Contents

Introduction

Prerequisites

Requirements

Componentes Utilizados

Conventions

Configurar

Diagrama de Rede

Configurações

Verificar

Cisco VPN 2611

Cisco VPN 3640

Verificar os Números de Sequência do Mapa de Criptografia

Troubleshoot

Comandos para Troubleshooting

Informações Relacionadas

Introduction

Este documento mostra como configurar o IPSec entre dois roteadores Cisco e o Cisco VPN Client 4.x. Cisco IOS® Software Releases 12.2(8)T e suas versões posteriores suportam conexões do Cisco VPN Client 3.x e suas versões posteriores.

Consulte Configurando um Peer Dinâmico de LAN para LAN do Roteador IPSec e VPN Clients para aprender mais sobre o cenário em que uma extremidade do túnel L2L tem o endereço IP atribuído dinamicamente pela outra extremidade.

Prerequisites

Requirements

Certifique-se de atender a estes requisitos antes de tentar esta configuração:

- Um conjunto de endereços a ser atribuído ao IPSec.

- Um grupo chamado 3000clients com uma chave pré-compartilhada cisco123 para os VPN Clients.

- A autenticação de grupo e usuário é feita localmente no roteador para os VPN Clients.

- O parâmetro no-xauth é utilizado no comando ISAKMP key para o túnel LAN para LAN.

Componentes Utilizados

As informações neste documento são baseadas nestas versões de software e hardware.

- Roteadores que executam o Cisco IOS Software Release 12.2(8)T.

Observação: este documento foi testado recentemente com o Cisco IOS Software Release 12.3(1). Nenhuma alteração é necessária.

- Cisco VPN Client para Windows versão 4.x (qualquer VPN Client 3.x ou posterior funciona).

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

A saída do comando show version no roteador é mostrada aqui.

vpn2611#show version

Cisco Internetwork Operating System Software

IOS (tm) C2600 Software (C2600-JK9O3S-M), Version 12.2(8)T,

RELEASE SOFTWARE (fc2)

TAC Support: http://www.cisco.com/tac

Copyright (c) 1986-2002 by cisco Systems, Inc.

Compiled Thu 14-Feb-02 16:50 by ccai

Image text-base: 0x80008070, data-base: 0x81816184

ROM: System Bootstrap, Version 11.3(2)XA4, RELEASE SOFTWARE (fc1)

vpn2611 uptime is 1 hour, 15 minutes

System returned to ROM by reload

System image file is "flash:c2600-jk9o3s-mz.122-8.T"

cisco 2611 (MPC860) processor (revision 0x203)

with 61440K/4096K bytes of memory.

Processor board ID JAD04370EEG (2285146560)

M860 processor: part number 0, mask 49

Bridging software.

X.25 software, Version 3.0.0.

SuperLAT software (copyright 1990 by Meridian Technology Corp).

TN3270 Emulation software.

2 Ethernet/IEEE 802.3 interface(s)

1 Serial network interface(s)

32K bytes of non-volatile configuration memory.

16384K bytes of processor board System flash (Read/Write)

Configuration register is 0x2102

Conventions

Consulte as Convenções de Dicas Técnicas da Cisco para obter mais informações sobre convenções de documentos.

Configurar

Nesta seção, você verá as informações usadas para configurar os recursos descritos neste documento.

Diagrama de Rede

Este documento utiliza a seguinte configuração de rede.

Observação: os endereços IP neste exemplo não são roteáveis na Internet global porque são endereços IP privados em uma rede de laboratório.

Configurações

Configurar o roteador Cisco 2611

Cisco 2611 Router

vpn2611#show run

Building configuration...

Current configuration : 2265 bytes

!

version 12.2

service timestamps debug uptime

service timestamps log uptime

no service password-encryption

!

hostname vpn2611

!

!--- Enable AAA for user authentication !--- and group authorization.

aaa new-model

!

!

!--- In order to enable X-Auth for user authentication, !--- enable the aaa authentication commands.

aaa authentication login userauthen local

!--- In order to enable group authorization, enable !--- the aaa authorization commands.

aaa authorization network groupauthor local

aaa session-id common

!

