Configuration Professional: Site-to-Site IPsec VPN tussen twee IOS-routers
Inhoud
Inleiding Voorwaarden Vereisten
Gebruikte componenten Conventies
Configuratie Netwerkdiagram
router A Cisco CP-configuratie Cisco CP-configuratie voor router B Configuratie van router B CLI Verifiëren
IOS-router - toont opdrachten Problemen oplossen
Gerelateerde informatie
Inleiding
Dit document biedt een voorbeeldconfiguratie voor de LAN-to-LAN (Site-to-Site) IPsec-tunnel tussen twee Cisco IOS® routers met Cisco Configuration Professional (Cisco CP). Statische routes worden gebruikt voor eenvoud.
Voorwaarden
Vereisten
Zorg ervoor dat u aan dit voorschrift voldoet voordat u deze configuratie probeert:
End-to-end IP connectiviteit moet vóór het beginnen van deze configuratie worden vastgesteld.
●
Gebruikte componenten
De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:
Cisco 1841 router met Cisco IOS-softwarerelease 12.4(15T)
●
Cisco CP versie 2.5
●
Opmerking: Raadpleeg de basisrouterconfiguratie met Cisco Configuration Professional om de router door Cisco CP te laten configureren.
De informatie in dit document is gebaseerd op de apparaten in een specifieke
laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.
Conventies
Raadpleeg de Cisco Technical Tips Convention voor meer informatie over documentconventies.
Configuratie
Netwerkdiagram
Het netwerk in dit document is als volgt opgebouwd:
Opmerking: de IP-adresseringsschema's die in deze configuratie worden gebruikt, zijn niet
wettelijk routeerbaar op het internet. Ze zijn RFC 1918 adressen, die in een labomgeving gebruikt zijn.
router A Cisco CP-configuratie
●
Cisco CP-configuratie voor router B
●
Configuratie van router B CLI
●
router A Cisco CP-configuratie
Voer deze stappen uit om site-to-Site VPN-tunneles op de Cisco IOS-router te configureren:
Kies Configureren > Security > VPN > Site-to-Site VPN en klik op de radioknop naast Site-to- Site VPN maken. Klik op De geselecteerde taak
starten.
1.
Kies Stap voor stap wizard om verder te gaan met de configuratie en klik op Volgende.
2.
Typ in het volgende venster de informatie over de VPN-verbinding in de betreffende ruimtes.
Kies de interface van de VPN-tunnel in het vervolgkeuzemenu. Hier, FastEthernet0 wordt geselecteerd. Kies in het gedeelte Peer Identity Peer met het statische IP-adres en geef het externe IP-adres op. Typ vervolgens de vooraf gedeelde toetsen (cisco123 in dit voorbeeld) in het verificatiegedeelte. Klik tot slot op
Volgende.
3.
Klik op Add om IKE-voorstellen toe te voegen die het Encryption Algorithm, verificatie Algorithm, en de Key Exchange-methode
specificeren.
4.
Typ het Encryption Algorithm, verificatie Algorithm, en Key Exchange-methode en klik vervolgens op OK. Het Encryption Algorithm, de verificatie Algorithm, en de Key Exchange- methodwaarden moeten overeenkomen met de gegevens die in de router B moeten worden
geleverd.
5.
Klik op Volgende.
6.
In dit nieuwe venster worden de informatie over de instelling Omzetten verstrekt. In de Transformineset wordt de Encryptie- en verificatie-algoritmen gespecificeerd die worden gebruikt om gegevens in VPN-tunnelkenmerken te beveiligen. Klik op Add om deze details te geven. U kunt met deze methode indien nodig een aantal transformatiesets
toevoegen.
7.
Geef de setgegevens van het formulier omzetten op (Integriteit en encryptie-algoritmen) en
klik op OK.
8.
Kies de gewenste transformatie-instelling die gebruikt moet worden in het vervolgkeuzemenu en klik op
Volgende.
9.
Typ in het volgende venster de informatie over het verkeer dat door de VPN-tunnelleiding moet worden beschermd. Verstrek de bron- en doelnetwerken van het te beschermen verkeer zodat het verkeer tussen de gespecificeerde bron- en doelnetwerken wordt
beschermd. In dit voorbeeld is het Bron-netwerk 10.10.10.0 en het Bestemmingsnetwerk is 10.20.10.0. Klik op
Volgende.
10.
Klik op Voltooien in het volgende venster om de configuratie op router A. te voltooien.
11.
Cisco CP-configuratie voor router B
Voer deze stappen uit om site-to-Site VPN-tunnelheid te configureren op de Cisco IOS-router (router B):
Kies Configureren > Security > VPN > Site-to-Site VPN en klik op de radioknop naast Site-to- Site VPN maken. Klik op De geselecteerde taak
starten.
1.
Kies Stap voor stap wizard om verder te gaan met de configuratie en klik op Volgende.
2.
Typ in het volgende venster de informatie over de VPN-verbinding in de betreffende ruimtes.
