Inhoud

Inleiding

Voordat u begint

Conventies

Voorwaarden

Gebruikte componenten

Configureren

Netwerkdiagram

Configuraties

Verifiëren

Problemen oplossen

Opdrachten voor troubleshooting

Gerelateerde informatie

Inleiding

Cisco 827 router is gewoonlijk een CPE-apparatuur (Customer elf DSL). In deze voorbeeldconfiguratie wordt Cisco 827 geconfigureerd voor Point-to-Point Protocol over Ethernet (PPPoE) en wordt gebruikt als peer in een LAN-to-LAN IPSec-tunnel met een Cisco 3600 router. Cisco 827 doet ook het overladen van netwerkadresomzetting (NAT) om internetverbinding voor zijn intern netwerk te bieden.

Voordat u begint

Conventies

Zie de Cisco Technical Tips Convention voor meer informatie over documentconventies.

Voorwaarden

Bij het overwegen van deze configuratie, herinner het volgende.

- Zorg ervoor dat PPPoE werkt voordat u een configuratie voor IPSec VPN in Cisco 827 toevoegt. Om de PPPoE-client op Cisco 827 te debug, moet u de protocolstack overwegen. U dient problemen op te lossen in de onderstaande volgorde.

1. DSL fysieke laag

2. ATM-laag

3. Ethernet-laag

4. PPP-laag

- In deze voorbeeldconfiguratie heeft Cisco 827 een statisch IP-adres. Als uw Cisco 827 een dynamisch IP-adres heeft, zie Het configureren van router-naar-router Dynamic-to-Static IPSec met NAT naast dit document.

Gebruikte componenten

De informatie in dit document is gebaseerd op de onderstaande software- en hardwareversies.

- Cisco 827 12.1(5)YB4

- Cisco 3600 12.1(5)T8

- Cisco 6400 12.1(1)DC1

De informatie in dit document is gebaseerd op apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als u in een levend netwerk werkt, zorg er dan voor dat u de potentiële impact van om het even welke opdracht begrijpt alvorens het te gebruiken.

Configureren

Deze sectie bevat informatie over het configureren van de functies die in dit document worden beschreven.

Netwerkdiagram

Dit document gebruikt de netwerkinstellingen die in het onderstaande schema zijn weergegeven.

Configuraties

Dit document maakt gebruik van de onderstaande configuraties.

- Cisco 827 (CPE)

- Routerlicht

N.B.: Als u aanvullende informatie wilt vinden over de opdrachten in dit document, gebruikt u het Opdrachtplanningprogramma (alleen geregistreerd klanten).

Cisco 827 (CPE)

version 12.1

no service single-slot-reload-enable

no service pad

service timestamps debug uptime

service timestamps log uptime

no service password-encryption

!

hostname 827

!

logging rate-limit console 10 except errors

!

ip subnet-zero

no ip finger

!

no ip dhcp-client network-discovery

vpdn enable

no vpdn logging

!

vpdn-group pppoe

request-dialin

protocol pppoe

!

!

!

crypto isakmp policy 20

encr 3des

authentication pre-share

group 2

crypto isakmp key sharedkey address 30.30.30.30

!

!

crypto ipsec transform-set dsltest esp-3des esp-md5-hmac

!

crypto map test 10 ipsec-isakmp

set peer 30.30.30.30

set transform-set dsltest

match address 101

!

interface Ethernet0

ip address 192.168.100.100 255.255.255.0

ip nat inside

!

interface ATM0

no ip address

no atm ilmi-keepalive

bundle-enable

dsl operating-mode ansi-dmt

!

interface ATM0.1 point-to-point

pvc 0/33

!--- This is usually provided by the ISP.

protocol pppoe

pppoe-client dial-pool-number 1

!

!

interface Dialer1

ip address 20.20.20.20 255.255.255.0

!--- This is provided by the ISP. !--- Another variation is ip address negotiated.

ip mtu 1492

ip Nat outside

encapsulation ppp

no ip route-cache

no ip mroute-cache

dialer pool 1

ppp authentication chap callin

ppp chap hostname testuser

ppp chap password 7 00071A1507545A545C

crypto map test

!

ip classless

ip route 0.0.0.0 0.0.0.0 Dialer1

no ip http server

!

ip Nat inside source route-map nonat interface Dialer1 overload

access-list 1 permit 192.168.100.0 0.0.0.255

access-list 101 permit ip 192.168.100.0 0.0.0.255 192.168.200.0 0.0.0.255

access-list 105 deny   ip 192.168.100.0 0.0.0.255 192.168.200.0 0.0.0.255

access-list 105 permit ip 192.168.100.0 0.0.0.255 any

!

route-map nonat permit 10

match ip address 105

!