!--- For local authentication of the IPSec user, !--- create the user with a password.

username cisco password 0 cisco

ip subnet-zero

!

!

!

ip audit notify log

ip audit po max-events 100

!

!--- Create an Internet Security Association and !--- Key Management Protocol (ISAKMP) !--- policy for Phase 1 negotiations for the VPN 3.x Clients.

crypto isakmp policy 3

encr 3des

authentication pre-share

group 2

!

!--- Create an ISAKMP policy for Phase 1 !--- negotiations for the LAN-to-LAN tunnels.

crypto isakmp policy 10

hash md5

authentication pre-share

!--- Specify the PreShared key for the LAN-to-LAN tunnel. !--- Make sure that you use the !--- no-xauth parameter with your ISAKMP key.

crypto isakmp key cisco123 address 172.18.124.199 no-xauth

!

!--- Create a group that is used to !--- specify the WINS, DNS servers' address !--- to the client, along with the pre-shared !--- key for authentication.

crypto isakmp client configuration group 3000client

key cisco123

dns 10.10.10.10

wins 10.10.10.20

domain cisco.com

pool ippool

!

!

!--- Create the Phase 2 Policy for actual data encryption.

crypto ipsec transform-set myset esp-3des esp-md5-hmac

!

!--- Create a dynamic map and apply !--- the transform set that was created earlier.

crypto dynamic-map dynmap 10

set transform-set myset

!

!

!--- Create the actual crypto map, and !--- apply the AAA lists that were created !--- earlier. Also create a new instance for your !--- LAN-to-LAN tunnel. Specify the peer IP address, !--- transform set, and an Access Control List (ACL) for this !--- instance.

crypto map clientmap client authentication list userauthen

crypto map clientmap isakmp authorization list groupauthor

crypto map clientmap client configuration address respond

crypto map clientmap 1 ipsec-isakmp

set peer 172.18.124.199

set transform-set myset

match address 100

crypto map clientmap 10 ipsec-isakmp dynamic dynmap

!

!

fax interface-type fax-mail

mta receive maximum-recipients 0

!

!

!--- Apply the crypto map on the outside interface.

interface Ethernet0/0

ip address 172.18.124.159 255.255.255.0

half-duplex

crypto map clientmap

!

interface Serial0/0

no ip address

shutdown

!

interface Ethernet0/1

ip address 10.10.10.1 255.255.255.0

no keepalive

half-duplex

!

!

!--- Create a pool of addresses to be !--- assigned to the VPN Clients.

ip local pool ippool 14.1.1.100 14.1.1.200

ip classless

ip route 0.0.0.0 0.0.0.0 172.18.124.1

ip http server

ip pim bidir-enable

!

!

!--- Create an ACL for the traffic !--- to be encrypted. In this example, !--- the traffic from 10.10.10.0/24 to 10.10.20.0/24 !--- is encrypted.

access-list 100 permit ip 10.10.10.0 0.0.0.255 10.10.20.0 0.0.0.255

!

!

snmp-server community foobar RO

call rsvp-sync

!

!

mgcp profile default

!

dial-peer cor custom

!

!

line con 0

exec-timeout 0 0

line aux 0

line vty 0 4

!

!

end

Configurar o 3640 Router

Cisco 3640 Router

vpn3640#show run

Building configuration...

Current configuration : 1287 bytes

!

! Last configuration change at 13:47:37 UTC Wed Mar 6 2002

!

version 12.2

service timestamps debug uptime

service timestamps log uptime

no service password-encryption

!

hostname vpn3640

!

!

ip subnet-zero

ip cef

!

!--- Create an ISAKMP policy for Phase 1 !--- negotiations for the LAN-to-LAN tunnels.

crypto isakmp policy 10

hash md5

authentication pre-share

!--- Specify the PreShared key for the LAN-to-LAN !--- tunnel. You do not have to add the !--- X-Auth parameter, as this !--- router does not do Cisco Unity Client IPsec !--- authentication.

crypto isakmp key cisco123 address 172.18.124.159

!

!

