История страницы

1

Проверить доступность «внешних» IP-адресов, находящихся на физических интерфейсах.

2

Подготовить IPsec-туннели для работы совместно с динамическими GRE-туннелями.

См. раздел Управление туннелированием#Настройка Настройка Policy-based IPsec VPN.

esr(config)# tunnel gre <INDEX>

<INDEX> – идентификатор туннеля.

4

Перевести GRE-туннель в режим multipoint.

esr(config-gre )# multipoint

esr(config-gre )# ip vrf forwarding <VRF>

<VRF> – имя экземпляра VRF, задается строкой до 31 символа.

Без указания ключа "vrf" и имени экземпляра VRF, будет использоваться IP-интерфейс глобальной конфигурации.

esr(config-gre)# local address <ADDR>

esr(config-gre)# local interface <IF>

8

Задать IP-адрес на туннеле. В качестве альтернативы можно настроить DHCP-клиент для получения IP-адреса от DHCP-сервера.

esr(config-gre)# ip address <ADDR/LEN>

или

esr(config-gre)# ip address <ADDR/LEN> secondary

<ADDR/LEN> – IP-адрес и длина маски подсети, задаётся в виде AAA.BBB.CCC.DDD/EE, где каждая часть AAA – DDD принимает значения [0..255] и EE принимает значения [1..32].

Ключ secondary указывает, что настроенный адрес является дополнительным IP-адресом. Если это ключевое слово отсутствует, настроенный адрес является основным IP-адресом. Возможно указать до 7 дополнительных IP-адресов.

esr(config-gre)# ip address dhcp

9

Установить открытый пароль для NHRP-пакетов (необязательно).

esr(config-gre)# ip nhrp authentication <WORD>

<WORD> – пароль в открытой форме, задается строкой [1..8] символов, может включать символы [0-9a-fA-F].

10

Указать время, в течение которого на NHS будет существовать запись о данном клиенте (не обязательно).

esr(config-gre)# ip nhrp holding-time <TIME>

<TIME> – время в секундах, в течение которого на сервере будет существовать запись о данном клиенте, принимает значения [1..65535].

Значение по умолчанию: 7200.

11

Задать соответствие «внутреннего» туннельного адреса с «внешним» NBMA-адресом.

esr(config-gre)# ip nhrp map <ADDR> <ADDR>

<ADDR> – IP-адрес задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255].

12

Задать «логический (туннельный)» адрес NHRP-сервера.

esr(config-gre)# ip nhrp nhs <ADDR>

<ADDR> – адрес, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть AAA – DDD принимает значения [0..255].

13

Определить адресата мультикастного трафика.

esr(config-gre)# ip nhrp multicast { dynamic | nhs | <ADDR> }

• dynamic – отправлять на все пиры, с которыми есть соединение;
• nhs – отправлять на все статические сконфигурированные сервера;

<ADDR> – отправлять на специфически сконфигурированный адрес, задаётся в виде AAA.BBB.CCC.DDD, где каждая часть принимает значения [0..255].

14

Включить возможность отправки NHRP Traffic Indication пакетов. Выполняется на NHS (необязательно).

esr(config-gre)# ip nhrp redirect

15

Включить возможность создания кратчайших маршрутов. Выполняется на NHC (необязательно).

esr(config-gre)# ip nhrp shortcut

16

Привязать IPsec-VPN к mGRE-туннелю (необязательно).

esr(config-gre)# ip nhrp ipsec <WORD> { static | dynamic }

<WORD> – имя VPN, задаётся строкой до 31 символа;

• static – статическое соединение, применятся для связи с NHS;
• dynamic – динамически устанавливающееся соединение, конфигурируется для связи между NHC.

