目錄

簡介

必要條件

需求

採用元件

慣例

設定

網路圖表

組態

驗證

疑難排解

疑難排解指令

相關資訊

簡介

以下配置不常用，但設計為允許在中央路由器上終止Cisco安全VPN客戶端IPSec隧道。當通道啟動時，PC從中央路由器的IP地址池接收其IP地址（在我們的示例中，路由器名稱為「moss」），然後池流量可以到達moss後面的本地網路，或者路由並加密到外圍路由器後面的網路（在我們的示例中，路由器名稱為「carter」）。 此外，從專用網路10.13.1.X到10.1.1.X的流量會進行加密；路由器正在執行NAT過載。

必要條件

需求

本文件沒有特定需求。

採用元件

本文中的資訊係根據以下軟體和硬體版本：

- Cisco IOS®軟體版本12.1.5.T(c3640-io3s56i-mz.121-5.T)

- Cisco安全VPN使用者端1.1

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路正在作用，請確保您已瞭解任何指令可能造成的影響。

慣例

如需文件慣例的詳細資訊，請參閱思科技術提示慣例。

設定

本節提供用於設定本文件中所述功能的資訊。

注意：要查詢有關本文檔中使用的命令的其他資訊，請使用命令查詢工具(僅限註冊客戶)。

網路圖表

本檔案會使用以下網路設定：

組態

本檔案會使用以下設定：

- moss組態

- carter配置

moss組態

Version 12.1

no service single-slot-reload-enable

service timestamps debug uptime

service timestamps log uptime

no service password-encryption

!

hostname moss

!

logging rate-limit console 10 except errors

enable password ww

!

ip subnet-zero

!

no ip finger

!

ip audit notify log

ip audit po max-events 100

!

crypto isakmp policy 1

hash md5

authentication pre-share

crypto isakmp key cisco123 address 99.99.99.1

crypto isakmp key cisco123 address 0.0.0.0 0.0.0.0

crypto isakmp client configuration address-pool local RTP-POOL

!

crypto ipsec transform-set rtpset esp-des esp-md5-hmac

!

crypto dynamic-map rtp-dynamic 20

set transform-set rtpset

!

crypto map rtp client configuration address initiate

crypto map rtp client configuration address respond

!crypto map sequence for network to network traffic

crypto map rtp 1 ipsec-isakmp

set peer 99.99.99.1

set transform-set rtpset

match address 115

!--- crypto map sequence for VPN Client network traffic.

crypto map rtp 10 ipsec-isakmp dynamic rtp-dynamic

!

call rsvp-sync

!

interface Ethernet2/0

ip address 172.18.124.154 255.255.255.0

ip nat outside

no ip route-cache

no ip mroute-cache

half-duplex

crypto map rtp

!

interface Serial2/0

no ip address

shutdown

!

interface Ethernet2/1

ip address 10.13.1.19 255.255.255.0

ip nat inside

half-duplex

!

ip local pool RTP-POOL 192.168.1.1 192.168.1.254

ip nat pool ETH20 172.18.124.154 172.18.124.154 netmask 255.255.255.0

ip nat inside source route-map nonat pool ETH20 overload

ip classless

ip route 0.0.0.0 0.0.0.0 172.18.124.1

ip route 10.1.1.0 255.255.255.0 172.18.124.158

ip route 99.99.99.0 255.255.255.0 172.18.124.158

no ip http server

!

!--- Exclude traffic from NAT process.

access-list 110 deny ip 10.13.1.0 0.0.0.255 10.1.1.0 0.0.0.255

access-list 110 deny ip 10.13.1.0 0.0.0.255 192.168.1.0 0.0.0.255

access-list 110 permit ip 10.13.1.0 0.0.0.255 any

!--- Include traffic in encryption process.

access-list 115 permit ip 10.13.1.0 0.0.0.255 10.1.1.0 0.0.0.255

access-list 115 permit ip 192.168.1.0 0.0.0.255 10.1.1.0 0.0.0.255

route-map nonat permit 10

match ip address 110

!

dial-peer cor custom

!

line con 0

transport input none

line aux 0

line vty 0 4

login

!

end

carter配置

Current configuration : 2059 bytes

!

version 12.1

no service single-slot-reload-enable

service timestamps debug uptime

service timestamps log uptime

no service password-encryption

!

hostname carter

!

logging rate-limit console 10 except errors

!

ip subnet-zero

!

no ip finger

!

ip audit notify log

ip audit po max-events 100

!

crypto isakmp policy 1

hash md5

authentication pre-share

crypto isakmp key cisco123 address 172.18.124.154

!

crypto ipsec transform-set rtpset esp-des esp-md5-hmac

!

!--- crypto map sequence for network-to-network traffic.

crypto map rtp 1 ipsec-isakmp

set peer 172.18.124.154

set transform-set rtpset

match address 115

!

call rsvp-sync

!

interface Ethernet0/0

ip address 99.99.99.1 255.255.255.0

ip nat outside

half-duplex

crypto map rtp

!

interface FastEthernet3/0

ip address 10.1.1.1 255.255.255.0

ip nat inside

duplex auto

speed 10

!

ip nat pool ETH00 99.99.99.1 99.99.99.1 netmask 255.255.255.0

ip nat inside source route-map nonat pool ETH00 overload

ip classless

ip route 0.0.0.0 0.0.0.0 99.99.99.2

no ip http server

!

!--- Exclude traffic from NAT process.

access-list 110 deny ip 10.1.1.0 0.0.0.255 10.13.1.0 0.0.0.255

access-list 110 deny ip 10.1.1.0 0.0.0.255 192.168.1.0 0.0.0.255

access-list 110 permit ip 10.1.1.0 0.0.0.255 any

!--- Include traffic in encryption process.

access-list 115 permit ip 10.1.1.0 0.0.0.255 10.13.1.0 0.0.0.255

access-list 115 permit ip 10.1.1.0 0.0.0.255 192.168.1.0 0.0.0.255

route-map nonat permit 10

match ip address 110

!

line con 0

transport input none

line aux 0

line vty 0 4

password ww

login

!

end

驗證

本節提供的資訊可用於確認您的組態是否正常運作。

輸出直譯器工具(僅供註冊客戶使用)支援某些show命令，此工具可讓您檢視show命令輸出的分析。

- show crypto ipsec sa — 顯示第2階段安全關聯。

- show crypto isakmp sa — 顯示第1階段安全關聯。

疑難排解

本節提供的資訊可用於對組態進行疑難排解。

疑難排解指令

輸出直譯器工具(僅供註冊客戶使用)支援某些show命令，此工具可讓您檢視show命令輸出的分析。

注意：發出debug命令之前，請參閱有關Debug命令的重要資訊。

- debug crypto ipsec — 顯示第2階段的IPSec協商。

- debug crypto isakmp — 顯示第1階段的ISAKMP協商。

- debug crypto engine — 顯示加密的流量。

- clear crypto isakmp — 清除與第1階段相關的安全關聯。

- clear crypto sa — 清除與第2階段相關的安全關聯。

相關資訊

- 配置IPSec網路安全

- 配置Internet金鑰交換安全協定

- Cisco VPN使用者端支援頁面

- IPSec支援頁面

- 技術支援 - Cisco Systems