!--- Create the Phase 2 Policy for actual data encryption.

crypto ipsec transform-set myset esp-3des esp-md5-hmac

!

!--- Create the actual crypto map. Specify !--- the peer IP address, transform !--- set, and an ACL for this instance.

crypto map mymap 10 ipsec-isakmp

set peer 172.18.124.159

set transform-set myset

match address 100

!

call RSVP-sync

!

!

!

!--- Apply the crypto map on the outside interface.

interface Ethernet0/0

ip address 172.18.124.199 255.255.255.0

half-duplex

crypto map mymap

!

interface Ethernet0/1

ip address 10.10.20.1 255.255.255.0

half-duplex

!

ip classless

ip route 0.0.0.0 0.0.0.0 172.18.124.1

ip http server

ip pim bidir-enable

!

!--- Create an ACL for the traffic to !--- be encrypted. In this example, !--- the traffic from 10.10.20.0/24 to 10.10.10.0/24 !--- is encrypted.

access-list 100 permit ip 10.10.20.0 0.0.0.255 10.10.10.0 0.0.0.255

snmp-server community foobar RO

!

dial-peer cor custom

!

!

line con 0

exec-timeout 0 0

line aux 0

line vty 0 4

login

!

end

Configurar o VPN Client 4.x

Siga estes passos para configurar o Cisco VPN Client 4.x.

1. Inicie o VPN Client e, em seguida, clique em New para criar uma nova conexão.

2. Entre as informações necessárias e clique em Save quando tiver concluído.

3. Clique com o botão direito na Connection Entry recém-criada e clique em Connect para se conectar ao roteador.

4. Durante as negociações do IPSec, você será avisado para inserir um nome de usuário e uma senha.

5. A janela exibe mensagens que dizem "Negociando perfis de segurança" e "Seu link agora está seguro".

Verificar

Esta seção fornece informações que ajudam a confirmar se sua configuração funciona corretamente.

A Output Interpreter Tool (somente clientes registrados) oferece suporte a determinados comandos show, o que permite exibir uma análise da saída do comando show.

Cisco VPN 2611

vpn2611#show crypto isakmp sa

dst src state conn-id slot

172.18.124.159 172.18.124.199 QM_IDLE 5 0

!--- For the LAN-to-LAN tunnel peer.

172.18.124.159 64.102.55.142 QM_IDLE 6 0

!--- For the Cisco Unity Client tunnel peer.

vpn2611#show crypto ipsec sa

interface: Ethernet0/0

Crypto map tag: clientmap, local addr. 172.18.124.159

protected vrf:

local ident (addr/mask/prot/port): (10.10.10.0/255.255.255.0/0/0)

remote ident (addr/mask/prot/port): (10.10.20.0/255.255.255.0/0/0)

current_peer: 172.18.124.199:500

!--- For the LAN-to-LAN tunnel peer.

PERMIT, flags={origin_is_acl,}

#pkts encaps: 4, #pkts encrypt: 4, #pkts digest 4

#pkts decaps: 4, #pkts decrypt: 4, #pkts verify 4

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. failed: 0, #pkts decompress

failed: 0

#send errors 0, #recv errors 0

local crypto endpt.: 172.18.124.159, remote crypto endpt.:

172.18.124.199

path mtu 1500, media mtu 1500

current outbound spi: 892741BC

inbound esp sas:

spi: 0x7B7B2015(2071666709)

transform: esp-3des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2000, flow_id: 1, crypto map: clientmap

sa timing: remaining key lifetime (k/sec): (4607999/1182)

IV size: 8 bytes

replay detection support: Y

inbound ah sas:

inbound pcp sas:

outbound ESP sas:

spi: 0x892741BC(2301051324)

transform: esp-3des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2001, flow_id: 2, crypto map: clientmap

sa timing: remaining key lifetime (k/sec): (4607999/1182)

IV size: 8 bytes

replay detection support: Y

outbound ah sas:

outbound PCP sas:

protected vrf:

local ident (addr/mask/prot/port): (172.18.124.159/255.255.255.255/0/0)

remote ident (addr/mask/prot/port): (14.1.1.106/255.255.255.255/0/0)

current_peer: 64.102.55.142:500

!--- For the Cisco Unity Client tunnel peer.

