Easy VPN 基于路由器硬件客户端

-----红色字体为可变选项

-----蓝色字体为注释行

服务器端配置

在路由器上指定AAA

Router(config)#aaa new-model

启用AAA身份验证，验证列表名为authen，验证方法为local

Router(config)#aaa authentication login authen local

启用AAA网络授权，授权列表名为author，授权方法为本地

Router(config)#aaa authorization network author local

验证方法为local时，需要在路由器本地定义用户名和密码

Router(config)#username cisco password cisco 

定义阶段一的参数

Router(config)#crypto isakmp policy 1

Router(config-isakmp)#hash sha

Router(config-isakmp)#group 2

Router(config-isakmp)#authentication pre-share

Router(config-isakmp)#encryption 3des

定义地址池，给远程访问用户分配一个内部地址

Router(config)#ip local pool pool 192.168.1.1 192.168.1.10

定义到内部的流量保护

Router(config)#access-list 101 permit ip 10.10.1.0 0.0.0.255 any

定义Easy VPN 组及参数

Router(config)#crypto isakmp client configuration group group

Router(config-isakmp-group)#key groupkey

Router(config-isakmp-group)#pool pool

Router(config-isakmp-group)#acl 101

定义传输集

Router(config)#crypto ipsec transform-set benet esp-3des esp-sha-hmac 

定义动态的Crypto Map 条目

Router(config)#crypto dynamic-map dy 1 

Router(config-crypto-map)#set transform-set benet

定义静态的Crypto Map 条目和XAUTH

Router(config)#crypto map mymap isakmp authorization list author

Router(config)#crypto map mymap client authentication list authen

Router(config)#crypto map mymap client configuration address respond 

Router(config)#crypto map mymap 1000 ipsec-isakmp dynamic dy

将Crypto Map 应用到接口

Router(config)#int f1/0

Router(config-if)#crypto map mymap 

客户机端配置

建立连接配置文件

Router(config)#crypto ipsec client ez myeasy 

远端设备使用的连接模式

Router(config-crypto-ez)#mode network-extension

将远端设备的连接模式设置为自动发起连接

Router(config-crypto-ez)#connect auto

指定远端设备属于服务器上的哪个组和这个组的预共享密钥

Router(config-crypto-ez)#group group key groupkey

远端设备要连接到的服务器的地址

Router(config-crypto-ez)#peer 200.1.1.1

Router(config-crypto-ez)#username cisco password cisco

应用到接口

Router(config)#int f0/0

Router(config-if)#crypto ipsec client ez myeasy inside

Router(config-if)#int f1/0

Router(config-if)#crypto ipsec client ez myeasy outside

完成XAUTH认证

Router#crypto ipsec client ez xauth

Username: cisco

Password: 

在服务器端配置下列命令，允许硬件客户端存储XAUTH认证信息，不必每次提供认证

Router(config)#crypto isakmp client configuration group group 

Router(config-isakmp-group)#save-password 

配置分离隧道，对VPN流量不做NAT转换

Router(config)#access-list 100 deny ip 10.20.1.0 0.0.0.255 10.10.1.0 0.0.0.255

Router(config)#access-list 100 permit ip any any

配置NAT转换 

Router(config)#ip nat inside source list 100 interface f1/0 overload