المحتويات

المقدمة

المتطلبات الأساسية

المتطلبات

المكونات المستخدمة

الاصطلاحات

التكوين

الرسم التخطيطي للشبكة

التكوينات

التحقق من الصحة

استكشاف الأخطاء وإصلاحها

أوامر استكشاف الأخطاء وإصلاحها

معلومات ذات صلة

المقدمة

لن يتم إستخدام التكوين التالي بشكل شائع، ولكنه تم تصميمه للسماح بإنهاء نفق IPSec لعميل VPN الآمن من Cisco على موجه مركزي. مع ظهور النفق، يستقبل الكمبيوتر الشخصي عنوان IP الخاص به من تجمع عناوين IP للموجه المركزي (في المثال الذي نقدمه، يسمى الموجه "moss")، ثم يمكن أن تصل حركة مرور التجمع إلى الشبكة المحلية خلف MOSS أو أن يتم توجيهها وتشفيرها إلى الشبكة خلف الموجه الصادر (في المثال الذي نقدمه، يسمى الموجه "carter"). بالإضافة إلى ذلك، يتم تشفير حركة مرور البيانات من الشبكة الخاصة من 10.13.1.x إلى 10.1.1.x، وتقوم الموجهات بالتحميل الزائد من خلال NAT.

المتطلبات الأساسية

المتطلبات

لا توجد متطلبات خاصة لهذا المستند.

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

- برنامج Cisco IOS® الإصدار 12.1.5.T (c3640-io3s56i-mz.121-5.T)

- Cisco Secure VPN Client 1.1

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك مباشرة، فتأكد من فهمك للتأثير المحتمل لأي أمر.

الاصطلاحات

للحصول على مزيد من المعلومات حول اصطلاحات المستندات، ارجع إلى اصطلاحات تلميحات Cisco التقنية.

التكوين

في هذا القسم، تُقدّم لك معلومات تكوين الميزات الموضحة في هذا المستند.

ملاحظة: للعثور على معلومات إضافية حول الأوامر المستخدمة في هذا المستند، أستخدم أداة بحث الأوامر (للعملاء المسجلين فقط).

الرسم التخطيطي للشبكة

يستخدم هذا المستند إعداد الشبكة التالي:

التكوينات

يستخدم هذا المستند التكوينات التالية:

- تكوين العث

- تكوين Carter

تكوين العث

Version 12.1

no service single-slot-reload-enable

service timestamps debug uptime

service timestamps log uptime

no service password-encryption

!

hostname moss

!

logging rate-limit console 10 except errors

enable password ww

!

ip subnet-zero

!

no ip finger

!

ip audit notify log

ip audit po max-events 100

!

crypto isakmp policy 1

hash md5

authentication pre-share

crypto isakmp key cisco123 address 99.99.99.1

crypto isakmp key cisco123 address 0.0.0.0 0.0.0.0

crypto isakmp client configuration address-pool local RTP-POOL

!

crypto ipsec transform-set rtpset esp-des esp-md5-hmac

!

crypto dynamic-map rtp-dynamic 20

set transform-set rtpset

!

crypto map rtp client configuration address initiate

crypto map rtp client configuration address respond

!crypto map sequence for network to network traffic

crypto map rtp 1 ipsec-isakmp

set peer 99.99.99.1

set transform-set rtpset

match address 115

!--- crypto map sequence for VPN Client network traffic.

crypto map rtp 10 ipsec-isakmp dynamic rtp-dynamic

!

call rsvp-sync

!

interface Ethernet2/0

ip address 172.18.124.154 255.255.255.0

ip nat outside

no ip route-cache

no ip mroute-cache

half-duplex

crypto map rtp

!

interface Serial2/0

no ip address

shutdown

!

interface Ethernet2/1

ip address 10.13.1.19 255.255.255.0

ip nat inside

half-duplex

!

ip local pool RTP-POOL 192.168.1.1 192.168.1.254

ip nat pool ETH20 172.18.124.154 172.18.124.154 netmask 255.255.255.0

ip nat inside source route-map nonat pool ETH20 overload

ip classless

ip route 0.0.0.0 0.0.0.0 172.18.124.1

ip route 10.1.1.0 255.255.255.0 172.18.124.158

ip route 99.99.99.0 255.255.255.0 172.18.124.158

no ip http server

!

