ESR-Series Documentation 1.14.5
Дерево страниц

Сравнение версий

Старая версия 3

changes.mady.by.user Отдел Документации

Сохранено

по сравнению с

Новая версия 4

changes.mady.by.user Отдел Документации

Сохранено

Ключ

  • Эта строка добавлена.
  • Эта строка удалена.
  • Изменено форматирование.

...

ШагОписаниеКомандаКлючи
1Создать VTI-туннель и перейти в режим его конфигурирования.

esr(config)# tunnel vti <TUN>

<TUN> – имя туннеля устройства.
2Указать локальный IP-адрес VTI-туннеля.

esr(config-vti)#local address <ADDR>

<ADDR> – IP-адрес локального шлюза.
3Указать удаленный IP-адрес VTI-туннеля.

esr(config-vti)#remote address <ADDR>

<ADDR> – IP-адрес удаленного шлюза.
4Установить IP-адрес локальной стороны VTI-туннеля

esr(config-vti)# ip address <ADDR/LEN>

<ADDR/LEN> – IP-адрес и префикс подсети задаётся в виде AAA.BBB.CCC.DDD/EE, где каждая часть AAA – DDD принимает значения [0..255] и EE принимает значения [1..32].
5Включить VTI-туннель в зону безопасности и настроить правила взаимодействия между зонами или отключить firewall для VTI-туннеля.

esr(config-vti)# security-zone<NAME>

<NAME> – имя зоны безопасности, задаётся строкой до 12 символов.

esr(config-vti)# ip firewall disable

6Включить туннель.

esr(config-vti)#enable


7Создать IKE-профиль и перейти в режим его конфигурирования.

esr(config)# security ike proposal <NAME>

<NAME> – имя профиля протокола IKE, задаётся строкой до 31 символа.
8Указать описание конфигурируемого IKE-профиля (не обязательно).

esr(config-ike-proposal)# description<DESCRIPTION>

<DESCRIPTION> – описание туннеля, задаётся строкой до 255 символов.
9Определить алгоритм аутентификации для IKE (не обязательно).

esr(config-ike-proposal)# authentication algorithm <ALGORITHM>

<ALGORITHM> – алгоритм аутентификации, принимает значения: md5, sha1, sha2-256, sha2‑384, sha2-512.

Значение по умолчанию: sha1

10Определить алгоритм шифрования для IKE (не обязательно).

esr(config-ike-proposal)# encryption algorithm <ALGORITHM>

<ALGORITHM> – протокол шифрования, принимает значения: des, 3des, blowfish128, blowfish192, blowfish256, aes128, aes192, aes256, aes128ctr, aes192ctr, aes256ctr, camellia128, camellia192, camellia256.

Значение по умолчанию: 3des

11

Определить номер группы Диффи-Хеллмана Хэллмана (не обязательно).

esr(config-ike-proposal)# dh-group <DH-GROUP>

<DH-GROUP> – номер группы Диффи-ХеллманаХэллмана, принимает значения [1, 2, 5, 14, 15, 16, 17, 18].

Значение по умолчанию: 1

12

Определить режим аутентификации IKE (не обязательно).

esr(config-ike-proposal)# authentication method <METHOD>

<METHOD> – метод аутентификации ключа. Может принимать значения:

  • pre - shared - key – метод аутентификации, использующий предварительно полученные ключи шифрования;
  • rsa - public - key – метод аутентификации, использующий RSA-сертификат.

Значение по умолчанию: pre-shared-key

13

Создать ike-политику и перейти в режим её конфигурирования.

esr(config)# security ike policy <NAME>

<NAME> – имя политики IKE, задаётся строкой до 31 символа.

14

Задать время жизни соединения протокола IKE (не обязательно).

esr(config-ike-proposal)# lifetime seconds <SEC>

<SEC> – период времени, принимает значения [4 ..86400] секунд.

Значение по умолчанию: 3600

15

Привязать IKE-профиль к IKE-политике.

esr(config-ike-policy)# proposal <NAME>

<NAME> – имя профиля протокола IKE, задаётся строкой до 31 символа.

16

Указать ключ аутентификации (обязательно, если в качестве режима аутентификации выбран pre-shared-key)

esr(config-ike-policy)# pre-shared-key ascii-text<TEXT>

<TEXT> – строка [1..64] ASCII символов.

17

Создать IKE-шлюз и перейти в режим его конфигурирования.

esr(config)# security ike gateway <NAME>

<NAME> – имя шлюза протокола IKE, задаётся строкой до 31 символа.

18

Привязать IKE-политику к IKE-шлюзу.

esr(config-ike-gw)# ike-policy <NAME>

<NAME> – имя политики протокола IKE, задаётся строкой до 31 символа.

19

Указать версию IKE (не обязательно).

esr(config-ike-gw)# version <VERSION>

<version> – версия IKE-протокола: v1-only или v2-only.

