Сравнение версий

Старая версия 3

changes.mady.by.user Сервисный центр Ethernet

Сохранено

по сравнению с

Новая версия 4

changes.mady.by.user Сервисный центр Ethernet

Сохранено

Ключ

  • Эта строка добавлена.
  • Эта строка удалена.
  • Изменено форматирование.

...

Алгоритм настройки Policy-based IPsec VPN
Якорь
Алгоритм настройки Policy-based IPsec VPN
Алгоритм настройки Policy-based IPsec VPN

ШагОписаниеКомандаКлючи
1Создать IKE-экземпляр и перейти в режим его конфигурирования.

esr(config)# security ike proposal <NAME>

<NAME> – имя профиля протокола IKE, задаётся строкой до 31 символа.
2Указать описание конфигурируемого туннеля (необязательно).

esr(config-ike-proposal)# description<DESCRIPTION>

<DESCRIPTION> – описание туннеля, задаётся строкой до 255 символов.
3Определить алгоритм аутентификации для IKE.

esr(config-ike-proposal)# authentication algorithm <ALGORITHM>

<ALGORITHM> – алгоритм аутентификации, принимает значения: md5, sha1, sha2-256, sha2‑384, sha2-512.
4Определить алгоритм шифрования для IKE.

esr(config-ike-proposal)# encryption algorithm <ALGORITHM>

<ALGORITHM> – протокол шифрования, принимает значения: des, 3des, blowfish128, blowfish192, blowfish256, aes128, aes192, aes256, aes128ctr, aes192ctr, aes256ctr, camellia128, camellia192, camellia256.
5Определить номер группы Диффи-Хэллмана.

esr(config-ike-proposal)# dh-group <DH-GROUP>

<DH-GROUP> – номер группы Диффи-Хэллмана, принимает значения [1, 2, 5, 14, 15, 16, 17, 18].
6Создать политику для профиля IKE и перейти в режим её конфигурирования.

esr(config)# security ike policy <NAME>

<NAME> – имя политики IKE, задаётся строкой до 31 символа.

7

Определить режим аутентификации.

esr(config-ike-policy)# authentication method <METHOD>

<METHOD> – метод аутентификации ключа. Может принимать значения:

  • pre - shared - key – метод аутентификации, использующий предварительно полученные ключи шифрования;
  •  public - key – метод аутентификации, использующий сертификат.
8Задать время жизни соединения протокола IKE (необязательно).

esr(config-ike-policy)# lifetime seconds <SEC>

<SEC> – период времени, принимает значения [4 ..86400] секунд.

Значение по умолчанию: 10800.

9Привязать политику к профилю.

esr(config-ike-policy)# proposal <NAME>

<NAME> – имя профиля протокола IKE, задаётся строкой до 31 символа.
10Указать ключ аутентификации.

esr(config-ike-policy)#pre-shared-key ascii-text<TEXT>

<TEXT> – строка [1..64] ASCII-символов.
11Создать шлюз для IKE и перейти в режим его конфигурирования.

esr(config)# security ike gateway <NAME>

<NAME> – имя шлюза протокола IKE, задаётся строкой до 31 символа.
12Привязать политику IKE.

esr(config-ike-gw)# ike-policy <NAME>

<NAME> – имя политики протокола IKE, задаётся строкой до 31 символа.
13Указать версию IKE (необязательно).

esr(config-ike-gw)# version <VERSION>

<version> – версия IKE-протокола: v1-only или v2-only.
14Установить режим перенаправления трафика в туннель.

esr(config-ike-gw)#mode<MODE>

<MODE> – режим перенаправления трафика в туннель, принимает значения:

  • policy - based – трафик перенаправляется на основе принадлежности к указанным в политиках подсетям;
  • route - based – трафик перенаправляется на основе маршрутов, шлюзом у которых является туннельный интерфейс.
15Указать действие для DPD (необязательно).

esr(config-ike-gw)# dead-peer-detection action <MODE>

<MODE> – режим работы DPD:

  • restart – соединение переустанавливается;
  • clear – соединение останавливается;
  • hold – соединение поддерживается;
  • none – механизм выключен, никаких действий не предпринимается.
16Указать интервал между отправкой сообщений механизмом DPD (необязательно).

esr(config-ike-gw)#dead-peer-detection interval <SEC>

<SEC> – интервал между отправкой сообщений механизмом DPD, принимает значения [1..180] секунд.