!--- Exclude traffic from NAT process.

access-list 110 deny ip 10.13.1.0 0.0.0.255 10.1.1.0 0.0.0.255

access-list 110 deny ip 10.13.1.0 0.0.0.255 192.168.1.0 0.0.0.255

access-list 110 permit ip 10.13.1.0 0.0.0.255 any

!--- Include traffic in encryption process.

access-list 115 permit ip 10.13.1.0 0.0.0.255 10.1.1.0 0.0.0.255

access-list 115 permit ip 192.168.1.0 0.0.0.255 10.1.1.0 0.0.0.255

route-map nonat permit 10

match ip address 110

!

dial-peer cor custom

!

line con 0

transport input none

line aux 0

line vty 0 4

login

!

end

تكوين Carter

Current configuration : 2059 bytes

!

version 12.1

no service single-slot-reload-enable

service timestamps debug uptime

service timestamps log uptime

no service password-encryption

!

hostname carter

!

logging rate-limit console 10 except errors

!

ip subnet-zero

!

no ip finger

!

ip audit notify log

ip audit po max-events 100

!

crypto isakmp policy 1

hash md5

authentication pre-share

crypto isakmp key cisco123 address 172.18.124.154

!

crypto ipsec transform-set rtpset esp-des esp-md5-hmac

!

!--- crypto map sequence for network-to-network traffic.

crypto map rtp 1 ipsec-isakmp

set peer 172.18.124.154

set transform-set rtpset

match address 115

!

call rsvp-sync

!

interface Ethernet0/0

ip address 99.99.99.1 255.255.255.0

ip nat outside

half-duplex

crypto map rtp

!

interface FastEthernet3/0

ip address 10.1.1.1 255.255.255.0

ip nat inside

duplex auto

speed 10

!

ip nat pool ETH00 99.99.99.1 99.99.99.1 netmask 255.255.255.0

ip nat inside source route-map nonat pool ETH00 overload

ip classless

ip route 0.0.0.0 0.0.0.0 99.99.99.2

no ip http server

!

!--- Exclude traffic from NAT process.

access-list 110 deny ip 10.1.1.0 0.0.0.255 10.13.1.0 0.0.0.255

access-list 110 deny ip 10.1.1.0 0.0.0.255 192.168.1.0 0.0.0.255

access-list 110 permit ip 10.1.1.0 0.0.0.255 any

!--- Include traffic in encryption process.

access-list 115 permit ip 10.1.1.0 0.0.0.255 10.13.1.0 0.0.0.255

access-list 115 permit ip 10.1.1.0 0.0.0.255 192.168.1.0 0.0.0.255

route-map nonat permit 10

match ip address 110

!

line con 0

transport input none

line aux 0

line vty 0 4

password ww

login

!

end

التحقق من الصحة

يوفر هذا القسم معلومات يمكنك إستخدامها للتأكد من أن التكوين يعمل بشكل صحيح.

يتم دعم بعض أوامر العرض بواسطة أداة مترجم الإخراج (العملاء المسجلون فقط)، والتي تتيح لك عرض تحليل إخراج أمر العرض.

- show crypto ips sa—يعرض اقترانات أمان المرحلة 2.

- show crypto isakmp sa—يعرض اقترانات أمان المرحلة 1.

استكشاف الأخطاء وإصلاحها

يوفر هذا القسم معلومات يمكنك استخدامها لاستكشاف أخطاء التكوين وإصلاحها.

أوامر استكشاف الأخطاء وإصلاحها

يتم دعم بعض أوامر العرض بواسطة أداة مترجم الإخراج (العملاء المسجلون فقط)، والتي تتيح لك عرض تحليل إخراج أمر العرض.

ملاحظة: قبل إصدار أوامر تصحيح الأخطاء، راجع المعلومات المهمة في أوامر تصحيح الأخطاء.

- debug crypto ipSec—يعرض مفاوضات IPSec للمرحلة 2.

- debug crypto isakmp—يعرض مفاوضات ISAKMP للمرحلة 1.

- debug crypto engine—يعرض حركة مرور البيانات التي يتم تشفيرها.

- مسح التشفير isakmp—يمحو اقترانات الأمان المتعلقة بالمرحلة 1.

- مسح التشفير sa—يمحو اقترانات الأمان المتعلقة بالمرحلة 2.

معلومات ذات صلة

- تكوين أمان شبكة IPSec

- تكوين بروتوكول أمان Internet Key Exchange

- صفحة دعم عميل شبكة VPN من Cisco

- صفحة دعم IPSec

- الدعم الفني - Cisco Systems