Сравнение версий

Ключ

  • Эта строка добавлена.
  • Эта строка удалена.
  • Изменено форматирование.

...

Данной командой устанавливается алгоритм аутентификации, который используется для аутентификации сообщений установленного IKE-соединения. При установлении IKE-соединения используется аутентификация сообщений по ключу (authentication, см. Настройки IPsec VPN#passwordpassword).

Использование отрицательной формы команды (no) устанавливает значение по умолчанию.

...

<TYPE> – тип протокола, принимает значения: esp, icmp, ah, eigrp, ospf, igmp, ipip, tcp, pim, udp, vrrp, rdp rsvp, l2tp, gre;

<ID> – идентификационный номер IP-протокола, принимает значения [0x00-0xFF];

...

Блок кода
esr(config-ike-policy)# proposal ike_prop1

reauthentication disable

Данной командой возможно отключить процесс реаутентификации IKEv2-сессий.

Использование отрицательной формы команды (no) включает процесс реаутентификации.

Синтаксис
[no] reauthentication disable
Необходимый уровень привилегий

15

Командный режим

CONFIG-IKE-POLICY

Пример
Блок кода
esr(config-ike-policy)# reauthentication disable

remote address

Данной командой устанавливается IP-адрес удаленного шлюза IPsec-туннеля.

Использование отрицательной формы команды (no) удаляет IP-адрес удаленного шлюза.

Синтаксис
remote address { <ADDR> | any }

...

any – ключ, позволяющий принимать запросы на установление IKE-сессии от любого IP-адреса.

Необходимый уровень привилегий

10

Командный режим

CONFIG-IKE-GATEWAY

Пример
Блок кода
esr(config-ike-gw)# remote address 192.168.1.2

...

Использование отрицательной формы команды (no) удаляет настройку ожидаемого идентификатора удаленного шлюза.

Синтаксис
remote id { any | dns <NAME> | ipv4 <ADDR> | keyid <KEY> }

...

<KEY> – текстовая строка длиной до 255 символов.

Необходимый уровень привилегий

10

Значение по умолчанию

Отсутствует

Командный режим

CONFIG-IKE-GATEWAY

Пример
Блок кода
esr(config-ike-gw)# remote id dns router.example.loc

...

Использование отрицательной формы команды (no) удаляет IP-адрес подсети отправителя.

Синтаксис
remote network { dynamic pool <POOL> | <ADDR/LEN> [ protocol { <TYPE> | <ID> } [ port <PORT> ] ] | any }

...

any – ключ, указывающий на необходимость шифрования любого исходящего трафика.

Необходимый уровень привилегий

10

Командный режим

CONFIG-IKE-GATEWAY

Пример
Блок кода
esr(config-ike-gw)# remote network 192.168.0.0/24 protocol tcp port 22

...

При использовании отрицательной формы команды (no) отключается получение списка удаленных сетей от IPsec-VPN-сервера.

Синтаксис
[no] remote network dynamic client

...

Значение по умолчанию

Отключено.

Необходимый уровень привилегий

10

Командный режим

CONFIG-IKE-GW

Пример
Блок кода
esr(config-ike-gw)# remote network dynamic client

...

Использование отрицательной формы команды (no) удаляет шлюз протокола IKE.

Синтаксис
[no] security ike gateway <NAME>

...

<NAME> – имя шлюза протокола IKE, задаётся строкой до 31 символа. При выполнении отрицательной формы команды со значением параметра «all» будут удалены все IKE-шлюзы.

Необходимый уровень привилегий

10

Командный режим

CONFIG

Пример
Блок кода
esr(config)# security ike gateway ike_gw1
esr(config-ike-gw)#

...

Использование отрицательной формы команды (no) удаляет шлюз протокола IKE.

Синтаксис
[no] security ike keyring <NAME>

...

<NAME> – имя шлюза протокола IKE, задаётся строкой до 31 символа. При выполнении отрицательной формы команды со значением параметра «all» будут удалены все наборы.

Необходимый уровень привилегий

10

Командный режим

CONFIG

Пример
Блок кода
esr(config)# security ike keyring ike_keyring1
esr(config-ike-gw)#

...