17

Указать период времени ожидания ответа на сообщения механизма DPD при использовании протокола IKE версии 1 (необязательно).

esr(config-ike-gw)# dead-peer-detection timeout <SEC>

<SEC> – период времени ожидания ответа на сообщения механизма DPD при использовании протокола IKE версии 1, принимает значения [1..180] секунд.

Значение по умолчанию: 30 секунд.

18Указать базовый период времени ожидания ответа на сообщения механизма DPD при использовании протокола IKE версии 2 (необязательно).esr(config-ike-gw)# dead-peer-detection retransmit timeout <SEC>
<SEC> – базовый период времени ожидания ответа на сообщения механизма DPD при использовании протокола IKE версии 2, принимает значения [1..30] секунд.
Значение по умолчанию: 4 секунды.
19Указать количество попыток повторной отправки сообщений механизма DPD после наступления таймаута ожидания ответа при использовании протокола IKE версии 2 (необязательно).esr(config-ike-gw)# dead-peer-detection retransmit tries <TRIES>

<TRIES> – количество попыток повторной отправки сообщений механизма DPD в случае наступления таймаута ожидания ответа при использовании протокола IKE версии 2, принимает значения от 1 до 10.
Для первого отправленного сообщения DPD период времени ожидания ответа будет равен базовому периоду, указанному в команде dead-peer-detection retransmit timeout, а для последующих попыток интервал ожидания будет рассчитан по формуле:

"dead-peer-detection retransmit timeout" * 1.8 ^ (N-1), где N - номер попытки.

Значение по умолчанию: 5 попыток.

20Указать уровень случайного разброса периода ожидания ответа на сообщения механизма DPD при использовании протокола IKE версии 2 (необязательно).esr(config-ike-gw)# dead-peer-detection retransmit jitter <VALUE>

<VALUE> – максимальный процент разброса значений, принимает значения [0..100].

Значение по умолчанию: 0 %

21Указать ограничение максимального периода времени ожидания ответа на сообщения механизма DPD при использовании протокола IKE версии 2 (необязательно).esr(config-ike-gw)# dead-peer-detection retransmit limit <SEC>

<SEC> – максимальный период времени ожидания ответа на сообщения механизма DPD при использовании протокола IKE версии 2, принимает значения [15..300] секунд.

Значение по умолчанию: 0 секунд, у периода нет верхнего предела.

22

Установить IP-адрес удаленного шлюза IPsec-туннеля.

esr(config-ike-gw)#remote address <ADDR>

<ADDR> – IP-адрес удаленного шлюза.

23

Установить IP-адрес подсети получателя, а также IP-протокол и порт.

esr(config-ike-gw)# remote network <ADDR/LEN>
[ protocol { <TYPE> | <ID> } [ port <PORT> ] ]

<ADDR/LEN> – IP-адрес и маска подсети отправителя. Параметр задаётся в виде AAA.BBB.CCC.DDD/EE, где каждая часть AAA – DDD принимает значения [0..255] и EE принимает значения [1..32];

<TYPE> – тип протокола, принимает значения: esp, icmp, ah, eigrp, ospf, igmp, ipip, tcp, pim, udp, vrrp, rdp, l2tp, gre;

<ID> – идентификационный номер IP-протокола, принимает значения [0x00-0xFF];

<PORT> – TCP/UDP-порт, принимает значения [1..65535].


Установить 





24

Создать в профиль IPsec.

esr(config)# security ipsec proposal <NAME>

<NAME> – имя профиля протокола IPsec, задаётся строкой до 31 символа.

25

Определить алгоритм аутентификации для IPsec.

esr(config-ipsec-proposal)# authentication algorithm <ALGORITHM>

<ALGORITHM> – алгоритм аутентификации, принимает значения: md5, sha1, sha2-256, sha2‑384, sha2-512.

