目錄

簡介

必要條件

需求

採用元件

慣例

設定

組態

驗證

疑難排解

疑難排解指令

相關資訊

簡介

本檔案將提供使用進階加密標準(AES)加密的IOS到IOS IPSec通道組態範例。

必要條件

需求

Cisco IOS® 12.2(13)T中引入了AES加密支援。

採用元件

本文中的資訊係根據以下軟體和硬體版本：

- Cisco IOS 軟體版本 12.3(10)

- 思科1721路由器

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路正在作用，請確保您已瞭解任何指令可能造成的影響。

慣例

如需文件慣例的詳細資訊，請參閱思科技術提示慣例。

設定

本節提供用於設定本文件中所述功能的資訊。

注意：要查詢有關本文檔中使用的命令的其他資訊，請使用命令查詢工具(僅限註冊客戶)。

組態

本文檔使用此處顯示的配置。

- 路由器1721-A

- 路由器1721-B

路由器1721-A

R-1721-A#show run

Building configuration...

Current configuration : 1706 bytes

!

! Last configuration change at 00:46:32 UTC Fri Sep 10 2004

! NVRAM config last updated at 00:45:48 UTC Fri Sep 10 2004

!

version 12.3

service timestamps debug datetime msec

service timestamps log datetime msec

no service password-encryption

!

hostname R-1721-A

!

boot-start-marker

boot-end-marker

!

!

memory-size iomem 15

mmi polling-interval 60

no mmi auto-configure

no mmi pvc

mmi snmp-timeout 180

no aaa new-model

ip subnet-zero

ip cef

!

!

!

ip audit po max-events 100

no ip domain lookup

no ftp-server write-enable

!

!

!

!

!--- Define Internet Key Exchange (IKE) policy.

crypto isakmp policy 10

!--- Specify the 256-bit AES as the !--- encryption algorithm within an IKE policy.

encr aes 256

!--- Specify that pre-shared key authentication is used.

authentication pre-share

!--- Specify the shared secret.

crypto isakmp key cisco123 address 10.48.66.146

!

!

!--- Define the IPSec transform set.

crypto ipsec transform-set aesset esp-aes 256 esp-sha-hmac

!

!--- Define crypto map entry name "aesmap" that will use !--- IKE to establish the security associations (SA).

crypto map aesmap 10 ipsec-isakmp

!--- Specify remote IPSec peer.

set peer 10.48.66.146

!--- Specify which transform sets !--- are allowed for this crypto map entry.

set transform-set aesset

!--- Name the access list that determines which traffic !--- should be protected by IPSec.

match address acl_vpn

!

!

!

interface ATM0

no ip address

shutdown

no atm ilmi-keepalive

dsl equipment-type CPE

dsl operating-mode GSHDSL symmetric annex A

dsl linerate AUTO

!

interface Ethernet0

ip address 192.168.100.1 255.255.255.0

ip nat inside

half-duplex

!

interface FastEthernet0

ip address 10.48.66.147 255.255.254.0

ip nat outside

speed auto

!--- Apply crypto map to the interface.

crypto map aesmap

!

ip nat inside source list acl_nat interface FastEthernet0 overload

ip classless

ip route 0.0.0.0 0.0.0.0 10.48.66.1

ip route 192.168.200.0 255.255.255.0 FastEthernet0

no ip http server

no ip http secure-server

!

ip access-list extended acl_nat

!--- Exclude protected traffic from being NAT'ed.

deny   ip 192.168.100.0 0.0.0.255 192.168.200.0 0.0.0.255

permit ip 192.168.100.0 0.0.0.255 any

!--- Access list that defines traffic protected by IPSec.

ip access-list extended acl_vpn

permit ip 192.168.100.0 0.0.0.255 192.168.200.0 0.0.0.255

!

!

line con 0

exec-timeout 0 0

line aux 0

line vty 0 4

!

end

R-1721-A#

路由器1721-B

R-1721-B#show run

Building configuration...

Current configuration : 1492 bytes

!