!

line con 0

transport input none

stopbits 1

line vty 0 4

login

!

scheduler max-task-time 5000

end

Routerlicht

version 12.1

no service single-slot-reload-enable

service timestamps debug uptime

service timestamps log uptime

no service password-encryption

!

hostname light

!

boot system flash:c3660-jk2s-mz.121-5.T8.bin

logging buffered 4096 debugging

logging rate-limit console 10 except errors

!

ip subnet-zero

!

no ip finger

!

ip cef

!

crypto isakmp policy 20

encr 3des

authentication pre-share

group 2

crypto isakmp key sharedkey address 20.20.20.20

!

crypto ipsec transform-set dsltest esp-3des esp-md5-hmac

!

crypto map test 10 ipsec-isakmp

set peer 20.20.20.20

set transform-set dsltest

match address 101

!

call rsvp-sync

cns event-service server

!

!

!

controller E1 2/0

!

!

interface FastEthernet0/0

ip address 192.168.200.200 255.255.255.0

ip Nat inside

duplex auto

speed auto

!

interface FastEthernet0/1

ip address 30.30.30.30 255.255.255.0

ip Nat outside

duplex auto

speed auto

crypto map test

!

interface Serial1/0

no ip address

shutdown

!

interface Serial1/1

no ip address

shutdown

!

interface Serial1/2

no ip address

shutdown

!

interface Serial1/3

no ip address

shutdown

!

interface BRI4/0

no ip address

shutdown

!

interface BRI4/1

no ip address

shutdown

!

interface BRI4/2

no ip address

shutdown

!

interface BRI4/3

no ip address

shutdown

!

ip kerberos source-interface any

ip Nat inside source route-map nonat interface FastEthernet0/1 overload

ip classless

ip route 0.0.0.0 0.0.0.0 30.30.30.1

ip http server

!

access-list 101 permit ip 192.168.200.0 0.0.0.255 192.168.100.0 0.0.0.255

access-list 105 deny   ip 192.168.200.0 0.0.0.255 192.168.100.0 0.0.0.255

access-list 105 permit ip 192.168.200.0 0.0.0.255 any

!

route-map nonat permit 10

match ip address 105

!

!

dial-peer cor custom

!

!

line con 0

exec-timeout 0 0

transport input none

line 97 108

line aux 0

line vty 0 4

login

!

end

Verifiëren

Deze sectie verschaft informatie die u kunt gebruiken om te bevestigen dat uw configuratie correct werkt.

Bepaalde opdrachten met show worden ondersteund door de tool Output Interpreter (alleen voor geregistreerde klanten). Hiermee kunt u een analyse van de output van opdrachten met show genereren.

Opmerking: Als u precies wilt begrijpen wat de volgende opdrachten voor de show aangeven, raadpleegt u IP-beveiligingsprobleemoplossing - met de betekenis en het gebruik van debug-opdrachten.

- toon crypto isakmp sa - toont de ISAKMP-veiligheidsassociatie (Internet Security Association Management Protocol) die tussen peers is opgebouwd.

- toon crypto ipsec sa - toont de IPSec SA gebouwd tussen peers.

- tonen de cryptomotorverbindingen actief - toont elke gebouwde fase 2 SA en de hoeveelheid verstuurd verkeer.

Opdracht voor goede weergave van router IPSec

- toon crypto isakmp sa

Cisco 827 (CPE)

dalen

src

toestand

nagenoeg

gleuf

30.30.30.30

20.20.20.20

QM-IDLE

1

0

Routerlicht

dalen

src

toestand

nagenoeg

gleuf

30.30.30.30

20.20.20.20

QM_IDLE

1

0

- actieve encryptie - motorverbindingen

Cisco 827 (CPE)

legitimatiebewijs

Interface

IP-adres

Staat

algoritme

Versleutelen

decrypteren

1

<geen>

<geen>

instellen

HMAC_SHA+3DES_56_C

0

0

2000

Kiezer 1

20.20.20.20

instellen

HMAC_MD5+3DES_56_C

0

104

2001

Kiezer 1

20.20.20.20

instellen

HMAC_MD5+3DES_56_C

104

0

Routerlicht

legitimatiebewijs

Interface

IP-adres

Staat

algoritme

Versleutelen

decrypteren

1

Fast Ethernet 9/1

30.30.30.30

instellen

HMAC_SHA+3DES_56

0

0

1960

Fast Ethernet 9/1

30.30.30.30

instellen

HMAC_MD5+3DES_56_C

0

104

1961

Fast Ethernet 9/1

30.30.30.30

instellen

HMAC_MD5+3DES_56_C

104

0

- show crypto ipsec sa

827#show crypto ipsec sa

interface: Dialer1

Crypto map tag: test, local addr. 20.20.20.20

local ident (addr/mask/prot/port): (192.168.100.0/255.255.255.0/0/0)