19

Включить работу протокола NHRP.

esr(config-gre)# ip nhrp enable

20

Организовать IP-связность посредством протокола динамической маршрутизации.

esr(config)# tunnel vti <TUN>

esr(config-vti)#local address <ADDR>

esr(config-vti)#remote address <ADDR>

esr(config-vti)# ip address <ADDR/LEN> [unit <ID>]

или 

esr(config-vti)# ip address <ADDR/LEN> secondary [unit <ID>]

<ADDR/LEN> – IP-адрес и префикс подсети задаётся в виде AAA.BBB.CCC.DDD/EE, где каждая часть AAA – DDD принимает значения [0..255] и EE принимает значения [1..32];

<ID> – номер юнита, принимает значения [1..2].

Ключ secondary указывает, что настроенный адрес является дополнительным IP-адресом. Если это ключевое слово отсутствует, настроенный адрес является основным IP-адресом. Возможно указать до 7 дополнительных IP-адресов.

esr(config-vti)# security-zone<NAME>

esr(config-vti)# ip firewall disable

esr(config-vti)#enable

esr(config)# security ike proposal <NAME>

esr(config-ike-proposal)# description<DESCRIPTION>

esr(config-ike-proposal)# authentication algorithm <ALGORITHM>

<ALGORITHM> – алгоритм аутентификации, принимает значения: md5, sha1, sha2-256, sha2‑384, sha2-512.

Значение по умолчанию: sha1.

esr(config-ike-proposal)# encryption algorithm <ALGORITHM>

<ALGORITHM> – протокол шифрования, принимает значения: des, 3des, blowfish128, blowfish192, blowfish256, aes128, aes192, aes256, aes128ctr, aes192ctr, aes256ctr, camellia128, camellia192, camellia256.

Значение по умолчанию: 3des.

11

Определить номер группы Диффи-Хэллмана (необязательно).

esr(config-ike-proposal)# dh-group <DH-GROUP>

<DH-GROUP> – номер группы Диффи-Хэллмана, принимает значения [1, 2, 5, 14, 15, 16, 17, 18].

Значение по умолчанию: 1.

12

Создать IKE-политику и перейти в режим её конфигурирования.

esr(config)# security ike policy <NAME>

<NAME> – имя политики IKE, задаётся строкой до 31 символа.

13

Определить режим аутентификации IKE (необязательно).

esr(config-ike-policy)# authentication method <METHOD>

<METHOD> – метод аутентификации ключа. Может принимать значения:

• pre - shared - key – метод аутентификации, использующий предварительно полученные ключи шифрования;
•  public - key – метод аутентификации, использующий сертификат.

Значение по умолчанию: pre-shared-key.

14

Задать время жизни соединения протокола IKE (необязательно).

esr(config-ike-policy)# lifetime seconds <SEC>

<SEC> – период времени, принимает значения
[4 ..86400] секунд.

Значение по умолчанию: 10800.

15

Привязать IKE-профиль к IKE-политике.

esr(config-ike-policy)# proposal <NAME>

<NAME> – имя профиля протокола IKE, задаётся строкой до 31 символа.

16

Указать ключ аутентификации (обязательно, если в качестве режима аутентификации выбран pre-shared-key).

esr(config-ike-policy)# pre-shared-key ascii-text<TEXT>

<TEXT> – строка [1..64] ASCII-символов.

17

Создать IKE-шлюз и перейти в режим его конфигурирования.

esr(config)# security ike gateway <NAME>

<NAME> – имя шлюза протокола IKE, задаётся строкой до 31 символа.

18

Привязать IKE-политику к IKE-шлюзу.

esr(config-ike-gw)# ike-policy <NAME>

<NAME> – имя политики протокола IKE, задаётся строкой до 31 символа.

19

Указать версию IKE (необязательно).

esr(config-ike-gw)# version <VERSION>

<version> – версия IKE-протокола: v1-only или v2-only.

Значение по умолчанию: v1-only.