! Last configuration change at 14:11:41 UTC Wed Sep 8 2004

!

version 12.3

service timestamps debug datetime msec

service timestamps log datetime msec

no service password-encryption

!

hostname R-1721-B

!

boot-start-marker

boot-end-marker

!

!

memory-size iomem 15

mmi polling-interval 60

no mmi auto-configure

no mmi pvc

mmi snmp-timeout 180

no aaa new-model

ip subnet-zero

ip cef

!

!

!

ip audit po max-events 100

no ip domain lookup

no ftp-server write-enable

!

!

!

!

!

!--- Define IKE policy.

crypto isakmp policy 10

!--- Specify the 256-bit AES as the !--- encryption algorithm within an IKE policy.

encr aes 256

!--- Specify that pre-shared key authentication is used.

authentication pre-share

!--- Specify the shared secret.

crypto isakmp key cisco123 address 10.48.66.147

!

!

!--- Define the IPSec transform set.

crypto ipsec transform-set aesset esp-aes 256 esp-sha-hmac

!

!--- Define crypto map entry name "aesmap" that uses !--- IKE to establish the SA.

crypto map aesmap 10 ipsec-isakmp

!--- Specify remote IPSec peer.

set peer 10.48.66.147

!--- Specify which transform sets !--- are allowed for this crypto map entry.

set transform-set aesset

!--- Name the access list that determines which traffic !--- should be protected by IPSec.

match address acl_vpn

!

!

!

interface Ethernet0

ip address 192.168.200.1 255.255.255.0

ip nat inside

half-duplex

!

interface FastEthernet0

ip address 10.48.66.146 255.255.254.0

ip nat outside

speed auto

!--- Apply crypto map to the interface.

crypto map aesmap

!

ip nat inside source list acl_nat interface FastEthernet0 overload

ip classless

ip route 0.0.0.0 0.0.0.0 10.48.66.1

ip route 192.168.100.0 255.255.255.0 FastEthernet0

no ip http server

no ip http secure-server

!

ip access-list extended acl_nat

!--- Exclude protected traffic from being NAT'ed.

deny   ip 192.168.200.0 0.0.0.255 192.168.100.0 0.0.0.255

permit ip 192.168.200.0 0.0.0.255 any

!--- Access list that defines traffic protected by IPSec.

ip access-list extended acl_vpn

permit ip 192.168.200.0 0.0.0.255 192.168.100.0 0.0.0.255

!

!

line con 0

exec-timeout 0 0

line aux 0

line vty 0 4

!

end

R-1721-B#

驗證

本節提供的資訊可用於確認您的組態是否正常運作。

輸出直譯器工具(僅供註冊客戶使用)支援某些show命令，此工具可讓您檢視show命令輸出的分析。

- show crypto isakmp sa — 顯示網際網路安全關聯和金鑰管理協定(ISAKMP)SA的狀態。

路由器1721-A

R-1721-A#show crypto isakmp sa

dst             src             state          conn-id slot

10.48.66.147    10.48.66.146    QM_IDLE              1    0

路由器1721-B

R-1721-B#show crypto isakmp sa

dst             src             state          conn-id slot

10.48.66.147    10.48.66.146    QM_IDLE              1    0

- show crypto ipsec sa — 顯示活動隧道的統計資訊。

路由器1721-A

R-1721-A#show crypto ipsec sa

interface: FastEthernet0

Crypto map tag: aesmap, local addr. 10.48.66.147

protected vrf:

local  ident (addr/mask/prot/port): (192.168.100.0/255.255.255.0/0/0)

remote ident (addr/mask/prot/port): (192.168.200.0/255.255.255.0/0/0)

current_peer: 10.48.66.146:500

PERMIT, flags={origin_is_acl,}

#pkts encaps: 30, #pkts encrypt: 30, #pkts digest 30

#pkts decaps: 30, #pkts decrypt: 30, #pkts verify 30

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. failed: 0

#pkts not decompressed: 0, #pkts decompress failed: 0

#send errors 0, #recv errors 0

local crypto endpt.: 10.48.66.147, remote crypto endpt.: 10.48.66.146

path mtu 1500, ip mtu 1500, ip mtu idb FastEthernet0

current outbound spi: 2EB0BA1A

inbound esp sas:

spi: 0xFECA28BC(4274661564)

transform: esp-256-aes esp-sha-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2000, flow_id: 1, crypto map: aesmap

sa timing: remaining key lifetime (k/sec): (4554237/2895)