Значение по умолчанию: v1-only

20

Установить режим перенаправления трафика в туннель – route-based.

esr(config-ike-gw)# mode route-based


21

Указать действие для

DPD (не обязательно).

esr(config-ike-gw)# dead-peer-detection action <MODE>

<MODE> – режим работы DPD:

  • restart – соединение переустанавливается;
  • clear – соединение останавливается;
  • hold – соединение поддерживается;
  • none – механизм выключен, никаких действий не предпринимается.

Значение по умолчанию: none

22

Указать интервал между отправкой сообщений механизмом DPD (не обязательно).

esr(config-ike-gw)# dead-peer-detection interval <SEC>

<SEC> – интервал между отправкой сообщений механизмом DPD, принимает значения [1..180] секунд.

Значение по умолчанию: 2

23

Указать период времени для ответа на сообщения механизма DPD (не обязательно).

esr(config-ike-gw)# dead-peer-detection timeout <SEC>

<SEC> – период времени для ответа на сообщения механизма DPD, принимает значения [1..180] секунд.

Значение по умолчанию: 30 секунд

24

Привязать VTI-туннель к IKE-шлюзу.

esr(config-ike-gw)# bind-interface vti <VTI>

<VTI> – идентификационный номер интерфейса VTI.

25

Создать в IPsec-профиль.

esr(config)# security ipsec proposal <NAME>

<NAME> – имя профиля протокола IPsec, задаётся строкой до 31 символа.

26

Определить алгоритм аутентификации для IPsec (не обязательно)

esr(config-ipsec-proposal)# authentication algorithm <ALGORITHM>

<ALGORITHM> – алгоритм аутентификации, принимает значения: md5, sha1, sha2-256, sha2‑384, sha2-512.

Значение по умолчанию: sha1

27

Определить алгоритм шифрования для IPsec (не обязательно)

esr(config-ipsec-proposal)# encryption algorithm <ALGORITHM>

<ALGORITHM> – протокол шифрования, принимает значения: des, 3des, blowfish128, blowfish192, blowfish256, aes128, aes192, aes256, aes128ctr, aes192ctr, aes256ctr, camellia128, camellia192, camellia256.

Значение по умолчанию: 3des

28

Указать протокол инкапсуляции для IPsec (не обязательно).

esr(config-ipsec-proposal)# protocol <PROTOCOL>

<PROTOCOL> – инкапсулирующий протокол, принимает значения

Значение по умолчанию: esp

29

Создать IPsec-политику и перейти в режим её конфигурирования.

esr(config)# security ipsec policy <NAME>

<NAME> – имя политики IPsec, задаётся строкой до 31 символа.

30

Привязать IPsec-профиль к IPsec-политике

esr(config-ipsec-policy)# proposal <NAME>

<NAME> – имя профиля протокола IPsec, задаётся строкой до 31 символа.

31

Задать время жизни IPsec-туннеля (не обязательно).

esr(config-ipsec- policy)# lifetime { seconds <SEC> |
packets <PACKETS> | kilobytes <KB> }

<SEC> – период времени жизни IPsec-туннеля, по истечении происходит пересогласование. Принимает значения [1140..86400] секунд.

<PACKETS> – количество пакетов, после передачи которого происходит пересогласование IPsec-туннеля. Принимает значения [4..86400].

<KB> – объем трафика, после передачи которого происходит пересогласование IPsec-туннеля. Принимает значения [4..86400] секунд.

Значение по умолчанию: 28800 секунд

32

Создать IPsec VPN и перейти в режим конфигурирования.

esr(config)# security ipsec vpn <NAME>

<NAME> – имя VPN, задаётся строкой до 31 символа.

33

Определить режим согласования данных, необходимых для активации VPN.

esr(config-ipsec-vpn)# mode <MODE>

<MODE> – режим работы VPN.

34

Привязать IPsec-политику к IPsec-VPN.

esr(config-ipsec-vpn)# ike ipsec-policy <NAME>

<NAME> – имя IPsec-политики, задаётся строка до 31 символа.

35

Задать значение DSCP для использования в IP-заголовке исходящих пакетов IKE-протокола (не обязательно).

esr(config-ipsec-vpn)# ike dscp <DSCP>

DSCP> – значение кода DSCP, принимает значения в диапазоне [0..63].

Значение по умолчанию: 63

36

Установить режим активации VPN.

esr(config-ipsec-vpn)# ike establish-tunnel <MODE>

<MODE> – режим активации VPN:

  • by - request – соединение активируется встречной стороной;
  • route – соединение активируется при появлении трафика, маршрутизируемого в туннель;
  • immediate – туннель активируется автоматически после применения конфигурации.

37

Осуществить привязку IKE-шлюза к IPsec-VPN.

esr(config-ipsec-vpn)# ike gateway <NAME>

<NAME> – имя IKE-шлюза, задаётся строкой до 31 символа.

38

Установить значение временного интервала в секундах, по истечению которого соединение закрывается, если не было принято или передано ни одного пакета через SA (не обязательно).

esr(config-ipsec-vpn)# ike idle-time <TIME>

<TIME> – интервал в секундах, принимает значения [4..86400].