26

Определить алгоритм шифрования для IPsec.

esr(config-ipsec-proposal)# encryption algorithm <ALGORITHM>

<ALGORITHM> – протокол шифрования, принимает значения: des, 3des, blowfish128, blowfish192, blowfish256, aes128, aes192, aes256, aes128ctr, aes192ctr, aes256ctr, camellia128, camellia192, camellia256.

27

Указать протокол (необязательно).

esr(config-ipsec-proposal)#protocol <PROTOCOL>

<PROTOCOL> – инкапсулирующий протокол, принимает значения

  • ah – данный протокол осуществляет только аутентификацию трафика, шифрование данных не выполняется;
  • esp – данный протокол осуществляет аутентификацию и шифрование трафика.

Значение по умолчанию: esp.

28

Создать политику для профиля IPsec и перейти в режим её конфигурирования.

esr(config)# security ipsec policy <NAME>

<NAME> – имя политики IPsec, задаётся строкой до 31 символа.

29

Привязать политику к профилю.

esr(config-ipsec-policy)# proposal <NAME>

<NAME> – имя профиля протокола IPsec, задаётся строкой до 31 символа.

30

Задать время жизни IPsec-туннеля (необязательно).

esr(config-ipsec-policy)# lifetime { seconds <SEC> |
packets <PACKETS> | kilobytes <KB> }

<SEC> – период времени жизни IPsec-туннеля, по истечении которого происходит пересогласование. Принимает значения [1140..86400] секунд.

<PACKETS> – количество пакетов, после передачи которых происходит пересогласование IPsec-туннеля. Принимает значения [4..86400].

<KB> – объем трафика, после передачи которого происходит пересогласование IPsec-туннеля. Принимает значения [4..4608000] секунд.

31

Отключить реаутентификацию IKE сессии (необязательно).

esr(config-ipsec-policy)# reauthentication disable


32

Создать IPsec VPN и перейти в режим конфигурирования.

esr(config)# security ipsecvpn <NAME>

<NAME> – имя VPN, задаётся строкой до 31 символа.

3233

Определить режим согласования данных, необходимых для активации VPN.

esr(config-ipsec-vpn)# mode <MODE>

<MODE> – режим работы VPN.

3334

Привязать IPsec политику к VPN.

esr(config-ipsec-vpn)#ike ipsec-policy <NAME>

<NAME> – имя IPsec-политики, задаётся строка до 31 символа.

3435

Задать значение DSCP для использования в IP-заголовке исходящих пакетов IKE-протокола (необязательно).

esr(config-ipsec-vpn)#ike dscp <DSCP>

DSCP> – значение кода DSCP, принимает значения в диапазоне [0..63].

3536

Установить режим активации VPN.

esr(config-ipsec-vpn)#ike establish-tunnel <MODE>

<MODE> – режим активации VPN:

  • by - request – соединение активируется встречной стороной;
  • route – соединение активируется при появлении трафика, маршрутизируемого в туннель;
  • immediate – туннель активируется автоматически после применения конфигурации.

3637

Осуществить привязка IKE-шлюза к VPN.

esr(config-ipsec-vpn)# ike gateway <NAME>

<NAME> – имя IKE-шлюза, задаётся строкой до 31 символа.

3738

Установить значение временного интервала в секундах, по истечению которого соединение закрывается, если не было принято или передано ни одного пакета через SA (необязательно).

esr(config-ipsec-vpn)# ike idle-time <TIME>

<TIME> – интервал в секундах, принимает значения [4..86400].

3839

Отключить пересогласование ключей до разрыва IKE-соединения по истечению времени, количеству переданных пакетов или байт (необязательно).

esr(config-ipsec-vpn)#ike rekey disable


3940

Настроить начало пересогласования ключей IKE-соединения до истечения времени жизни (необязательно).

esr(config-ipsec-vpn)# Ike rekey margin { seconds <SEC> |
packets <PACKETS> | kilobytes <KB> }

<SEC> – интервал времени в секундах, оставшийся до закрытия соединения (задается командой lifetimeseconds) . Принимает значения [4..86400].

<PACKETS> – количество пакетов, оставшихся до закрытия соединения (задается командой lifetimepackets). Принимает значения [4..86400].