20

Установить режим перенаправления трафика в туннель – route-based.

esr(config-ike-gw)# mode route-based

21

Указать действие для DPD (необязательно).

esr(config-ike-gw)# dead-peer-detection action <MODE>

<MODE> – режим работы DPD:

• restart – соединение переустанавливается;
• clear – соединение останавливается;
• hold – соединение поддерживается;
• none – механизм выключен, никаких действий не предпринимается.

Значение по умолчанию: none.

22

Указать интервал между отправкой сообщений механизмом DPD (необязательно).

esr(config-ike-gw)# dead-peer-detection interval <SEC>

<SEC> – интервал между отправкой сообщений механизмом DPD, принимает значения [1..180] секунд.

Значение по умолчанию: 2.

23

Указать период времени ожидания ответа на сообщения механизма DPD при использовании протокола IKE версии 1 (необязательно).

esr(config-ike-gw)# dead-peer-detection timeout <SEC>

<SEC> – период времени ожидания ответа на сообщения механизма DPD при использовании протокола IKE версии 1, принимает значения [1..180] секунд.

Значение по умолчанию: 30 секунд.

<TRIES> – количество попыток повторной отправки сообщений механизма DPD в случае наступления таймаута ожидания ответа при использовании протокола IKE версии 2, принимает значения от 1 до 10.
Для первого отправленного сообщения DPD период времени ожидания ответа будет равен базовому периоду, указанному в команде dead-peer-detection retransmit timeout, а для последующих попыток интервал ожидания будет рассчитан по формуле:

"dead-peer-detection retransmit timeout" * 1.8 ^ (N-1), где N - номер попытки.

Значение по умолчанию: 5 попыток.

<VALUE> – максимальный процент разброса значений, принимает значения [0..100].

Значение по умолчанию: 0 %

<SEC> – максимальный период времени ожидания ответа на сообщения механизма DPD при использовании протокола IKE версии 2, принимает значения [15..300] секунд.

Значение по умолчанию: 0 секунд, у периода нет верхнего предела.

29

Привязать VTI-туннель к IKE-шлюзу.

esr(config-ike-gw)# bind-interface vti <VTI>

<VTI> – идентификационный номер интерфейса VTI.

30

Создать в IPsec-профиль.

esr(config)# security ipsec proposal <NAME>

<NAME> – имя профиля протокола IPsec, задаётся строкой до 31 символа.

31

Определить алгоритм аутентификации для IPsec (необязательно).

esr(config-ipsec-proposal)# authentication algorithm <ALGORITHM>

<ALGORITHM> – алгоритм аутентификации, принимает значения: md5, sha1, sha2-256, sha2‑384, sha2-512.

Значение по умолчанию: sha1.

32

Определить алгоритм шифрования для IPsec (необязательно).

esr(config-ipsec-proposal)# encryption algorithm <ALGORITHM>

<ALGORITHM> – протокол шифрования, принимает значения: des, 3des, blowfish128, blowfish192, blowfish256, aes128, aes192, aes256, aes128ctr, aes192ctr, aes256ctr, camellia128, camellia192, camellia256.

Значение по умолчанию: 3des.

33

Указать протокол инкапсуляции для IPsec (необязательно).

esr(config-ipsec-proposal)# protocol <PROTOCOL>

<PROTOCOL> – инкапсулирующий протокол, принимает значения:

• ah – данный протокол осуществляет только аутентификацию трафика, шифрование данных не выполняется;
• esp – данный протокол осуществляет аутентификацию и шифрование трафика.

Значение по умолчанию: esp.

34

Создать IPsec-политику и перейти в режим её конфигурирования.

esr(config)# security ipsec policy <NAME>

<NAME> – имя политики IPsec, задаётся строкой до 31 символа.

35

Привязать IPsec-профиль к IPsec-политике.

esr(config-ipsec-policy)# proposal <NAME>

<NAME> – имя профиля протокола IPsec, задаётся строкой до 31 символа.