remote ident (addr/mask/prot/port): (192.168.200.0/255.255.255.0/0/0)

current_peer: 30.30.30.30

PERMIT, flags={origin_is_acl,}

#pkts encaps: 208, #pkts encrypt: 208, #pkts digest 208

#pkts decaps: 208, #pkts decrypt: 208, #pkts verify 208

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. failed: 0, #pkts decompress failed: 0

#send errors 2, #recv errors 0

local crypto endpt.: 20.20.20.20, remote crypto endpt.: 30.30.30.30

path mtu 1500, media mtu 1500

current outbound spi: 4FE59EF2

inbound esp sas:

spi: 0x3491ACD6(881962198)

transform: esp-3des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2000, flow_id: 1, crypto map: test

sa timing: remaining key lifetime (k/sec): (4607840/3301)

IV size: 8 bytes

replay detection support: Y

inbound ah sas:

inbound pcp sas:

outbound esp sas:

spi: 0x4FE59EF2(1340448498)

transform: esp-3des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2001, flow_id: 2, crypto map: test

sa timing: remaining key lifetime (k/sec): (4607837/3301)

IV size: 8 bytes

replay detection support: Y

outbound ah sas:

outbound pcp sas:

interface: Virtual-Access1

Crypto map tag: test, local addr. 20.20.20.20

local ident (addr/mask/prot/port): (192.168.100.0/255.255.255.0/0/0)

remote ident (addr/mask/prot/port): (192.168.200.0/255.255.255.0/0/0)

current_peer: 30.30.30.30

PERMIT, flags={origin_is_acl,}

#pkts encaps: 208, #pkts encrypt: 208, #pkts digest 208

#pkts decaps: 208, #pkts decrypt: 208, #pkts verify 208

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. failed: 0, #pkts decompress failed: 0

#send errors 2, #recv errors 0

local crypto endpt.: 20.20.20.20, remote crypto endpt.: 30.30.30.30

path mtu 1500, media mtu 1500

current outbound spi: 4FE59EF2

inbound esp sas:

spi: 0x3491ACD6(881962198)

transform: esp-3des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2000, flow_id: 1, crypto map: test

sa timing: remaining key lifetime (k/sec): (4607840/3301)

IV size: 8 bytes

replay detection support: Y

inbound ah sas:

inbound pcp sas:

outbound esp sas:

spi: 0x4FE59EF2(1340448498)

transform: esp-3des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2001, flow_id: 2, crypto map: test

sa timing: remaining key lifetime (k/sec): (4607837/3301)

IV size: 8 bytes

replay detection support: Y

outbound ah sas:

outbound pcp sas:

Problemen oplossen

Deze sectie bevat informatie waarmee u problemen met de configuratie kunt oplossen.

Opdrachten voor troubleshooting

N.B.: Voordat u debug-opdrachten afgeeft, raadpleegt u Belangrijke informatie over debug-opdrachten en IP-beveiligingsproblemen - Deze begrijpen en gebruiken van debug-opdrachten.

- debug crypto ipsec - toont de IPSec-onderhandelingen van fase 2.

- debug crypto isakmp - toont de ISAKMP-onderhandelingen over fase 1.

- debug-encryptie - Geeft het versleutelde verkeer weer.

- ping - toont de connectiviteit door de VPN-tunnel en kan in combinatie met debug- en show-opdrachten worden gebruikt.

827#ping

Protocol [ip]:

Target IP address: 192.168.200.200

Repeat count [5]: 100

Datagram size [100]: 1600

Timeout in seconds [2]:

Extended commands [n]: y

Source address or interface: 192.168.100.100

Type of service [0]:

Set DF bit in IP header? [no]:

Validate reply data? [no]:

Data pattern [0xABCD]:

Loose, Strict, Record, Timestamp, Verbose[none]:

Sweep range of sizes [n]:

Type escape sequence to abort.

Sending 100, 1600-byte ICMP Echos to 192.168.200.200, timeout is 2 seconds:

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

Success rate is 100 percent (100/100), round-trip min/avg/max = 264/266/276 ms

Gerelateerde informatie

- IPsec-ondersteuningspagina’s

- IP-routingondersteuningspagina’s

- Inleiding tot IPSec-encryptie

- Probleemoplossing voor Cisco 827 router

- Technische ondersteuning - Cisco-systemen