Использование отрицательной формы команды (no) удаляет указанную политику. Команда устанавливает режим командной строки SECURITY IKE POLICY.

Синтаксис
[no] security ike policy <NAME>

...

<NAME> – имя политики IKE, задаётся строкой до 31 символа. При выполнении отрицательной формы команды со значением параметра «all» будут удалены все IKE-политики.

Необходимый уровень привилегий

10

Командный режим

CONFIG

Пример
Блок кода
esr(config)# security ike policy ike_pol1
esr(config-ike-policy)#

...

Данной командой создается профиль протокола IKE (Internet Key Exchange), который включает в себя параметры алгоритмов шифрования и аутентификации метода Диффи-Хеллмана, которые будут использоваться при согласовании параметров IKE со встречной стороной VPN соединения при создании Security Association (SA). Кроме того, профиль задаёт предельное время действия SA. Использование отрицательной формы команды (no) удаляет заданный профиль.

Синтаксис
[no] security ike proposal <NAME>

...

<NAME> – имя профиля протокола IKE, задаётся строкой до 31 символа. При выполнении отрицательной формы команды со значением параметра «all» будут удалены все IKE-профили.

Необходимый уровень привилегий

10

Командный режим

CONFIG

Пример
Блок кода
esr(config)# security ike proposal ike_prop1
esr(config-ike-proposal)#

...

Использование отрицательной формы команды (no) устанавливает значение по умолчанию.

Синтаксис
security ike session reauthentication <MODE>
no security ike session reauthentication

Scroll Pagebreak

Параметры

<MODE> – режим повторной аутентификации ассоциации безопасности IKE в протоколе IKE версии 2, принимает следующие значения:

...

Значение по умолчанию

break-before-make

Необходимый уровень привилегий

10

Командный режим

CONFIG

Пример
Блок кода
esr(config)# security ike session reauthentication make-before-break 

...

Использование отрицательной формы команды (no) устанавливает значение по умолчанию.

Синтаксис
security ike session uniqueids <MODE>
no security ike session uniqueids

...

Значение по умолчанию

never

Необходимый уровень привилегий

10

Командный режим

CONFIG

Пример
Блок кода
esr(config)# security ike session uniqueids replace 

...

Команда используется для просмотра списка шлюзов, политик или профилей.

Синтаксис
show security ike { gateway | policy | proposal } [<NAME>]

...

<NAME> – имя. При указании определенного имени шлюза, политики, профиля будет выведена подробная информация.

Необходимый уровень привилегий

10

Командный режим

ROOT

Пример
Блок кода
esr# show security ike proposal
   Proposal
   ~~~~~~~~
Name           Auth      Encryption         DH   Hash         Lifetime
------------   -------   ----------------   --   ----------   ----------
aaa            pre-sha   3des               1    sha1         3600
               red-key
 esr# show security ike policy
   Policy
   ~~~~~~
Name                           Mode         Proposal
----------------------------   ----------   -----------------------------------
ike_pol1                       main         ike_prop1
 esr# show security ike gateway ik_gw
Description:                --
IKE Policy:                 ike_pol1
IKE Version:                v1-only
Mode:                       route-based
Binding interface:          vti1
IKE Dead Peer Detection:
    Action:                 none
    Interval:               2
    Timeout:                30

...

После выполнения данной команды маршрутизатор переходит в режим конфигурирования пароля пользователя (config-profile).

Синтаксис
[no] user <NAME>
Параметры

<NAME> – имя пользователя, задаётся строкой до 31 символа.

Необходимый уровень привилегий

15

Командный режим

CONFIG-ACCESS-PROFILE

Пример
Блок кода
esr(config-access-profile)# user connecter963

...

Использование отрицательной формы команды (no) устанавливает значение по умолчанию.

Синтаксис
version <VERSION>
no version

...

Значение по умолчанию

v1-only

Необходимый уровень привилегий

15

Командный режим

CONFIG-IKE-GATEWAY

Пример
Блок кода
esr(config-ike-gw)# version v2-only

...