<KB> – объем трафика в килобайтах, оставшийся до закрытия соединения (задается командой lifetimekilobytes). Принимает значения [4..86400]

4041

Установить уровень случайного разброса значений параметров marginseconds, marginpackets, marginkilobytes (необязательно).

esr(config-ipsec-vpn)# ike rekey randomization <VALUE>

<VALUE> – максимальный процент разброса значений, принимает значения [1..100].

4142

Описать VPN (необязательно).

esr(config-ipsec-vpn)# description <DESCRIPTION>

<DESCRIPTION> – описание профиля, задаётся строкой до 255 символов.

4243

Активировать IPsec VPN.

esr(config-ipsec-vpn)# enable


...

111213141516171819202122232425262728293031323334353637383940414243444546474849505152
ШагОписаниеКомандаКлючи
1Создать IKE-экземпляр и перейти в режим его конфигурирования.

esr(config)# security ike proposal <NAME>

<NAME> – имя профиля протокола IKE, задаётся строкой до 31 символа.
2Указать описание конфигурируемого туннеля (необязательно).

esr(config-ike-proposal)# description <DESCRIPTION>

<DESCRIPTION> – описание туннеля, задаётся строкой до 255 символов.
3Определить алгоритм аутентификации для IKE (необязательно).

esr(config-ike-proposal)# authentication algorithm <ALGORITHM>

<ALGORITHM> – алгоритм аутентификации, принимает значения: md5, sha1, sha2-256, sha2‑384, sha2-512.
Значение по умолчанию: sha1.
4Установить IP-адрес локальной стороны VTI-туннеля (необязательно).

esr(config-vti)# ip address <ADDR/LEN> [unit <ID>]

или

esr(config-vti)# ip address <ADDR/LEN> secondary [unit <ID>]

<ADDR/LEN> – IP-адрес и префикс подсети задаётся в виде AAA.BBB.CCC.DDD/EE, где каждая часть AAA – DDD принимает значения [0..255] и EE принимает значения [1..31];

<ID> – номер юнита, принимает значения [1..2].

Ключ secondary указывает, что настроенный адрес является дополнительным IP-адресом. Если это ключевое слово отсутствует, настроенный адрес является основным IP-адресом. Возможно указать до 7 дополнительных IP-адресов.

5Определить номер группы Диффи-Хэллмана (необязательно).

esr(config-ike-proposal)# dh-group <DH-GROUP>

<DH-GROUP> – номер группы Диффи-Хэллмана, принимает значения [1, 2, 5, 14, 15, 16, 17, 18].

Значение по умолчанию: 1.

6Создать политику для профиля IKE и перейти в режим её конфигурирования.

esr(config)# security ike policy <NAME>

<NAME> – имя политики IKE, задаётся строкой до 31 символа.
7Определить режим аутентификации.

esr(config-ike- policy)# authentication method <METHOD>

<METHOD> – метод аутентификации ключа. Может принимать значения:

  •  xauth - psk - key – метод двухфакторной аутентификации, использующий пару логин-пароль и предварительно полученные ключи шифрования;
  • eap - метод двухфакторной аутентификации, использующий пару логин-пароль и предварительно полученные сертификаты.
8Задать режим клиента (только для клиента).

esr(config-ike- policy)# authentication mode client


9Задать время жизни соединения протокола IKE (необязательно).

esr(config-ike- policy)# lifetime seconds <SEC>

<SEC> – период времени, принимает значения [4 ..86400] секунд.

Значение по умолчанию: 3600.

10Отключить реаутентификацию IKE сессии (необязательно).

esr(config-ipsec-policy)# reauthentication disable


11Привязать политику к профилю.

esr(config-ike-policy)# proposal <NAME>

<NAME> – имя профиля протокола IKE, задаётся строкой до 31 символа.
12Указать ключ аутентификации.

esr(config-ike-policy)#pre-shared-key ascii-text <TEXT>

<TEXT> – строка [1..64] ASCII символов.
13Указать сертификаты и ключи (только для метода EAP)esr-10(config-ike-policy)# crypto <CERTEFICATE-TYPE> <NAME><CERTIFICATE-TYPE> – тип сертификата или ключа, может принимать следующие значения:
  • ca – сертификат удостоверяющего сервера;
  • crl – список отозванных сертификатов;
  • local-crt – публичный сертификат сервера удалённого доступа;
  • local-crt-key – приватный ключ сервера удалённого доступа.