39

Отключить пересогласование ключей до разрыва IKE-соединения по истечению времени, количеству переданных пакетов или байт (не обязательно).

esr(config-ipsec-vpn)# ike rekey disable


40

Настроить начало пересогласования ключей IKE-соединения до истечения времени жизни (не обязательно).

esr(config-ipsec-vpn)# ike rekey margin { seconds <SEC> |
packets <PACKETS> | kilobytes <KB> }

<SEC> – интервал времени в секундах, оставшийся до закрытия соединения (задается командой lifetimeseconds, см. 22.2.13). Принимает значения [4..86400].

<PACKETS> – количество пакетов, оставшихся до закрытия соединения (задается командой lifetimepackets). Принимает значения [4..86400]

<KB> – объем трафика в килобайтах, оставшийся до закрытия соединения (задается командой lifetimekilobytes). Принимает значения [4..86400]

Значение по умолчанию:

  • Пересогласование ключей до истечения времени – за 540 секунд.
  • Пересогласование ключей до истечения объема трафика и количества пакетов – отключено.

41

Установить уровень случайного разброса значений параметров margin seconds, margin packets, margin kilobytes (не обязательно).

esr(config-ipsec-vpn)# ike rekey randomization <VALUE>

<VALUE> – максимальный процент разброса значений, принимает значения [1..100].

Значение по умолчанию: 100%

42

Указать описание для IPsec-VPN (не обязательно).

esr(config-ipsec-vpn)# description <DESCRIPTION>

<DESCRIPTION> – описание профиля, задаётся строкой до 255 символов.

43

Активировать IPsec VPN.

esr(config-ipsec-vpn)# enable


...

ШагОписаниеКомандаКлючи
1Создать IKE-экземпляр и перейти в режим его конфигурирования.

esr(config)# security ike proposal <NAME>

<NAME> – имя профиля протокола IKE, задаётся строкой до 31 символа.
2Указать описание конфигурируемого туннеля (не обязательно).

esr(config-ike-proposal)# description<DESCRIPTION>

<DESCRIPTION> – описание туннеля, задаётся строкой до 255 символов.
3Определить алгоритм аутентификации для IKE.

esr(config-ike-proposal)# authentication algorithm <ALGORITHM>

<ALGORITHM> – алгоритм аутентификации, принимает значения: md5, sha1, sha2-256, sha2‑384, sha2-512.
4Определить алгоритм шифрования для IKE.

esr(config-ike-proposal)# encryption algorithm <ALGORITHM>

<ALGORITHM> – протокол шифрования, принимает значения: des, 3des, blowfish128, blowfish192, blowfish256, aes128, aes192, aes256, aes128ctr, aes192ctr, aes256ctr, camellia128, camellia192, camellia256.
5Определить номер группы Диффи-ХеллманаХэллмана.

esr(config-ike-proposal)# dh-group <DH-GROUP>

<DH-GROUP> – номер группы Диффи-ХеллманаХэллмана, принимает значения [1, 2, 5, 14, 15, 16, 17, 18].
6Определить режим аутентификации.

esr(config-ike-proposal)# authentication method <METHOD>

<METHOD> – метод аутентификации ключа. Может принимать значения:

  • pre - shared - key – метод аутентификации, использующий предварительно полученные ключи шифрования;
  • rsa - public - key – метод аутентификации, использующий RSA-сертификат.
7Создать политику для профиля IKE и перейти в режим её конфигурирования.

esr(config)# security ike policy <NAME>

<NAME> – имя политики IKE, задаётся строкой до 31 символа.
8Задать время жизни соединения протокола IKE (не обязательно).

esr(config-ike-proposal)# lifetime seconds <SEC>

<SEC> – период времени, принимает значения [4 ..86400] секунд.
9Привязать политику к профилю.

esr(config-ike-policy)# proposal <NAME>

<NAME> – имя профиля протокола IKE, задаётся строкой до 31 символа.
10Указать ключ аутентификации.

esr(config-ike-policy)#pre-shared-key ascii-text<TEXT>

<TEXT> – строка [1..64] ASCII символов.
11Создать шлюз для IKE и перейти в режим его конфигурирования.

esr(config)# security ike gateway <NAME>

<NAME> – имя шлюза протокола IKE, задаётся строкой до 31 символа.
12Привязать политику IKE.

esr(config-ike-gw)# ike-policy <NAME>

<NAME> – имя политики протокола IKE, задаётся строкой до 31 символа.
13Указать версию IKE (не обязательно).

esr(config-ike-gw)# version <VERSION>

<version> – версия IKE-протокола: v1-only или v2-only.
14Установить режим перенаправления трафика в туннель.

esr(config-ike-gw)#mode<MODE>

<MODE> – режим перенаправления трафика в туннель, принимает значения:

  • policy - based – трафик перенаправляется на основе принадлежности к указанным в политиках подсетям;
  • route - based – трафик перенаправляется на основе маршрутов, шлюзом у которых является туннельный интерфейс.
15Указать действие для DPD (не обязательно).

esr(config-ike-gw)# dead-peer-detection action <MODE>

<MODE> – режим работы DPD:

  • restart – соединение переустанавливается;
  • clear – соединение останавливается;
  • hold – соединение поддерживается;
  • none – механизм выключен, никаких действий не предпринимается.
16Указать интервал между отправкой сообщений механизмом DPD (не обязательно).

esr(config-ike-gw)#dead-peer-detection interval <SEC>

<SEC> – интервал между отправкой сообщений механизмом DPD, принимает значения [1..180] секунд.
17Указать период времени для ответа на сообщения механизма DPD (не обязательно).

esr(config-ike-gw)# dead-peer-detection timeout <SEC>

<SEC> – период времени для ответа на сообщения механизма DPD, принимает значения [1..180] секунд.
18Указать версию IKE (не обязательно).

esr(config-ike-gw)# version <VERSION>

<version> – версия IKE-протокола: v1-only или v2-only.

19

Установить IP подсети отправителя.

esr(config-ike-gw)# local network <ADDR/LEN>
[ protocol { <TYPE> | <ID> } [ port <PORT> ] ]

<ADDR/LEN> – IP-адрес и маска подсети отправителя. Параметр задаётся в виде AAA.BBB.CCC.DDD/EE, где каждая часть AAA – DDD принимает значения [0..255] и EE принимает значения [1..32];

<TYPE> – тип протокола, принимает значения: esp, icmp, ah, eigrp, ospf, igmp, ipip, tcp, pim, udp, vrrp, rdp, l2tp, gre;

<ID> – идентификационный номер IP-протокола, принимает значения [0x00-0xFF];

<PORT> – TCP/UDP порт, принимает значения [1..65535].

20

Установить IP-адрес локального шлюза IPsec-туннеля.

esr(config-ike-gw)#local address <ADDR>

<ADDR> – IP-адрес локального шлюза.

21

Установить IP-адрес удаленного шлюза IPsec-туннеля.

esr(config-ike-gw)#remote address <ADDR>

<ADDR> – IP-адрес удаленного шлюза.

22

Установить IP-адрес подсети получателя, а также IP-протокол и порт.

esr(config-ike-gw)# remote network <ADDR/LEN>
[ protocol { <TYPE> | <ID> } [ port <PORT> ] ]

<ADDR/LEN> – IP-адрес и маска подсети отправителя. Параметр задаётся в виде AAA.BBB.CCC.DDD/EE, где каждая часть AAA – DDD принимает значения [0..255] и EE принимает значения [1..32];

<TYPE> – тип протокола, принимает значения: esp, icmp, ah, eigrp, ospf, igmp, ipip, tcp, pim, udp, vrrp, rdp, l2tp, gre;

<ID> – идентификационный номер IP-протокола, принимает значения [0x00-0xFF];

<PORT> – TCP/UDP порт, принимает значения [1..65535].

23

Создать в профиль IPsec.

esr(config)# security ipsec proposal <NAME>

<NAME> – имя профиля протокола IPsec, задаётся строкой до 31 символа.

24

Определить алгоритм аутентификации для IPsec.

esr(config-ipsec-proposal)# authentication algorithm <ALGORITHM>

<ALGORITHM> – алгоритм аутентификации, принимает значения: md5, sha1, sha2-256, sha2‑384, sha2-512.

26

Определить алгоритм шифрования для IPsec.

esr(config-ipsec-proposal)# encryption algorithm <ALGORITHM>

<ALGORITHM> – протокол шифрования, принимает значения: des, 3des, blowfish128, blowfish192, blowfish256, aes128, aes192, aes256, aes128ctr, aes192ctr, aes256ctr, camellia128, camellia192, camellia256.

26

Указать протокол (не обязательно).

esr(config-ipsec-proposal)#protocol <PROTOCOL>

<PROTOCOL> – инкапсулирующий протокол, принимает значения

27

Создать политику для профиля IPsec и перейти в режим её конфигурирования

esr(config)# security ipsec policy <NAME>

<NAME> – имя политики IPsec, задаётся строкой до 31 символа.

28

Привяжем политику к профилю

esr(config-ipsec-policy)# proposal <NAME>

<NAME> – имя профиля протокола IPsec, задаётся строкой до 31 символа.

29

Задать время жизни IPsec туннеля (не обязательно).

esr(config-ipsec-policy)# lifetime { seconds <SEC> |
packets <PACKETS> | kilobytes <KB> }

<SEC> – период времени жизни IPsec-туннеля, по истечении которого происходит пересогласование. Принимает значения [1140..86400] секунд.

<PACKETS> – количество пакетов, после передачи которых происходит пересогласование IPsec-туннеля. Принимает значения [4..86400].

<KB> – объем трафика, после передачи которого происходит пересогласование IPsec-туннеля. Принимает значения [4..86400] секунд.

30

Создать IPsec VPN и перейти в режим конфигурирования.

esr(config)# security ipsecvpn <NAME>

<NAME> – имя VPN, задаётся строкой до 31 символа.

31

Определить режим согласования данных, необходимых для активации VPN.

esr(config-ipsec-vpn)# mode <MODE>

<MODE> – режим работы VPN.