Данной командой устанавливается алгоритм аутентификации. Использование отрицательной формы команды (no) устанавливает значение по умолчанию.

Синтаксис
authentication algorithm <ALGORITHM>

...

Значение по умолчанию

sha1

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPSEC-PROPOSAL

Пример
Блок кода
esr(config-ipsec-proposal)# authentication algorithm md5

...

Данной командой осуществляется сброс одного из текущих VPN-соединений.

Синтаксис
clear security ipsec vpn  [ vrf <VRF> ] <NAME>

...

<VRF> – имя экземпляра VRF, задаётся строкой до 31 символа.

Необходимый уровень привилегий

15

Командный режим

ROOT

Пример
Блок кода
esr# clear security ipsec vpn IPSEC_MAIN_OFFICE

...

Использование отрицательной формы команды (no) удаляет описание.

Синтаксис
description <DESCRIPTION>

...

<DESCRIPTION> – описание профиля, задаётся строкой до 255 символов.

Необходимый уровень привилегий

10

Командный режим

CONFIG-IPSEC-VPN

CONFIG-IPSEC-PROPOSAL

CONFIG-IPSEC-POLICY

Пример
Блок кода
esr(config-ipsec-vpn)# description "VPN to Moscow Office"

...

Использование отрицательной формы команды (no) деактивирует IPsec VPN.

Синтаксис
[no] enable
Параметры

Команда не содержит параметров.

Значение по умолчанию

Выключено

Необходимый уровень привилегий

10

Командный режим

CONFIG-IPSEC-VPN

Пример
Блок кода
esr(config-ipsec-vpn)# enable

...

Данной командой устанавливается алгоритм шифрования. Использование отрицательной формы команды (no) устанавливает значение по умолчанию.

Синтаксис
encryption algorithm <ALGORITHM>

...

Значение по умолчанию

3des

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPSEC-PROPOSAL

Пример
Блок кода
esr(config-ipsec-proposal)# encryption algorithm blowfish128

...

Использование отрицательной формы команды (no) устанавливает значение DSCP по умолчанию.

Синтаксис
ike dscp <DSCP>
no ike dscp

...

<DSCP> – значение кода DSCP, принимает значения в диапазоне [0..63].

Значение по умолчанию

63

Необходимый уровень привилегий

10

Командный режим

CONFIG-IPSEC-VPN

Пример
Блок кода
esr(config-ipsec-vpn)# ike dscp 40

...

Использование отрицательной формы команды (no) устанавливает значение по умолчанию.

Синтаксис
ike establish-tunnel <MODE>

...

  • by-request – соединение активируется встречной стороной;
  • route – соединение активируется при появлении трафика, маршрутизируемого в туннель;
  • immediate – туннель активируется автоматически после применения конфигурации. Если произойдет закрытие соединения от удаленной стороны VPN при использовании режима immediate, тогда установить соединение повторно будет возможно только после перезагрузки маршрутизатора или перезапуске VPN через CLI маршрутизатора.
Необходимый уровень привилегий

15

Командный режим

CONFIG-IPSEC-VPN

Пример
Блок кода
esr(config-ipsec-vpn)# ike establish-tunnel route

...

Данной командой осуществляется привязка IKE-шлюза к VPN. Данная команда актуальна, только если в VPN выбран режим согласования ключей «ike». Настройка режима согласования ключей описана в mode.

Синтаксис
ike gateway <NAME>
no ike gateway

...

<NAME> – имя IKE-шлюза, задаётся строкой до 31 символа.

Необходимый уровень привилегий

10

Командный режим

CONFIG-IPSEC-VPN

Пример
Блок кода
esr(config-ipsec-vpn)# ike gateway ike_gw1

...

Использование отрицательной формы команды (no) отключает данный таймер.

Синтаксис
ike idle-time <TIME>
no ike idle-time

...

<TIME> – интервал в секундах, принимает значения [4..86400].

Необходимый уровень привилегий

10

Командный режим

CONFIG-IPSEC-VPN

Пример
Блок кода
esr(config-ipsec-vpn)# ike idle-time 3600

...

Использование отрицательной формы команды (no) включает пересогласование ключей.

