹出的对话框单击【Yes】按钮,这里提示如果对路由器配置EasyVPNServer需要启用AAA认证。
请单击【Yes】按钮继续进行配置,
如图14-11所示。
如图14-12所示,表示路由器已经成功启用AAA。
单击【OK】按钮,下面可以轻松地配置VPN服务器了。
图14-11
启用AAA提示
图14-12
确认AAA配置完成
第3步:
正式进入EasyVPN配置向导,图14-13所示显示了配置过程需要选择的配置和启动的服务,单击【下一步】按钮。
第4步:
首先要求选择应用EasyVPN的接口,客户端连接终止及身份验证的方法,如图14-14所示。
(点击查看大图)图14-13
EasyVPN配置向导
(点击查看大图)图14-14
启动VPN接口和认证类型
第5步:
单击【下一步】按钮,将配置Internet密钥交换(IKE)的策略,单击【Add】按钮,添加新的策略,如图14-15所示。
(点击查看大图)图14-15
设置IKE属性
配置VPN隧道的选项必须是双方匹配的。
这里是针对“思科VPN客户端”本身自动选择适当的配置。
因此,有必要对客户端电脑配置IKE。
第6步:
单击【下一步】按钮,选择默认转换设置或添加新的转换加密和认证算法,如图14-16所示。
单击【Add】按钮,添加转换算法设置,如图14-17所示。
(点击查看大图)图14-16
选择TransformSet设置
图14-17
添加Transform
第7步:
添加一个新的验证、授权和记账策略,这里选择定义验证的方式为本地配置,如图14-18所示。
(点击查看大图)图14-18
选择本地策略
授权网络访问名单和组策略,这里可以查找或选择一个现有的本地和网络配置清单用做企业的VPN访问授权。
第8步:
选择用户认证数据库,如图14-19所示。
可以在存储用户认证细节上选择一个外部服务器,如一个RADIUS服务器或本地数据库,或者两者同时启用。
第9步:
在如图14-20所示的对话框中,可以对本地数据库添加、编辑、复制或删除用户组策略。
(点击查看大图)图14-19
选择用户认证数据库
(点击查看大图)图14-20
选择对本地数据库的操作
第10步:
添加一个隧道组,配置共享密钥用于认证信息。
创建一个新的地址池或选择一个现有的地址池,用于VPN客户分配IP地址,如图14-21所示。
第11步:
单击【OK】按钮,在图14-22中选择是否继续添加策略。
(点击查看大图)图14-21
添加VPN客户端地址池和共享密钥
(点击查看大图)图14-22
添加地址池后
第12步:
如果不需要配置选项,单击【下一步】按钮。
图14-23显示了之前配置的参数,检验此提示内容是否正确,如果感到满意可以单击【结束】按钮。
第13步:
SDM将上述配置复制到路由器,以更新运行的配置,在图14-24中单击【OK】按钮,完成EasyVPN配置。
(点击查看大图)图14-23
显示配置参数
图14-24
完成EasyVPN配置
完成之后,如果需要修改,可以在主界面编辑和修改。
下面是上述配置后路由器的执行结果。
Buildingconfiguration...Currentconfiguration:
3336bytes
!
version12.4
servicetimestampsdebugdatetimemsec
servicetimestampslogdatetimemsec
noservicepassword-encryption
hostnameRouter
boot-start-marker
boot-end-marker
enablepasswordcisco
aaanew-model
---InordertosetAAAauthenticationatlogin,usetheaaaauthenticationlogin
---commandinglobalconfigurationmode
.
aaaauthenticationlogindefaultlocal
---Here,listname"
sdm_vpn_xauth_ml_1"
isspecifiedfor
---theauthenticationoftheclients.
aaaauthenticationloginsdm_vpn_xauth_ml_1local
aaaauthorizationexecdefaultlocal
aaaauthorizationnetworksdm_vpn_group_ml_1local
aaasession-idcommon
resourcepolicy
ipcef
---TheRSAcertificategeneratesafterthe
---iphttpsecure-servercommandisenabled.
cryptopkitrustpointTP-self-signed-392370502
enrollmentselfsigned
subject-namecn=IOS-Self-Signed-Certificate-392370502
revocation-checknone
rsakeypairTP-self-signed-392370502
cryptopkicertificatechainTP-self-signed-392370502
certificateself-signed01
3082023C308201A5A003020102020101300D06092A864886F70D010104050030
30312E302C06035504031325494F532D53656C662D5369676E65642D43657274
(省略)
quit
---Createsauseraccountwithallprivileges.
usernamesdmsdmprivilege15password0sdmsdm
---Createsanisakmppolicy1withparameterslike
---3desencryption,pre-sharekeyauthentication,andDHgroup2.
cryptoisakmppolicy1
encr3des
authenticationpre-share
group2
cryptoisakmpclientconfigurationgroupvpn
---Definesthepre-sharedkeyassdmsdm.
keysdmsdm
poolSDM_POOL_1
netmask255.255.255.0
---Definestransformsetparameters.
cryptoipsectransform-setESP-3DES-SHAesp-3desesp-sha-hmac
cryptodynamic-mapSDM_DYNMAP_11
settransform-setESP-3DES-SHA
reverse-route
---Specifiesthecryptomapparameters.
cryptomapSDM_CMAP_1clientauthenticationlistsdm_vpn_xauth_ml_1
cryptomapSDM_CMAP_1isakmpauthorizationlistsdm_vpn_group_ml_1
cryptomapSDM_CMAP_1clientconfigurationaddressrespond
cryptomapSDM_CMAP_165535ipsec-isakmpdynamicSDM_DYNMAP_1
interfaceEthernet0/0
noipaddress
shutdown
half-duplex
interfaceFastEthernet1/0
ipaddress10.77.241.157255.255.255.192
duplexauto
speedauto
interfaceSerial2/0
ipaddress10.1.1.1255.255.255.0
nofair-queue
---AppliesthecryptomapSDM_CMAP1totheinterface.
cryptomapSDM_CMAP_1
interfaceSerial2/1
interfaceSerial2/2
interfaceSerial2/3
---CreatesalocalpoolnamedSDM_POOL_1forissuingIP
---addressestoclients.
iplocalpoolSDM_POOL_1192.168.2.1192.168.2.5
---CommandsforenablinghttpandhttpsrequiredtolaunchSDM.
iphttpserver
iphttpsecure-server
control-plane
linecon0
lineaux0
linevty04
passwordcisco
end
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- EasyVPN 配置 实战 案例
![提示](https://static.bdocx.com/images/bang_tan.gif)