<NAME> – имя сертификата или ключа, задаётся строкой до 31 символа.

На стороне сервера необходимо добавить набор сертификатов (ca, local-crt, local-key).

На стороне клиента необходимо указать только корневой сертификат (ca).

14Создать профиль доступа.

esr(config)# access profile <NAME>

<NAME> – имя профиля доступа, задаётся строкой до 31 символа.
15Создать имя пользователя.

esr(config-access-profile)# user <LOGIN>

<LOGIN> – логин клиента, задаётся строкой до 31 символа.
16Задать пароль пользователя.

esr(config-profile)# password ascii-text <TEXT>

<TEXT> – строка [8..32] ASCII символов.
17Создать пул адресов назначения (только для сервера).

esr(config)# address-assignment pool <NAME>

<NAME> – имя пула адресов назначения, задаётся строкой до 31 символа.
18Задать подсеть, из которой будут выдаваться IP клиентам (только для сервера).

esr(config-pool)# ip prefix <ADDR/LEN>

<ADDR/LEN> – адрес подсети и префикс.
19Создать шлюз для IKE и перейти в режим его конфигурирования.

esr(config)# security ike gateway <NAME>

<NAME> – имя шлюза протокола IKE, задаётся строкой до 31 символа.
20Привязать политику IKE.

esr(config-ike-gw)# ike-policy <NAME>

<NAME> – имя политики протокола IKE, задаётся строкой до 31 символа.
21Установить режим перенаправления трафика в туннель.

esr(config-ike-gw)# mode <MODE>

<MODE> – режим перенаправления трафика в туннель, принимает значения:

  • policy - based – трафик перенаправляется на основе принадлежности к указанным в политиках подсетям.
22Указать действие для DPD (необязательно).

esr(config-ike-gw)# dead-peer-detection action <MODE>

<MODE> – режим работы DPD:

  • restart – соединение переустанавливается;
  • clear – соединение останавливается;
  • hold – соединение поддерживается;
  • none – механизм выключен, никаких действий не предпринимается.

Значение по умолчанию: none.

23Указать интервал между отправкой сообщений механизмом DPD (необязательно).

esr(config-ike-gw)#dead-peer-detection interval <SEC>

<SEC> – интервал между отправкой сообщений механизмом DPD, принимает значения [1..180] секунд.

Значение по умолчанию: 2.

24

Указать период времени ожидания ответа на сообщения механизма DPD при использовании протокола IKE версии 1 (необязательно).

esr(config-ike-gw)# dead-peer-detection timeout <SEC>

<SEC> – период времени ожидания ответа на сообщения механизма DPD при использовании протокола IKE версии 1, принимает значения [1..180] секунд.

Значение по умолчанию: 30 секунд.

25Указать базовый период времени ожидания ответа на сообщения механизма DPD при использовании протокола IKE версии 2 (необязательно).esr(config-ike-gw)# dead-peer-detection retransmit timeout <SEC>
<SEC> – базовый период времени ожидания ответа на сообщения механизма DPD при использовании протокола IKE версии 2, принимает значения [1..30] секунд.
Значение по умолчанию: 4 секунды.
26Указать количество попыток повторной отправки сообщений механизма DPD после наступления таймаута ожидания ответа при использовании протокола IKE версии 2 (необязательно).esr(config-ike-gw)# dead-peer-detection retransmit tries <TRIES>

<TRIES> – количество попыток повторной отправки сообщений механизма DPD в случае наступления таймаута ожидания ответа при использовании протокола IKE версии 2, принимает значения от 1 до 10.
Для первого отправленного сообщения DPD период времени ожидания ответа будет равен базовому периоду, указанному в команде dead-peer-detection retransmit timeout, а для последующих попыток интервал ожидания будет рассчитан по формуле:

"dead-peer-detection retransmit timeout" * 1.8 ^ (N-1), где N - номер попытки.

Значение по умолчанию: 5 попыток.

27Указать уровень случайного разброса периода ожидания ответа на сообщения механизма DPD при использовании протокола IKE версии 2 (необязательно).esr(config-ike-gw)# dead-peer-detection retransmit jitter <VALUE>

<VALUE> – максимальный процент разброса значений, принимает значения [0..100].