PERMIT, flags={}

#pkts encaps: 0, #pkts encrypt: 0, #pkts digest 0

#pkts decaps: 0, #pkts decrypt: 0, #pkts verify 0

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. Failed: 0, #pkts decompress

failed: 0

#send errors 0, #recv errors 0

local crypto endpt.: 172.18.124.159, remote crypto endpt.:

64.102.55.142

path mtu 1500, media mtu 1500

current outbound spi: 81F39EFA

inbound ESP sas:

spi: 0xC4483102(3293065474)

transform: esp-3des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2002, flow_id: 3, crypto map: clientmap

sa timing: remaining key lifetime (k/sec): (4608000/3484)

IV size: 8 bytes

replay detection support: Y

inbound ah sas:

inbound PCP sas:

outbound ESP sas:

spi: 0x81F39EFA(2180226810)

transform: esp-3des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2003, flow_id: 4, crypto map: clientmap

sa timing: remaining key lifetime (k/sec): (4608000/3484)

IV size: 8 bytes

replay detection support: Y

outbound ah sas:

outbound PCP sas:

protected vrf:

local ident (addr/mask/prot/port): (0.0.0.0/0.0.0.0/0/0)

remote ident (addr/mask/prot/port): (14.1.1.106/255.255.255.255/0/0)

current_peer: 64.102.55.142:500

!--- For the Cisco Unity Client tunnel peer.

PERMIT, flags={}

#pkts encaps: 4, #pkts encrypt: 4, #pkts digest 4

#pkts decaps: 20, #pkts decrypt: 20, #pkts verify 20

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. Failed: 0, #pkts decompress

failed: 0

#send errors 0, #recv errors 0

local crypto endpt.: 172.18.124.159, remote crypto endpt.:

64.102.55.142

path mtu 1500, media mtu 1500

current outbound spi: B7F84138

inbound ESP sas:

spi: 0x5209917C(1376358780)

transform: esp-3des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2004, flow_id: 5, crypto map: clientmap

sa timing: remaining key lifetime (k/sec): (4607998/3474)

IV size: 8 bytes

replay detection support: Y

spi: 0xDE6C99C0(3731659200)

transform: esp-3des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2006, flow_id: 7, crypto map: clientmap

sa timing: remaining key lifetime (k/sec): (4607998/3493)

IV size: 8 bytes

replay detection support: Y

inbound ah sas:

inbound PCP sas:

outbound ESP sas:

spi: 0x58886878(1485334648)

transform: esp-3des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2005, flow_id: 6, crypto map: clientmap

sa timing: remaining key lifetime (k/sec): (4608000/3474)

IV size: 8 bytes

replay detection support: Y

spi: 0xB7F84138(3086500152)

transform: esp-3des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2007, flow_id: 8, crypto map: clientmap

sa timing: remaining key lifetime (k/sec): (4607999/3486)

IV size: 8 bytes

replay detection support: Y

outbound ah sas:

outbound PCP sas:

vpn2611#show crypto engine connection active

ID Interface IP-Address State Algorithm Encrypt Decrypt

5 Ethernet0/0 172.18.124.159 set HMAC_MD5+DES_56_CB 0 0

6 Ethernet0/0 172.18.124.159 set HMAC_SHA+3DES_56_C 0 0

2000 Ethernet0/0 172.18.124.159 set HMAC_MD5+3DES_56_C 0 4

2001 Ethernet0/0 172.18.124.159 set HMAC_MD5+3DES_56_C 4 0

2002 Ethernet0/0 172.18.124.159 set HMAC_MD5+3DES_56_C 0 0

2003 Ethernet0/0 172.18.124.159 set HMAC_MD5+3DES_56_C 0 0

2004 Ethernet0/0 172.18.124.159 set HMAC_MD5+3DES_56_C 0 9

2005 Ethernet0/0 172.18.124.159 set HMAC_MD5+3DES_56_C 0 0

2006 Ethernet0/0 172.18.124.159 set HMAC_MD5+3DES_56_C 0 79

2007 Ethernet0/0 172.18.124.159 set HMAC_MD5+3DES_56_C 4 0

vpn2611#

Cisco VPN 3640

vpn3640#show crypto isakmp sa

DST src state conn-id slot

172.18.124.159 172.18.124.199 QM_IDLE 4 0

!--- For the LAN-to-LAN tunnel peer.