Синтаксис
[no] ike rekey disable
Параметры

...

Значение по умолчанию

Отключено.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPSEC-VPN

Пример
Блок кода
esr(config-ipsec-vpn)# ike rekey disable

...

Использование отрицательной формы команды (no) устанавливает значение по умолчанию.

Синтаксис
Ike rekey margin { seconds <SEC> | packets <PACKETS> | kilobytes <KB> } 

...

<SEC> – интервал времени в секундах, оставшийся до закрытия соединения (задается командой lifetime seconds, см. Настройки IPsec VPN#lifetime lifetime). Принимает значения [4..86400]. 

<PACKETS> – количество пакетов, оставшихся до закрытия соединения (задается командой lifetime packets, см. Настройки IPsec VPN#lifetime lifetime). Принимает значения [4..86400].

<KB> – объем трафика в килобайтах, оставшийся до закрытия соединения (задается командой lifetime kilobytes, см. Настройки IPsec VPN#lifetime lifetime). Принимает значения [4..86400].

...

Пересогласование ключей до истечения объема трафика и количества пакетов – отключено.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPSEC-VPN

Пример
Блок кода
esr(config-ipsec-vpn)# ike rekey margin seconds 1800

...

Использование отрицательной формы команды (no) устанавливает значение по умолчанию.

Синтаксис
ike rekey randomization <VALUE>

...

Значение по умолчанию

100%

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPSEC-VPN

Пример
Блок кода
esr(config-ipsec-vpn)# ike rekey randomization 10

...

Данная команда устанавливает привязку IPsec-политики к VPN. Данная команда актуальна, только если в VPN выбран режим согласования ключей «ike». Настройка режима согласования ключей описана в mode

Синтаксис
ike ipsec-policy <NAME>
no ike ipsec-policy

...

<NAME> – имя IPsec-политики, задаётся строкой до 31 символа.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPSEC-VPN

Пример
Блок кода
esr(config-ipsec-vpn)# ike ipsec-policy ipsec_pol1

...

Использование отрицательной формы команды (no) устанавливает значение по умолчанию.

Синтаксис
lifetime { seconds <SEC> | packets <PACKETS> | kilobytes <KB> }

...

Значение по умолчанию

3600 секунд

Необходимый уровень привилегий

10

Командный режим

CONFIG-IPSEC-POLICY

Пример
Блок кода
esr(config-ipsec-proposal)# lifetime seconds 3600

...

Использование отрицательной формы команды (no) устанавливает значение по умолчанию.

Синтаксис
manual authentication algorithm <ALGORITHM>

...

Значение по умолчанию

none

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPSEC-VPN

Пример
Блок кода
esr(config-ipsec-vpn)# manual authentication algorithm sha1

...

Данной командой устанавливается ключ аутентификации. Данная команда актуальна, только если в VPN выбран режим согласования ключей «manual». Настройка режима согласования ключей описана в mode.

Синтаксис
manual authentication key { ascii-text {<TEXT> | encrypted <ENCRYPTED-TEXT>} | hexadecimal {<HEX> | encrypted <ENCRYPTED-HEX> } }

...

<ENCRYPTED_HEX> – зашифрованное число размером [2..64] байт, задаётся строкой [2..256] символов.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPSEC-VPN

Пример
Блок кода
esr(config-ipsec-vpn)# manual authentication key hexadecimal abcdef

...

Использование отрицательной формы команды (no) устанавливает значение по умолчанию.

Синтаксис
manual bind-interface vti <VTI>

...

  • ESR-10/12V/12VF/15/15R/15VF – [1..10];
  • ESR-20/21/30/31/100/200 – [1..250];
  • ESR-1000/1200/1500/1511/1700/3100/3200/3200L/3300 – [1..500].
Необходимый уровень привилегий

10

Командный режим

CONFIG-IPSEC-VPN

Пример
Блок кода
esr(config-ipsec-vpn)# manual bind-interface vti 0

...

Использование отрицательной формы команды (no) удаляет установленное значение.

Синтаксис
manual encryption algorithm <ALGORITHM>

...