Значение по умолчанию: 0 %

28Указать ограничение максимального периода времени ожидания ответа на сообщения механизма DPD при использовании протокола IKE версии 2 (необязательно).esr(config-ike-gw)# dead-peer-detection retransmit limit <SEC>

<SEC> – максимальный период времени ожидания ответа на сообщения механизма DPD при использовании протокола IKE версии 2, принимает значения [15..300] секунд.

Значение по умолчанию: 0 секунд, у периода нет верхнего предела.

29Задать пул динамического выделения IP-адресов клиентам (только для сервера).

esr(config-ike-gw)# remote network dynamic pool <NAME>

<NAME> – имя пула адресов назначения, задаётся строкой до 31 символа.
30Задать режим динамического установления удаленной подсети (только для клиента).

esr(config-ike-gw)# remote network dynamic client


31Задать профиль доступа (только для сервера).

esr(config-ike-gw)# access-profile <NAME>

<NAME> – имя профиля доступа, задаётся строкой до 31 символа.
32Задать профиль доступа и логин (только для клиента).

esr(config-ike-gw)# access-profile <NAME> client <LOGIN>

<NAME> – имя профиля доступа, задаётся строкой до 31 символа;

<LOGIN> – логин клиента, задаётся строкой до 31 символа.

33Задать интерфейс терминации выделенного IP для построения IPsec VPN (только для клиента).

esr(config-ike-gw)# assign-interface loopback <INDEX>

<INDEX> – индекс интерфейса, принимает значения [1..65535].
34Создать профиль IPsec.

esr(config)# security ipsec proposal <NAME>

<NAME> – имя профиля протокола IPsec, задаётся строкой до 31 символа.
35Определить алгоритм аутентификации для IPsec (необязательно).

esr(config-ipsec-proposal)# authentication algorithm <ALGORITHM>

<ALGORITHM> – алгоритм аутентификации, принимает значения: md5, sha1, sha2-256, sha2‑384, sha2-512.

Значение по умолчанию: sha1.

36Определить алгоритм шифрования для IPsec (необязательно).

esr(config-ipsec-proposal)# encryption algorithm <ALGORITHM>

<ALGORITHM> – протокол шифрования, принимает значения: des, 3des, blowfish128, blowfish192, blowfish256, aes128, aes192, aes256, aes128ctr, aes192ctr, aes256ctr, camellia128, camellia192, camellia256.

Значение по умолчанию: 3des.

37Указать протокол (необязательно).

esr(config-ipsec-proposal)#protocol <PROTOCOL>

<PROTOCOL> – инкапсулирующий протокол, принимает значения:

  • ah – данный протокол осуществляет только аутентификацию трафика, шифрование данных не выполняется;
  • esp – данный протокол осуществляет аутентификацию и шифрование трафика.

Значение по умолчанию: esp.

38Задать config-ipsec-proposal конфигурирования.

esr(config)# security ipsec policy <NAME>

<NAME> – имя политики IPsec, задаётся строкой до 31 символа.
39Привязать политику к профилю.

esr(config-ipsec-policy)# proposal <NAME>

<NAME> – имя профиля протокола IPsec, задаётся строкой до 31 символа.
40Задать время жизни IPsec-туннеля (необязательно).

esr(config-ipsec-policy)# lifetime { seconds <SEC> |
packets <PACKETS> | kilobytes <KB> }

<SEC> – период времени жизни IPsec-туннеля, по истечении которого происходит пересогласование.

Принимает значения [1140..86400] секунд.

Значение по умолчанию: 540.

<PACKETS> – количество пакетов, после передачи которых происходит пересогласование IPsec-туннеля.

Принимает значения [4..86400].

Значение по умолчанию: отключено.

<KB> – объем трафика, после передачи которого происходит пересогласование IPsec-туннеля. Принимает значения [4..4608000] секунд.

Значение по умолчанию: отключено.

