轉載--***實例配置方案:IPSec配置

--------------IPSec配置----------------

IPSec 使用加密、數據完整性、源發鑑別以及拒絕重演分組來保護和認證 網絡 層對等端之間的IP分組

IPSec對於構建內因網、外因網以及遠程用戶接入***來說非常有用處

IPSec支持以下標準
--Internet協議的 安全 體系結構
--IKE(Internet密鑰交換)
--DES(數據加密標準)
--MD5
--SHA
--AH(Authentication Header，認證首部)數據認證和反重演(anti-reply)服務
--ESP(Encapsulation Security Payload，封裝安全淨荷)數據隱私、數據驗證以及反重演(anti-reply)服務

敏感流量由訪問列表所定義，並且通過crypto map(保密圖)集被應用到接口上。

配置

1、爲密鑰 管理 配置IKE

2、（可選）定義SA的全局生命期
(global)crypto ipsec security-association lifetime seconds seconds
(global)crypto ipsec security-association lifetime killobytes kilobytes

3、定義保密訪問列表來定義受保護的流量
(global)access-list access-list-number ....
或者
(global)ip access-list extended name
擴展的訪問列表必須定義由IPSec保護哪種IP流量。保密圖(crypto map)援引這個訪問列表來確定在接口上要保護的流量。

4、定義IPSec交換集
(1)創建變換集
(global)crypto ipsec transform-set name [transform1 | transform2 | transform3]
可以在一個保密圖(crypto map)中定義多個變換集。如果沒有使用IKE，那麼只能定義一種變換集。用戶能夠選擇多達三種變換。
（可選）選擇一種AH變換
--ah-md5-hmac
--ah-sha-hmac
--ah-rfc-1828
（可選）選擇一種ESP加密編號
--esp-des
--esp-3des
--esp-rfc-1829
--esp-null
以及這些驗證方法之一
--esp-md5-hmac
--esp-sha-hmac
（可選）選擇IP壓縮變換
--comp-lzs

(2)（可選）選擇變換集的模式
(crypto-transform)mode {tunnel | transport}

5、使用IPSec策略定義保密映射
保密圖(crypto map)連接了保密訪問列表，確定了遠程對等端、本地地址、變換集和協商方法。

(1)（可選）使用手工的 安全 關聯（沒有IKE協商）
--創建保密圖
(global)crypto map map-name sequence ipsec-manual

--援引保密訪問列表來確定受保護的流量
(crypto-map)match address access-list

--確定遠程的IPSec對等端
(crypto-map)set peer {hostname | ip_addr}

--指定要使用的變換集
(crypto-map)set transform-set name
變換集必須和遠程對等端上使用的相同

--（僅適用於AH驗證）手工設定AH密鑰
(crypto-map)set session-key inbound ah spi hex-key-data
(crypto-map)set session-key outbound ah spi hex-key-data

--（僅適用於ESP驗證）手工設定ESP SPI和密鑰
(crypto-map)set session-key inbound ah spi hex-key-data [authenticator hex-key-data]
(crypto-map)set session-key outbound ah spi hex-key-data [authenticator hex-key-data]

(2)（可選）使用IKE建立的安全關聯
--創建保密圖
(global)crypto map map-name sequence ipsec-isakmp

--援引保密訪問列表來確定受保護的流量
(crypto-map)match address access-list

--確定遠程的IPSec對等端
(crypto-map)set peer {hostname | ip_addr}

--指定要使用的變換集
(crypto-map)set transform-set name
變換集必須和遠程對等端上使用的相同

--（可選）如果SA生命期和全局默認不同，那麼定義它：
(crypto-map)set security-association lifetime seconds seconds
(crypto-map)set security-association lifetime kilobytes kilobytes

--（可選）爲每個源/目的主機對使用一個獨立的SA
(crypto-map)set security-association level per-host

--（可選）對每個新的SA使用完整轉發安全性
(crypto-map)set pfs [group1 | group2]

(3)（可選）使用動態 安全 關聯
--創建動態的保密圖
(global)crypto dynamic-map dyn-map-name dyn-seq-num

--（可選）援引保密訪問列表確定受保護的流量
(crypto-map)match address access-list

--（可選）確定遠程的IPSec對等端
(crypto-map)set peer {hostname | ip_addr}

--（可選）指定要使用的變換集
(crypto-map)set transform-set tranform-set-name

--（可選）如果SA生命期和全局默認不同，那麼定義它：
(crypto-map)set security-association lifetime seconds seconds
(crypto-map)set security-association lifetime kilobytes kilobytes

--（可選）對每個新的SA使用完整轉發安全性
(crypto-map)set pfs [group1 | group2]

--將動態保密圖集加入到正規的圖集中
(global)crypto map map-name sequence ipsec-isakmp dynamic dyn-map-name [discover]

--（可選）使用IKE模式的客戶機配置
(global)crypto map map-name client configuration address [initiate | respond]

--（可選）使用來自AAA服務器的預共享IKE密鑰
(global)crypto map map-name isakmp authorization list list-name

6、將保密映射應用到接口上

(1)指定要使用的保密映射
(interface)crypto map map-name

(2)（可選）和其他接口共享保密映射
(global)crypto map map-name local-address interface-id