Значение по умолчанию

3des

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPSEC-VPN

Пример
Блок кода
esr(config-ipsec-vpn)# manual encryption algorithm blowfis28

...

Использование отрицательной формы команды (no) удаляет установленное значение.

Синтаксис
manual encryption key { ascii-text { < TEXT> | encrypted <ENCRYPTED-TEXT> } | hexadecimal { <HEX> | encrypted <ENCRYPTED-HEX> } }

...

<ENCRYPTED-HEX> – зашифрованное число размером [2..36] байт, задаётся строкой [2..144] символов.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPSEC-VPN

Пример
Блок кода
esr(config-ipsec-vpn)# manual encryption key hexadecimal 0x123456

...

Использование отрицательной формы команды (no) устанавливается значение по умолчанию.

Синтаксис
manual mode <MODE>
no manual mode

...

  • policy-based – трафик перенаправляется на основе принадлежности к указанным в политиках подсетям;
  • route-based – трафик перенаправляется на основе маршрутов, у которых шлюзом является туннельный интерфейс.
Необходимый уровень привилегий

10

Командный режим

CONFIG-IPSEC-VPN

Пример
Блок кода
esr(config-ipsec-vpn)# manual mode route-based

...

Использование отрицательной формы команды (no) устанавливает значение по умолчанию.

Синтаксис
manual protocol <TYPE>
no manual protocol

...

  • ah – данный протокол осуществляет только аутентификацию трафика, шифрование данных не выполняется;
  • esp – данный протокол осуществляет аутентификацию и шифрование трафика.
Значение по умолчанию

esp

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPSEC-VPN

Пример
Блок кода
esr(config-ipsec-vpn)# manual protocol ah

...

Использование отрицательной формы команды (no) удаляет индекс параметров безопасности.

Синтаксис
manual spi <HEX>
no manual spi

...

<HEX> – индекс параметров безопасности, задаётся значение размером 32 бита (8 символов) в шестнадцатеричном формате (0xYYYY…) или (YYYY…).

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPSEC-VPN

Пример
Блок кода
esr(config-ipsec-vpn)# manual spi FF

...

Данной командой устанавливается режим согласования данных, необходимых для активации VPN.

Синтаксис
mode <MODE>
no mode
Параметры

...

  • ike – согласование алгоритмов аутентификации и шифрования, ключей аутентификации и шифрования, индекса параметра безопасности и других данных осуществляется через протокол IKE;
  • manual – пользователь должен сам настроить идентичные параметры на обоих узлах для работы VPN. При данном режиме не происходит установления IKE-соединения между узлами. Каждый из узлов шифрует и дешифрует пакеты, основываясь только на заданных параметрах.
Необходимый уровень привилегий

15

Командный режим

CONFIG-IPSEC-VPN

Пример
Блок кода
esr(config-ipsec-vpn)# mode ike

...

Использование отрицательной формы команды (no) удаляет привязку к указанному профилю.

Синтаксис
[no] proposal <NAME>
Параметры

<NAME> – имя профиля набора протоколов IPsec, задаётся строкой до 31 символа.

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPSEC-POLICY

Пример
Блок кода
esr(config-ipsec-policy)# proposal ipsec_prop1

...

Использование отрицательной формы команды (no) устанавливает значение по умолчанию.

Синтаксис
protocol <PROTOCOL>
no protocol

...

  • ah – данный протокол осуществляет только аутентификацию трафика, шифрование данных не выполняется;
  • esp – данный протокол осуществляет аутентификацию и шифрование трафика.
Значение по умолчанию

esp

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPSEC-PROPOSAL

Пример
Блок кода
esr(config-ipsec-proposal)# protocol ah

...

Команда устанавливает режим командной строки SECURITY IPSEC POLICY.

Синтаксис
[no] security ipsec policy <NAME>

...

<NAME> – имя политики IPsec, задаётся строкой до 31 символа. При выполнении отрицательной формы команды со значением параметра «all» будут удалены все IPsec-политики.

Необходимый уровень привилегий

10

Командный режим

CONFIG

Пример
Блок кода
esr(config)# security ipsec policy ipsec_pol1
esr(config-ipsec-policy)#

...