32

Привязать IPsec политику к VPN.

esr(config-ipsec-vpn)#ike ipsec-policy <NAME>

<NAME> – имя IPsec-политики, задаётся строка до 31 символа.

33

Задать значение DSCP для использования в IP-заголовке исходящих пакетов IKE-протокола (не обязательно).

esr(config-ipsec-vpn)#ike dscp <DSCP>

DSCP> – значение кода DSCP, принимает значения в диапазоне [0..63].

34

Устанавливается режим активации VPN.

esr(config-ipsec-vpn)#ike establish-tunnel <MODE>

<MODE> – режим активации VPN:

  • by - request – соединение активируется встречной стороной;
  • route – соединение активируется при появлении трафика, маршрутизируемого в туннель;
  • immediate – туннель активируется автоматически после применения конфигурации.

35

Осуществить привязка IKE-шлюза к VPN.

esr(config-ipsec-vpn)# ike gateway <NAME>

<NAME> – имя IKE-шлюза, задаётся строкой до 31 символа.

36

Установить значение временного интервала в секундах, по истечению которого соединение закрывается, если не было принято или передано ни одного пакета через SA (не обязательно).

esr(config-ipsec-vpn)# ike idle-time <TIME>

<TIME> – интервал в секундах, принимает значения [4..86400].

37

Отключить пересогласование ключей до разрыва IKE-соединения по истечению времени, количеству переданных пакетов или байт (не обязательно).

esr(config-ipsec-vpn)#ike rekey disable


38

Настроить начало пересогласования ключей IKE-соединения до истечения времени жизни (не обязательно).

esr(config-ipsec-vpn)# Ike rekey margin { seconds <SEC> |
packets <PACKETS> | kilobytes <KB> }

<SEC> – интервал времени в секундах, оставшийся до закрытия соединения (задается командой lifetimeseconds) . Принимает значения [4..86400].

<PACKETS> – количество пакетов, оставшихся до закрытия соединения (задается командой lifetimepackets). Принимает значения [4..86400].

<KB> – объем трафика в килобайтах, оставшийся до закрытия соединения (задается командой lifetimekilobytes). Принимает значения [4..86400]

39

Установить уровень случайного разброса значений параметров marginseconds, marginpackets, marginkilobytes (не обязательно).

esr(config-ipsec-vpn)# ike rekey randomization <VALUE>

<VALUE> – максимальный процент разброса значений, принимает значения [1..100].

40

Описать VPN (не обязательно).

esr(config-ipsec-vpn)# description <DESCRIPTION>

<DESCRIPTION> – описание профиля, задаётся строкой до 255 символов.

41

Активировать IPsec VPN.

esr(config-ipsec-vpn)# enable


...

Примечание

В firewall необходимо разрешить протокол ESP и ISAKMP (UDP-порт 500).

Алгоритм настройки

...

Remote Access IPsec VPN – сценарий организации временных VPN-подключений, в котором сервер IPsec VPN находится в режиме ожидания входящих подключений, а клиенты осуществляют временные подключения к серверу для получения доступа к сетевым ресурсам.

...

ШагОписаниеКомандаКлючи
1Создать IKE-экземпляр и перейти в режим его конфигурирования.

esr(config)# security ike proposal <NAME>

<NAME> – имя профиля протокола IKE, задаётся строкой до 31 символа.
2Указать описание конфигурируемого туннеля (не обязательно).

esr(config-ike-proposal)# description <DESCRIPTION>

<DESCRIPTION> – описание туннеля, задаётся строкой до 255 символов.
3Определить алгоритм аутентификации для IKE (не обязательно).

esr(config-ike-proposal)# authentication algorithm <ALGORITHM>

<ALGORITHM> – алгоритм аутентификации, принимает значения: md5, sha1, sha2-256, sha2‑384, sha2-512.
Значение по умолчанию: sha1
4Установить IP-адрес локальной стороны VTI-туннеля (не обязательно).

esr(config-vti)# ip address <ADDR/LEN>

<ADDR/LEN> – IP-адрес и префикс подсети задаётся в виде AAA.BBB.CCC.DDD/EE, где каждая часть AAA – DDD принимает значения [0..255] и EE принимает значения [1..31].
5Определить номер группы Диффи-Хеллмана Хэллмана (не обязательно).

esr(config-ike-proposal)# dh-group <DH-GROUP>

<DH-GROUP> – номер группы Диффи-ХеллманаХэллмана, принимает значения [1, 2, 5, 14, 15, 16, 17, 18].

Значение по умолчанию: 1

6Создать политику для профиля IKE и перейти в режим её конфигурирования.

esr(config)# security ike policy <NAME>

<NAME> – имя политики IKE, задаётся строкой до 31 символа.
7Определить режим аутентификации.

esr(config-ike- policy)# authentication method <METHOD>

<METHOD> – метод аутентификации ключа. Может принимать значения:

  •  xauth - psk - key – метод двухфакторной аутентификации, использующий пару логин-пароль и предварительно полученные ключи шифрования.
8Задать режим клиента (только для клиента).

esr(config-ike- policy)# authentication mode client


9Задать время жизни соединения протокола IKE (не обязательно).

esr(config-ike- policy)# lifetime seconds <SEC>

<SEC> – период времени, принимает значения [4 ..86400] секунд.