Kies de interface van de VPN-tunnel in het vervolgkeuzemenu. Hier, FastEthernet0 wordt geselecteerd. Kies in het gedeelte Peer Identity Peer met het statische IP-adres en geef het externe IP-adres op. Typ vervolgens de vooraf gedeelde toetsen (cisco123 in dit voorbeeld) in het verificatiegedeelte. Klik tot slot op
Volgende.
3.
Klik op Add om IKE-voorstellen toe te voegen die het Encryption Algorithm, verificatie Algorithm, en de Key Exchange-methode
specificeren.
4.
Typ het Encryption Algorithm, verificatie Algorithm, en Key Exchange-methode en klik vervolgens op OK. De waarden Encryption Algorithm, Verificatie Algorithm, en de Key Exchange-methode moeten overeenkomen met de gegevens in de router
A.
5.
Klik op Volgende.
6.
In dit nieuwe venster worden de informatie over de instelling Omzetten verstrekt. In de Transformineset wordt de Encryptie- en verificatie-algoritmen gespecificeerd die worden gebruikt om gegevens in VPN-tunnelkenmerken te beveiligen. Klik op Add om deze details te geven. U kunt met deze methode indien nodig een aantal transformatiesets
toevoegen.
7.
Geef de setgegevens van het formulier omzetten op (Integriteit en encryptie-algoritmen) en
klik op OK.
8.
Kies de gewenste transformatie-instelling die gebruikt moet worden in het vervolgkeuzemenu en klik op
Volgende.
9.
Typ in het volgende venster de informatie over het verkeer dat door de VPN-tunnelleiding moet worden beschermd. Verstrek de bron- en doelnetwerken van het te beschermen verkeer zodat het verkeer tussen de gespecificeerde bron- en doelnetwerken wordt
beschermd. In dit voorbeeld is het Bron-netwerk 10.20.10.0 en het Bestemmingsnetwerk is 10.10.10.0. Klik op
Volgende.
10.
Dit venster toont de samenvatting van de site-to-Site VPN-configuratie. Controleer de Test VPN Connectivity na het configureren van selectieteken als u de VPN-connectiviteit wilt testen. Hier wordt het vakje ingeschakeld om de aansluitingen te controleren. Klik op Voltooien.
11.
Klik op Start om de VPN-connectiviteit te controleren.
12.
In het volgende venster wordt het resultaat van de VPN connectiviteit Test geleverd. Hier zie je of de tunnel omhoog of omlaag is. In deze voorbeeldconfiguratie is de Tunnel
"Omhoog", zoals in groen wordt getoond.
13.
Dit voltooit de configuratie op Cisco IOS RouterB en laat zien dat de tunnel omhoog is.
Configuratie van router B CLI
router B
Building configuration...
Current configuration : 2403 bytes
!
version 12.4
service timestamps debug datetime msec service timestamps log datetime msec service password-encryption
!
hostname R3
!
boot-start-marker boot-end-marker
!
no logging buffered
!
username cisco123 privilege 15 password 7 1511021F07257A767B
no aaa new-model ip subnet-zero
!
! ip cef
!
!
ip ips po max-events 100 no ftp-server write-enable
!
!--- Configuration for IKE policies. !--- Enables the IKE policy configuration (config-isakmp) !--- command mode, where you can specify the parameters that !--- are used during an IKE negotiation. Encryption and Policy details are hidden !--- as the default values are chosen. crypto isakmp policy 2
authentication pre-share
!--- Specifies the pre-shared key "cisco123" which should !--- be identical at both peers. This is a global
!--- configuration mode command. crypto isakmp key cisco123 address 172.16.1.1
!
!
!--- Configuration for IPsec policies. !--- Enables the crypto transform configuration mode, !--- where you can specify the transform sets that are used !--- during an IPsec negotiation. crypto ipsec transform-set Router- IPSEC esp-des esp-sha-hmac
!
!--- Indicates that IKE is used to establish !--- the IPsec Security Association for protecting the !--- traffic specified by this crypto map entry. crypto map SDM_CMAP_1 1 ipsec-isakmp
description Tunnel to172.16.1.1
!--- Sets the IP address of the remote end. set peer 172.16.1.1
!--- Configures IPsec to use the transform-set !---
"Router-IPSEC" defined earlier in this configuration.
set transform-set Router-IPSEC
!--- Specifies the interesting traffic to be encrypted.
match address 100
!
!
!
!--- Configures the interface to use the !--- crypto map
"SDM_CMAP_1" for IPsec. interface FastEthernet0 ip address 172.17.1.1 255.255.255.0 duplex auto speed auto crypto map SDM_CMAP_1
!
interface FastEthernet1
ip address 10.20.10.2 255.255.255.0 duplex auto
speed auto
!
interface FastEthernet2 no ip address
!
interface Vlan1
ip address 10.77.241.109 255.255.255.192
!
ip classless
ip route 10.10.10.0 255.255.255.0 172.17.1.2 ip route 10.77.233.0 255.255.255.0 10.77.241.65 ip route 172.16.1.0 255.255.255.0 172.17.1.2
!
