История страницы

...

Дополнительной особенностью RA IPsec VPN является возможность использования второго фактора аутентификации IPsec – Extended Authentication (XAUTH), вторым фактором аутентификации является пара логин-пароль для клиента IPsec VPN.

Задача:

Настроить Remote Access IPsec VPN между R1 и R2 с использованием второго фактора

...

R1 IP-адрес - 180.100.0.1;

Клиентам IPsec VPN:

• выдавать адреса из пула подсети 192.0.2.0/24;
• предоставлять доступ до LAN подсети 10.0.0.0/16;
• группа Диффи-Хэллмана: 2;
• алгоритм шифрования: 3DES;
• алгоритм аутентификации: SHA1.

Решение:

Конфигурирование R1:

Настроим внешний сетевой интерфейс и определим принадлежность к зоне безопасности:

esr# configure
esr(config)# security zone untrusted
esr(config-zone)# exit
esr(config)# interface gigabitethernet 1/0/1
esr(config-if-gi)# security-zone untrusted
esr(config-if-gi)# ip address 180.100.0.1/24
esr(config-if-gi)# exit

    


  Для настройки правил зон безопасности потребуется создать профиль порта протокола ISAKMP:

esr(config)# object-group service ISAKMP
esr(config-object-group-service)# port-range 500,4500
esr(config-object-group-service)# exit    
     
 
Создадим профиль протокола IKE. В профиле укажем группу Диффи-Хэллмана 2, алгоритм шифрования 3DES, алгоритм аутентификации SHA1. Данные параметры безопасности используются для защиты IKE-соединения:

esr(config)# security ike proposal IKEPROP
esr(config-ike-proposal)# dh-group 2
esr(config-ike-proposal)# authentication algorithm sha1
esr(config-ike-proposal)# encryption algorithm 3des
esr(config-ike-proposal)# exit
   
  
Создадим политику протокола IKE. В политике указывается список профилей протокола IKE, по которым могут согласовываться узлы, ключ аутентификации и метод аутентификации XAUTH по ключу:
   

esr(config)# security ike policy IKEPOLICY

...

esr(config-zone-pair)# end

Конфигурирование R2:

Настроим внешний сетевой интерфейс и определим принадлежность к зоне безопасности:

...