36

Задать время жизни IPsec-туннеля (необязательно).

esr(config-ipsec- policy)# lifetime { seconds <SEC> |
packets <PACKETS> | kilobytes <KB> }

<SEC> – период времени жизни IPsec-туннеля, по истечении происходит пересогласование. Принимает значения [1140..86400] секунд.

<PACKETS> – количество пакетов, после передачи которого происходит пересогласование IPsec-туннеля. Принимает значения [4..86400].

<KB> – объем трафика, после передачи которого происходит пересогласование IPsec-туннеля. Принимает значения [4..4608000] секунд.

Значение по умолчанию: 28800 секунд.

37

Отключить реаутентификацию IKE сессии (необязательно).

esr(config-ipsec- policy)# reauthentication disable

37

Создать IPsec VPN и перейти в режим конфигурирования.

esr(config)# security ipsec vpn <NAME>

<NAME> – имя VPN, задаётся строкой до 31 символа.

38

Определить режим согласования данных, необходимых для активации VPN.

esr(config-ipsec-vpn)# mode <MODE>

<MODE> – режим работы VPN.

39

Привязать IPsec-политику к IPsec-VPN.

esr(config-ipsec-vpn)# ike ipsec-policy <NAME>

<NAME> – имя IPsec-политики, задаётся строка до 31 символа.

40

Задать значение DSCP для использования в IP-заголовке исходящих пакетов IKE-протокола (необязательно).

esr(config-ipsec-vpn)# ike dscp <DSCP>

DSCP> – значение кода DSCP, принимает значения в диапазоне [0..63].

Значение по умолчанию: 63.

41

Установить режим активации VPN.

esr(config-ipsec-vpn)# ike establish-tunnel <MODE>

<MODE> – режим активации VPN:

• by - request – соединение активируется встречной стороной;
• route – соединение активируется при появлении трафика, маршрутизируемого в туннель;
• immediate – туннель активируется автоматически после применения конфигурации.

42

Осуществить привязку IKE-шлюза к IPsec-VPN.

esr(config-ipsec-vpn)# ike gateway <NAME>

<NAME> – имя IKE-шлюза, задаётся строкой до 31 символа.

43

Установить значение временного интервала в секундах, по истечению которого соединение закрывается, если не было принято или передано ни одного пакета через SA (необязательно).

esr(config-ipsec-vpn)# ike idle-time <TIME>

<TIME> – интервал в секундах, принимает значения [4..86400].

44

Отключить пересогласование ключей до разрыва IKE-соединения по истечению времени, количеству переданных пакетов или байт (необязательно).

esr(config-ipsec-vpn)# ike rekey disable

45

Настроить начало пересогласования ключей IKE-соединения до истечения времени жизни (необязательно).

esr(config-ipsec-vpn)# ike rekey margin { seconds <SEC> |
packets <PACKETS> | kilobytes <KB> }

<SEC> – интервал времени в секундах, оставшийся до закрытия соединения (задается командой lifetimeseconds, см. 22.2.13). Принимает значения [4..86400].

<PACKETS> – количество пакетов, оставшихся до закрытия соединения (задается командой lifetimepackets). Принимает значения [4..86400]

<KB> – объем трафика в килобайтах, оставшийся до закрытия соединения (задается командой lifetimekilobytes). Принимает значения [4..86400]

Значение по умолчанию:

• Пересогласование ключей до истечения времени – за 540 секунд.
• Пересогласование ключей до истечения объема трафика и количества пакетов – отключено.

46

Установить уровень случайного разброса значений параметров margin seconds, margin packets, margin kilobytes (необязательно).

esr(config-ipsec-vpn)# ike rekey randomization <VALUE>

<VALUE> – максимальный процент разброса значений, принимает значения [1..100].

Значение по умолчанию: 100%

47

Указать описание для IPsec-VPN (необязательно).

esr(config-ipsec-vpn)# description <DESCRIPTION>

<DESCRIPTION> – описание профиля, задаётся строкой до 255 символов.

48

Активировать IPsec VPN.

esr(config-ipsec-vpn)# enable