IPsec配置

企业对网络安全性的需求日益提升，而传统的TCP/IP协议缺乏有效的安全认证和保密机制。IPsec（Internet Protocol Security）作为一种开放标准的安全框架结构，可以用来保证IP数据报文在网络上传输的机密性、完整性和防重放。

IPsec配置：

接口IP以及默认路由配置如下：

R1

配置IPsec的过程，每一步的过程其实也蛮清晰的：

1. 配置isakmp policy，第一阶段策略的协商，两端配置要相同，isakmp key保持一致
2. 配置ipsec transform-set，第一阶段策略的协商，选择AH协议，模式为隧道模式
3. 配置crypto map，设置转换集，用ACL定义感兴趣流量
4. 最后，将crypto map应用在使用VPN的接口上

crypto isakmp policy 10
 encr aes
 hash sha256
 authentication pre-share
 lifetime 3600
crypto isakmp key cisco address 200.1.1.3      

crypto ipsec transform-set TS ah-md5-hmac 
 mode tunnel

crypto map L2L 10 ipsec-isakmp 
 set peer 200.1.1.3
 set transform-set TS 
 match address 100

access-list 100 permit ip 192.168.1.0 0.0.0.255 172.16.1.0 0.0.0.255

interface Ethernet1/1
 crypto map L2L

R3

crypto isakmp policy 10
 encr aes
 hash sha256
 authentication pre-share
 lifetime 3600
crypto isakmp key cisco address 100.1.1.1      

crypto ipsec transform-set TS ah-md5-hmac 
 mode tunnel

crypto map L2L 10 ipsec-isakmp 
 set peer 100.1.1.1
 set transform-set TS 
 match address 100

access-list 100 permit ip 172.16.1.0 0.0.0.255 192.168.1.0 0.0.0.255

interface Ethernet1/1
 crypto map L2L

这样，我们就能从R4成功ping到R5

---

GRE over IPsec：

增加配置如下：

R1

注意几点：

1. 凡是被路由到tunnel接口的都封装加密，不需要设置感兴趣ACL，默认所有走tunnel的全是感兴趣流量
2. 不需要配置set peer，因为tunnel是点到点的，peer已经确定下来了
3. 这里的ipsec transform-set可以将模式改为mode transport，因为这里的通讯点和加密点相同，IP封装包AH头部之前与头部之后的源目IP地址相同，用transport模式表示只用头部之前的源目IP，节省路由器CPU资源

crypto isakmp policy 10
 encr aes
 hash sha256
 authentication pre-share
 lifetime 3600
crypto isakmp key cisco address 200.1.1.3      

crypto ipsec transform-set TS ah-md5-hmac 
 mode transport 

crypto ipsec profile IPSEC-TU
 set transform-set TS 

interface Tunnel0
 ip address 10.1.1.1 255.255.255.0
 tunnel source 100.1.1.1
 tunnel destination 200.1.1.3
 tunnel protection ipsec profile IPSEC-TU

ip route 0.0.0.0 0.0.0.0 100.1.1.2
ip route 172.16.1.0 255.255.255.0 Tunnel0

R3

crypto isakmp policy 10
 encr aes
 hash sha256
 authentication pre-share
 lifetime 3600
crypto isakmp key cisco address 100.1.1.1      

crypto ipsec transform-set TS ah-md5-hmac 
 mode transport

crypto ipsec profile IPSEC-TU
 set transform-set TS 

interface Tunnel0
 ip address 10.1.1.3 255.255.255.0
 tunnel source 200.1.1.3
 tunnel destination 100.1.1.1
 tunnel protection ipsec profile IPSEC-TU

ip route 0.0.0.0 0.0.0.0 200.1.1.2
ip route 192.168.1.0 255.255.255.0 Tunnel0

这里的transform-set也可以选择esp加密协议，这里的esp-3des用来加密，esp-sha-hmac用来做校验

crypto ipsec transform-set TS esp-3des esp-sha-hmac
 mode transport

这样，我们就能从R4成功ping到R5