IV size: 16 bytes

replay detection support: Y

inbound ah sas:

inbound pcp sas:

outbound esp sas:

spi: 0x2EB0BA1A(783333914)

transform: esp-256-aes esp-sha-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2001, flow_id: 2, crypto map: aesmap

sa timing: remaining key lifetime (k/sec): (4554237/2894)

IV size: 16 bytes

replay detection support: Y

outbound ah sas:

outbound pcp sas:

R-1721-A#

路由器1721-B

R-1721-B#show crypto ipsec sa

interface: FastEthernet0

Crypto map tag: aesmap, local addr. 10.48.66.146

protected vrf:

local  ident (addr/mask/prot/port): (192.168.200.0/255.255.255.0/0/0)

remote ident (addr/mask/prot/port): (192.168.100.0/255.255.255.0/0/0)

current_peer: 10.48.66.147:500

PERMIT, flags={origin_is_acl,}

#pkts encaps: 30, #pkts encrypt: 30, #pkts digest 30

#pkts decaps: 30, #pkts decrypt: 30, #pkts verify 30

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. failed: 0

#pkts not decompressed: 0, #pkts decompress failed: 0

#send errors 5, #recv errors 0

local crypto endpt.: 10.48.66.146, remote crypto endpt.: 10.48.66.147

path mtu 1500, ip mtu 1500, ip mtu idb FastEthernet0

current outbound spi: FECA28BC

inbound esp sas:

spi: 0x2EB0BA1A(783333914)

transform: esp-256-aes esp-sha-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2000, flow_id: 1, crypto map: aesmap

sa timing: remaining key lifetime (k/sec): (4583188/2762)

IV size: 16 bytes

replay detection support: Y

inbound ah sas:

inbound pcp sas:

outbound esp sas:

spi: 0xFECA28BC(4274661564)

transform: esp-256-aes esp-sha-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2001, flow_id: 2, crypto map: aesmap

sa timing: remaining key lifetime (k/sec): (4583188/2761)

IV size: 16 bytes

replay detection support: Y

outbound ah sas:

outbound pcp sas:

R-1721-B#

- show crypto engine connections active — 顯示每個SA的加密/解密總數。

路由器1721-A

R-1721-A#show crypto engine connections active

ID Interface       IP-Address      State  Algorithm           Encrypt  Decrypt

1 FastEthernet0   10.48.66.147    set    HMAC_SHA+AES_256_C        0        0

2000 FastEthernet0   10.48.66.147    set    HMAC_SHA+AES_256_C        0       30

2001 FastEthernet0   10.48.66.147    set    HMAC_SHA+AES_256_C       30        0

路由器1721-B

R-1721-B#show crypto engine connections active

ID Interface       IP-Address      State  Algorithm           Encrypt  Decrypt

1 FastEthernet0   10.48.66.146    set    HMAC_SHA+AES_256_C        0        0

2000 FastEthernet0   10.48.66.146    set    HMAC_SHA+AES_256_C        0       30

2001 FastEthernet0   10.48.66.146    set    HMAC_SHA+AES_256_C       30        0

疑難排解

本節提供的資訊可用於對組態進行疑難排解。

疑難排解指令

注意：發出debug指令之前，請先參閱有關Debug指令的重要資訊。

- debug crypto ipsec — 顯示IPSec事件。

- debug crypto isakmp — 顯示有關IKE事件的消息。

- debug crypto engine — 顯示來自加密引擎的資訊。

有關IPSec故障排除的其他資訊，請參閱IP安全故障排除 — 瞭解和使用debug命令。

相關資訊

- Cisco IOS軟體版本12.2T — 進階加密標準(AES)

- 配置IPSec網路安全

- IPSec支援頁面

- 技術支援 - Cisco Systems