Команда устанавливает режим командной строки SECURITY IPSEC PROPOSAL.

Синтаксис
[no] security ipsec proposal <NAME>

...

<NAME> – имя профиля IPsec, задаётся строкой до 31 символа. При выполнении отрицательной формы команды со значением параметра «all» будут удалены все IPsec-профили.

Необходимый уровень привилегий

10

Командный режим

CONFIG

Пример
Блок кода
esr(config)# security ipsec proposal ipsec_prop1
esr(config-ipsec-proposal)#

...

Использование отрицательной формы команды (no) удаляет сконфигурированный VPN.

Синтаксис
[no] security ipsec vpn <NAME>

...

<NAME> – имя VPN, задаётся строкой до 31 символа. При выполнении отрицательной формы команды со значением параметра «all» будут удалены все VPN.

Необходимый уровень привилегий

10

Командный режим

CONFIG

Пример
Блок кода
esr(config)# security ipsec vpn ipsec_vpn1
esr(config-ipsec-vpn)#

...

Данной командой выполняется просмотр конфигураций VPN, политик и профилей набора протоколов IPsec.

Синтаксис
show security ipsec { vpn configuration | policy | proposal } [<NAME>]

...

<NAME> – имя. При указании определенного имени VPN, политики или профиля будет выведена подробная информация.

Необходимый уровень привилегий

10

Командный режим

ROOT

Пример
Блок кода
esr# show security ipsec proposal
   Proposal
   ~~~~~~~~
Name                    Prot   Enc. alg.          Auth. alg.        Lifetime
---------------------   ----   ----------------   ---------------   -----------
ipsec_prop1             esp    aes128             sha1              28800 sec
esr# show secu	rity ipsec policy
Name                   Description           Proposal
--------------------   -------------------   -----------------------------------
ipsec_pol1                                   ipsec_prop1
Master# show security ipsec vpn configuration IPSECVPN
Description:                --
State:                      Enabled
IKE:
    Establish tunnel:           immediate
    IPsec policy:               IPSECPOLICY
    IKE gateway:                IKEGW
    IKE DSCP:                   63
    IKE idle-time:              0s
    IKE rekeying:               Enabled
        Margin time:                540s
        Margin kilobytes:           0
        Margin packets:             0
        Randomization:              100%

...

Данная команда позволяет посмотреть список и параметры подключившихся IPsec-VPN-клиентов.

Синтаксис
show security ipsec vpn authentication <NAME> [ vrf <VRF> ]

...

<VRF> – имя экземпляра VRF, задается строкой до 31 символа, в рамках которого будет включено разрешение DNS-имен.

Необходимый уровень привилегий

10

Командный режим

ROOT

Пример
Блок кода
esr# show security ipsec vpn authentication
Local host        Remote host       Local subnet          Remote subnet         Authentication                              State 
---------------   ---------------   -------------------   -------------------   -----------------------------------------   ----------- 
2.2.2.1           2.2.2.2           192.168.2.0/24        192.168.1.1/32        Xauth PSK, login: ipsec                     Established

...

Данной командой выполняется просмотр статуса всех VPN, которые устанавливают соединение через IKE-протокол либо определенного VPN при указании его имени.

Синтаксис
show security ipsec vpn status [ vrf <VRF> ] [ <NAME> ]

...

<VRF> – имя экземпляра VRF, задаётся строкой до 31 символа.

Необходимый уровень привилегий

10

Командный режим

ROOT

Пример
Блок кода
esr# show security ipsec vpn status
Name      Local host   Remote host  Initiator spi       Responder spi        State
--------- ------------ ------------ ---------------     ---------------      ------
ipsec_vpn1 10.100.14.1 10.100.14.2  0x05d8e0ac3543f0cb  0xcfa1c4179d001154   Established

...

Использование отрицательной формы команды (no) устанавливает значение по умолчанию.

Синтаксис
type <TYPE>
no type
Scroll Pagebreak

...

Значение по умолчанию

tunnel

Необходимый уровень привилегий

15

Командный режим

CONFIG-IPSEC-VPN

Пример
Блок кода
esr(config-access-vpn)# type transport

...