Значение по умолчанию: 3600

10Привязать политику к профилю.

esr(config-ike-policy)# proposal <NAME>

<NAME> – имя профиля протокола IKE, задаётся строкой до 31 символа.
11Указать ключ аутентификации.

esr(config-ike-policy)#pre-shared-key ascii-text <TEXT>

<TEXT> – строка [1..64] ASCII символов.
12Создать профиль доступа.

esr(config)# access profile <NAME>

<NAME> – имя профиля доступа, задаётся строкой до 31 символа.
13Создать имя пользователя.

esr(config-access-profile)# user <LOGIN>

<LOGIN> – логин клиента, задаётся строкой до 31 символа.
14Задать пароль пользователя.

esr(config-profile)# password ascii-text <TEXT>

<TEXT> – строка [8..32] ASCII символов.
15Создать пул адресов назначения (только для сервера).

esr(config)# address-assignment pool <NAME>

<NAME> – имя пула адресов назначения, задаётся строкой до 31 символа.
16Задать подсеть, из которой будут выдаваться IP клиентам (только для сервера).

esr(config-pool)# ip prefix <ADDR/LEN>

<ADDR/LEN> – адрес подсети и префикс.
17Создать шлюз для IKE и перейти в режим его конфигурирования.

esr(config)# security ike gateway <NAME>

<NAME> – имя шлюза протокола IKE, задаётся строкой до 31 символа.
18Привязать политику IKE.

esr(config-ike-gw)# ike-policy <NAME>

<NAME> – имя политики протокола IKE, задаётся строкой до 31 символа.
19Установить режим перенаправления трафика в туннель.

esr(config-ike-gw)# mode <MODE>

<MODE> – режим перенаправления трафика в туннель, принимает значения:

  • policy - based – трафик перенаправляется на основе принадлежности к указанным в политиках подсетям.
20Указать действие для DPD (не обязательно).

esr(config-ike-gw)# dead-peer-detection action <MODE>

<MODE> – режим работы DPD:

  • restart – соединение переустанавливается;
  • clear – соединение останавливается;
  • hold – соединение поддерживается;
  • none – механизм выключен, никаких действий не предпринимается.

Значение по умолчанию: none

21Указать интервал между отправкой сообщений механизмом DPD (не обязательно).

esr(config-ike-gw)#dead-peer-detection interval <SEC>

<SEC> – интервал между отправкой сообщений механизмом DPD, принимает значения [1..180] секунд.

Значение по умолчанию: 2

22Указать период времени для ответа на сообщения механизма DPD (не обязательно).

esr(config-ike-gw)# dead-peer-detection timeout <SEC>

<SEC> – период времени для ответа на сообщения механизма DPD, принимает значения [1..180] секунд.

Значение по умолчанию: 30

23Указать версию IKE (не обязательно).

esr(config-ike-gw)# version <VERSION>

<VERSION> – версия IKE-протокола: v1-only или v2-only.

Значение по умолчанию: v1-only

24Установить IP подсети отправителя (только для сервера).

esr(config-ike-gw)# local network <ADDR/LEN>
[ protocol { <TYPE> | <ID> } [ port <PORT> ] ]

<ADDR/LEN> – IP-адрес и маска подсети отправителя. Параметр задаётся в виде AAA.BBB.CCC.DDD/EE, где каждая часть AAA – DDD принимает значения [0..255] и EE принимает значения [1..32];

<TYPE> – тип протокола, принимает значения: esp, icmp, ah, eigrp, ospf, igmp, ipip, tcp, pim, udp, vrrp, rdp, l2tp, gre;

<ID> – идентификационный номер IP-протокола, принимает значения [0x00-0xFF];

<PORT> – TCP/UDP порт, принимает значения [1..65535].

25Установить IP-адрес локального шлюза IPsec-туннеля.

esr(config-ike-gw)#local address <ADDR>

<ADDR> – IP-адрес локального шлюза.
26Установить IP-адрес удаленного шлюза IPsec-туннеля.

esr(config-ike-gw)#remote address [any | <ADDR/LEN>
[ protocol { <TYPE> | <ID> } [ port <PORT> ] ]

Any – установить в качестве удаленного адреса – любой адрес клиента, в конфигурации сервера;

<ADDR/LEN> – IP-адрес и маска подсети сервера, в кофигурации клиента.

27Задать пул динамического выделения IP-адресов клиентам (только для сервера).

esr(config-ike-gw)# remote network dynamic pool <NAME>

<NAME> – имя пула адресов назначения, задаётся строкой до 31 символа.
28Задать режим динамического установления удаленной подсети (только для клиента).

esr(config-ike-gw)# remote network dynamic client


29Задать профиль доступа для XAUTH-параметров (только для сервера).

esr(config-ike-gw)# xauth access-profile <NAME>

<NAME> – имя профиля доступа, задаётся строкой до 31 символа.
30Задать профиль доступа и логин для XAUTH-параметров (только для клиента).

esr(config-ike-gw)# xauth access-profile <NAME> client <LOGIN>

<NAME> – имя профиля доступа, задаётся строкой до 31имвола;

<LOGIN> – логин клиента, задаётся строкой до 31 символа.