!
ip nat inside source route-map nonat interface FastEthernet0 overload
!
ip http server
ip http authentication local ip http secure-server
!
!--- Configure the access-lists and map them to the Crypto map configured. access-list 100 remark SDM_ACL Category=4
access-list 100 remark IPSec Rule
access-list 100 permit ip 10.20.10.0 0.0.0.255 10.10.10.0 0.0.0.255
!
!
!
!--- This ACL 110 identifies the traffic flows using route map access-list 110 deny ip 10.20.10.0 0.0.0.255 10.10.10.0 0.0.0.255
access-list 110 permit ip 10.20.10.0 0.0.0.255 any route-map nonat permit 10
match ip address 110
!
control-plane
!
!
line con 0 login local line aux 0 line vty 0 4
privilege level 15 login local
transport input telnet ssh
! end
Verifiëren
Gebruik dit gedeelte om te bevestigen dat de configuratie correct werkt.
Het Uitvoer Tolk (uitsluitend geregistreerde klanten) (OIT) ondersteunt bepaalde show opdrachten.
Gebruik de OIT om een analyse van tonen opdrachtoutput te bekijken.
IOS-router - toont opdrachten
●
IOS-router - toont opdrachten
toon crypto isakmp sa-toont alle huidige IKE SAs bij een peer.
RouterB# show crypto isakmp sa
dst src state conn-id slot status 172.17.1.1 172.16.1.1 QM_IDLE 3 0 ACTIVE
●
toon crypto ipsec sa-Toont alle huidige IPsec SAs bij een peer.
RouterB# show crypto ipsec sa interface: FastEthernet0
Crypto map tag: SDM_CMAP_1, local addr 172.17.1.1
protected vrf: (none)
local ident (addr/mask/prot/port): (10.20.10.0/255.255.255.0/0/0) remote ident (addr/mask/prot/port): (10.10.10.0/255.255.255.0/0/0) current_peer 172.16.1.1 port 500
PERMIT, flags={origin_is_acl,}
#pkts encaps: 68, #pkts encrypt: 68, #pkts digest: 68 #pkts decaps: 68, #pkts decrypt: 68, #pkts verify: 68 #pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 0, #pkts compr. failed: 0 #pkts not decompressed: 0, #pkts decompress failed: 0 #send errors 0, #recv errors 0
local crypto endpt.: 172.17.1.1, remote crypto endpt.: 172.16.1.1 path mtu 1500, ip mtu 1500
current outbound spi: 0xB7C1948E(3082917006)
inbound esp sas:
spi: 0x434C4A7F(1129073279)
transform: esp-des esp-sha-hmac , in use settings ={Tunnel, }
conn id: 2001, flow_id: C18XX_MBRD:1, crypto map: SDM_CMAP_1 sa timing: remaining key lifetime (k/sec): (4578719/3004) IV size: 8 bytes
replay detection support: Y Status: ACTIVE
inbound ah sas:
inbound pcp sas:
outbound esp sas:
spi: 0xB7C1948E(3082917006)
transform: esp-des esp-sha-hmac , in use settings ={Tunnel, }
conn id: 2002, flow_id: C18XX_MBRD:2, crypto map: SDM_CMAP_1 sa timing: remaining key lifetime (k/sec): (4578719/3002) IV size: 8 bytes
replay detection support: Y Status: ACTIVE
outbound ah sas:
outbound pcp sas:
●
Laat actieve crypto motorverbindingen zien - toont huidige verbindingen en informatie over gecodeerde en gedecrypteerde pakketten.
RouterB#show crypto engine connections active
ID Interface IP-Address State Algorithm Encrypt Decrypt 3 FastEthernet0 172.17.1.1 set HMAC_SHA+DES_56_CB 0 0 2001 FastEthernet0 172.17.1.1 set DES+SHA 0 59 2002 FastEthernet0 172.17.1.1 set DES+SHA 59 0
●
Problemen oplossen
Deze sectie bevat informatie waarmee u problemen met de configuratie kunt oplossen.
Het Uitvoer Tolk (uitsluitend geregistreerde klanten) (OIT) ondersteunt bepaalde show opdrachten.
Gebruik de OIT om een analyse van tonen opdrachtoutput te bekijken.
N.B.: Raadpleeg belangrijke informatie over debug Commands en IP security probleemoplossing:
Het begrip en het gebruik debug Opdrachten voordat u debug opdrachten gebruikt.
debug crypto ipsec 7-displays de IPsec onderhandelingen van fase 2.debug crypto isakmp 7
— Hiermee geeft u de ISAKMP-onderhandelingen van fase 1 weer.
●
debug crypto ipsec-displays de IPsec onderhandelingen van fase 2.debug crypto isakmp — Hiermee geeft u de ISAKMP-onderhandelingen van fase 1 weer.
●
Gerelateerde informatie
Cisco Configuration Professional Quick Start-handleiding
●
Verzoeken om opmerkingen (RFC’s)
●
Technische ondersteuning en documentatie – Cisco Systems
●