41Создать IPsec VPN и перейти в режим конфигурирования.

esr(config)# security ipsec vpn <NAME>

<NAME> – имя VPN, задаётся строкой до 31 символа.
42Определить режим согласования данных, необходимых для активации VPN.

esr(config-ipsec-vpn)# mode <MODE>

<MODE> – режим работы VPN, принимает значения: ike, manual.
43Привязать IPsec политику к VPN.

esr(config-ipsec-vpn)#ike ipsec-policy <NAME>

<NAME> – имя IPsec-политики, задаётся строка до 31 символа.
44Задать значение DSCP для использования в IP-заголовке исходящих пакетов IKE-протокола (необязательно).

esr(config-ipsec-vpn)#ike dscp <DSCP>

DSCP> – значение кода DSCP, принимает значения в диапазоне [0..63].

Значение по умолчанию: 63.

45Устанавливается режим активации VPN.

esr(config-ipsec-vpn)#ike establish-tunnel <MODE>

<MODE> – режим активации VPN:

  • by - request – соединение активируется встречной стороной, доступно для сервера;
  • route – соединение активируется при появлении трафика, маршрутизируемого в туннель, доступно для сервера;
  • immediate – туннель активируется автоматически после применения конфигурации, доступно для клиента.
46Осуществить привязку IKE-шлюза к VPN.

esr(config-ipsec-vpn)# ike gateway <NAME>

<NAME> – имя IKE-шлюза, задаётся строкой до 31 символа.
47Установить значение временного интервала в секундах, по истечению которого соединение закрывается, если не было принято или передано ни одного пакета через SA (необязательно).

esr(config-ipsec-vpn)# ike idle-time <TIME>

<TIME> – интервал в секундах, принимает значения [4..86400].

Значение по умолчанию: 0.

48Отключить пересогласование ключей до разрыва IKE-соединения по истечению времени, количеству переданных пакетов или байт (необязательно).

esr(config-ipsec-vpn)#ike rekey disable

Значение по умолчанию: включено.
49Настроить начало пересогласования ключей IKE-соединения до истечения времени жизни (необязательно).

esr(config-ipsec-vpn)# ike rekey margin { seconds <SEC> |
packets <PACKETS> | kilobytes <KB> }

<SEC> – интервал времени в секундах, оставшийся до закрытия соединения (задается командой lifetimeseconds) . Принимает значения [4..86400].
Значение по умолчанию: 540

<PACKETS> – количество пакетов, оставшихся до закрытия соединения (задается командой lifetimepackets). Принимает значения [4..86400].
Значение по умолчанию: отключено.

<KB> – объем трафика в килобайтах, оставшийся до закрытия соединения (задается командой lifetimekilobytes). Принимает значения [4..86400]
Значение по умолчанию: отключено.

50Установить уровень случайного разброса значений параметров marginseconds, marginpackets, marginkilobytes (необязательно).

esr(config-ipsec-vpn)# ike rekey randomization <VALUE>

<VALUE> – максимальный процент разброса значений, принимает значения [1..100].

Значение по умолчанию: 100.

51Описать VPN (необязательно).

esr(config-ipsec-vpn)# description <DESCRIPTION>

<DESCRIPTION> – описание профиля, задаётся строкой до 255 символов.
52Активировать IPsec VPN.

esr(config-ipsec-vpn)# enable


53Включить режим переподключения клиентов XAUTH с одним логином/паролем (только для сервера) (необязательно).

esr(config-ipsec-vpn)# security ike session uniqueids <MODE>

<MODE> – режим переподключения, принимает следующие значения:

  • no – установленное подключение XAUTH будет удалено, если для нового подключения XAUTH инициатором соединения будет отправлено уведомление "INITIAL_CONTACT", будет назначен ранее использованный IP-адрес. В противном случае, установленное соединение XAUTH будет удержано. Для нового подключения XAUTH будет назначен новый IP-адрес.
  • never – установленное подключение XAUTH будет удержано. Для нового подключения XAUTH будет назначен новый IP-адрес. Уведомление "INITIAL_CONTACT" будет в любом случае проигнорировано.
  • replace – установленное подключение XAUTH будет удалено. Для нового подключения XAUTH будет использован ранее использованный IP-адрес.
  • keep – установленное подключение XAUTH будет удержано. Новое подключение XAUTH будет отклонено. 

Пример настройки Remote Access IPsec VPN

...