31Задать интерфейс терминации выделенного IP для построения IPsec VPN (только для клиента).

esr(config-ike-gw)# assign-interface loopback <INDEX>

<INDEX> – индекс интерфейса, принимает значения [1..65535].
32Создать профиль IPsec.

esr(config)# security ipsec proposal <NAME>

<NAME> – имя профиля протокола IPsec, задаётся строкой до 31 символа.
33Определить алгоритм аутентификации для IPsec (не обязательно).

esr(config-ipsec-proposal)# authentication algorithm <ALGORITHM>

<ALGORITHM> – алгоритм аутентификации, принимает значения: md5, sha1, sha2-256, sha2‑384, sha2-512.

Значение по умолчанию: sha1

34Определить алгоритм шифрования для IPsec (не обязательно).

esr(config-ipsec-proposal)# encryption algorithm <ALGORITHM>

<ALGORITHM> – протокол шифрования, принимает значения: des, 3des, blowfish128, blowfish192, blowfish256, aes128, aes192, aes256, aes128ctr, aes192ctr, aes256ctr, camellia128, camellia192, camellia256.

Значение по умолчанию: 3des

35Указать протокол (не обязательно).

esr(config-ipsec-proposal)#protocol <PROTOCOL>

<PROTOCOL> – инкапсулирующий протокол, принимает значения:

  • ah – данный протокол осуществляет только аутентификацию трафика, шифрование данных не выполняется;
  • esp – данный протокол осуществляет аутентификацию и шифрование трафика.

Значение по умолчанию: esp

36config-ipsec-proposal конфигурирования

esr(config)# security ipsec policy <NAME>

<NAME> – имя политики IPsec, задаётся строкой до 31 символа.
37Привяжем политику к профилю

esr(config-ipsec-policy)# proposal <NAME>

<NAME> – имя профиля протокола IPsec, задаётся строкой до 31 символа.
38Задать время жизни IPsec-туннеля (не обязательно).

esr(config-ipsec-policy)# lifetime { seconds <SEC> |
packets <PACKETS> | kilobytes <KB> }

<SEC> – период времени жизни IPsec-туннеля, по истечении которого происходит пересогласование.

Принимает значения [1140..86400] секунд.

Значение по умолчанию: 540

<PACKETS> – количество пакетов, после передачи которых происходит пересогласование IPsec-туннеля.

Принимает значения [4..86400].

Значение по умолчанию: отключено.

<KB> – объем трафика, после передачи которого происходит пересогласование IPsec-туннеля. Принимает значения [4..86400] секунд.

Значение по умолчанию: отключено.

39Создать IPsec VPN и перейти в режим конфигурирования.

esr(config)# security ipsec vpn <NAME>

<NAME> – имя VPN, задаётся строкой до 31 символа.
40Определить режим согласования данных, необходимых для активации VPN.

esr(config-ipsec-vpn)# mode <MODE>

<MODE> – режим работы VPN, принимает значения: ike, manual.
41Привязать IPsec политику к VPN.

esr(config-ipsec-vpn)#ike ipsec-policy <NAME>

<NAME> – имя IPsec-политики, задаётся строка до 31 символа.
42Задать значение DSCP для использования в IP-заголовке исходящих пакетов IKE-протокола (не обязательно).

esr(config-ipsec-vpn)#ike dscp <DSCP>

DSCP> – значение кода DSCP, принимает значения в диапазоне [0..63].

Значение по умолчанию: 63

43Устанавливается режим активации VPN.

esr(config-ipsec-vpn)#ike establish-tunnel <MODE>

<MODE> – режим активации VPN:

  • by - request – соединение активируется встречной стороной, доступно для сервера;
  • route – соединение активируется при появлении трафика, маршрутизируемого в туннель, доступно для сервера;
  • immediate – туннель активируется автоматически после применения конфигурации, доступно для клиента.
44Осуществить привязка IKE-шлюза к VPN.

esr(config-ipsec-vpn)# ike gateway <NAME>

<NAME> – имя IKE-шлюза, задаётся строкой до 31 символа.
45Установить значение временного интервала в секундах, по истечению которого соединение закрывается, если не было принято или передано ни одного пакета через SA (не обязательно).

esr(config-ipsec-vpn)# ike idle-time <TIME>

<TIME> – интервал в секундах, принимает значения [4..86400].