vpn3640#show crypto ipsec sa

interface: Ethernet0/0

Crypto map tag: mymap, local addr. 172.18.124.199

protected vrf:

local ident (addr/mask/prot/port): (10.10.20.0/255.255.255.0/0/0)

remote ident (addr/mask/prot/port): (10.10.10.0/255.255.255.0/0/0)

current_peer: 172.18.124.159:500

!--- For the LAN-to-LAN tunnel peer.

PERMIT, flags={origin_is_acl,}

#pkts encaps: 4, #pkts encrypt: 4, #pkts digest 4

#pkts decaps: 4, #pkts decrypt: 4, #pkts verify 4

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. Failed: 0, #pkts decompress failed: 0

#send errors 11, #recv errors 0

local crypto endpt.: 172.18.124.199, remote crypto endpt.: 172.18.124.159

path mtu 1500, media mtu 1500

current outbound spi: 7B7B2015

inbound ESP sas:

spi: 0x892741BC(2301051324)

transform: esp-3des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 940, flow_id: 1, crypto map: mymap

sa timing: remaining key lifetime (k/sec): (4607998/1237)

IV size: 8 bytes

replay detection support: Y

inbound ah sas:

inbound PCP sas:

outbound ESP sas:

spi: 0x7B7B2015(2071666709)

transform: esp-3des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 941, flow_id: 2, crypto map: mymap

sa timing: remaining key lifetime (k/sec): (4607999/1237)

IV size: 8 bytes

replay detection support: Y

outbound ah sas:

outbound PCP sas:

vpn3640# show crypto engine connection active

ID Interface IP-Address State Algorithm Encrypt Decrypt

4

set HMAC_MD5+DES_56_CB 0 0

940 Ethernet0/0 172.18.124.199 set HMAC_MD5+3DES_56_C 0 4

941 Ethernet0/0 172.18.124.199 set HMAC_MD5+3DES_56_C 4 0

Verificar os Números de Sequência do Mapa de Criptografia

Se os pares estáticos e dinâmicos são configurados no mesmo mapa de criptografia, a ordem das entradas do mapa de criptografia é muito importante. O número de seqüência da entrada do mapa de criptografia dinâmico deve ser mais alto do que todas as outras entradas do mapa estático de criptografia. Se as entradas estáticas forem numeradas acima da entrada dinâmica, as conexões com esses peers falharão.

Aqui está um exemplo de um mapa de criptografia numerado corretamente que contenha uma entrada estática e uma entrada dinâmica. Note que a entrada dinâmica tem o número de seqüência mais alto e a sala foi adicionada à entrada adicional estática:

crypto dynamic-map dynmap 10

set transform-set myset

crypto map clientmap 1 ipsec-isakmp

set peer 172.18.124.199

set transform-set myset

match address 100

crypto map clientmap 10 ipsec-isakmp dynamic dynmap

Troubleshoot

Esta seção fornece informações que ajudam a solucionar problemas de sua configuração.

Comandos para Troubleshooting

A Output Interpreter Tool (somente clientes registrados) oferece suporte a determinados comandos show, o que permite exibir uma análise da saída do comando show.

Nota:Consulte Informações Importantes sobre Comandos de Depuração antes de usar os comandos debug.

- debug crypto ipsec — Exibe eventos de IPSec. O modo não deste comando desabilita a saída de depuração.

- debug crypto isakmp — Exibe mensagens sobre eventos de IKE. O modo não deste comando desabilita a saída de depuração.

- debug crypto engine — Exibe informações referentes ao mecanismo de criptografia, por exemplo, quando o software Cisco IOS executa operações de criptografia ou descriptografia.

Informações Relacionadas

- Página do suporte de protocolo do IPsec Negotiation/IKE

- Suporte Técnico e Documentação - Cisco Systems