Значение по умолчанию: 0

46Отключить пересогласование ключей до разрыва IKE-соединения по истечению времени, количеству переданных пакетов или байт (не обязательно).

esr(config-ipsec-vpn)#ike rekey disable

Значение по умолчанию: включено.
47Настроить начало пересогласования ключей IKE-соединения до истечения времени жизни (не обязательно).

esr(config-ipsec-vpn)# ike rekey margin { seconds <SEC> |
packets <PACKETS> | kilobytes <KB> }

<SEC> – интервал времени в секундах, оставшийся до закрытия соединения (задается командой lifetimeseconds) . Принимает значения [4..86400].
Значение по умолчанию: 540

<PACKETS> – количество пакетов, оставшихся до закрытия соединения (задается командой lifetimepackets). Принимает значения [4..86400].
Значение по умолчанию: отключено.

<KB> – объем трафика в килобайтах, оставшийся до закрытия соединения (задается командой lifetimekilobytes). Принимает значения [4..86400]
Значение по умолчанию: отключено.

48Установить уровень случайного разброса значений параметров marginseconds, marginpackets, marginkilobytes (не обязательно).

esr(config-ipsec-vpn)# ike rekey randomization <VALUE>

<VALUE> – максимальный процент разброса значений, принимает значения [1..100].

Значение по умолчанию: 100

49Описать VPN (не обязательно).

esr(config-ipsec-vpn)# description <DESCRIPTION>

<DESCRIPTION> – описание профиля, задаётся строкой до 255 символов.
50Активировать IPsec VPN.

esr(config-ipsec-vpn)# enable


51Включить режим пере-подключения клиентов XAUTH с одним логином/паролем (только для сервера) (не обязательно).

esr(config-ipsec-vpn)# security ike session uniqueids <MODE>

<MODE> – режим пере-подключения, принимает следующие значения:

  • no - Установленное подключение XAUTH будет удалено, если для нового подключения XAUTH инициатором соединения будет отправлено уведомление "INITIAL_CONTACT", будет назначен ранее использованный IP-адрес. В противном случае, установленное соединение XAUTH будет удержано. Для нового подключения XAUTH будет назначен новый IP-адрес.
  • never - Установленное подключение XAUTH будет удержано. Для нового подключения XAUTH будет назначен новый IP-адрес. Уведомление "INITIAL_CONTACT" будет в любом случае проигнорировано.
  • replace - Установленное подключение XAUTH будет удалено. Для нового подключения XAUTH будет использован ранее использованный IP-адрес.
  • keep - Установленное подключение XAUTH будет удержано. Новое подключение XAUTH будет отклонено. 

Пример настройки

...

Задача:

Настроить Remote Access IPsec VPN между R1 и R2 с использованием второго фактора аутентификации IPsec - XAUTH. В качестве сервера IPsec VPN настроить маршрутизатор R1, а маршрутизатор R2 в качестве клиента IPsec VPN.

...

LT (англ. Logical Tunnel – логический туннель) – тип туннелей, предназначенный для передачи маршрутной информации и трафика между различными виртуальными маршрутизаторами (VRF Lite), сконфигурированными на одном аппаратном маршрутизаторе. LT-туннель может использоваться для организации взаимодействия между двумя или более VRF с применением ограничений firewall.

Алгоритм настройки

ШагОписаниеКомандаКлючи
1Создать LT-туннели для каждого из существующих VRF.

esr(config)# tunnel lt <ID>

<ID> – идентификатор туннеля в диапазоне [1..128].
2Указать описание конфигурируемых туннелей (не обязательно).

esr(config-lt)# description <DESCRIPTION>

<DESCRIPTION> – описание туннеля, задаётся строкой до 255 символов.

3

Включить каждый LT-туннель в соответствующий VFR.

esr(config-lt)# ip vrf forwarding <VRF>

<VRF> – имя VRF, задается строкой до 31 символа.

4

Включить каждый LT-туннель в зону безопасности и настроить правила взаимодействия между зонами или отключить firewall для LT-туннеля.

esr(config-lt)# security-zone<NAME>


<NAME> – имя зоны безопасности, задаётся строкой до 12 символов.

esr(config-lt)# ip firewall disable


5

Для каждого LT-туннеля задать номер противоположный LT туннель (в другом VRF).

esr(config-lt)# peer lt <ID>

<ID> – идентификатор туннеля в диапазоне [1..128].

6

Для каждого LT-туннеля указать IP-адрес для маршрутизации пакетов. Для взаимодействующих LT-туннелей, IP-адреса должны быть из одной IP-подсети.

esr(config-lt)# ip address <ADDR/LEN>

<ADDR/LEN> – IP-адрес и префикс подсети, задаётся в виде AAA.BBB.CCC.DDD/EE, где каждая часть AAA – DDD принимает значения [0..255] и EE принимает значения [1..32].

7

Включить туннели.

esr(config-lt)# enable


8

Для каждого VRF настроить необходимые протоколы маршрутизации через LT-туннель.



9

Задать интервал времени, за который усредняется статистика о нагрузке на туннеле (не обязательно)

esr(config-lt)# load-average <TIME>

<TIME> – интервал в секундах, принимает значения [5..150].

Значение по умолчанию: 5

10

Указать размер MTU (Maximum Transmition Unit) пакетов, которые может пропускать данный bridge (не обязательно; возможно, если в bridge включен только VLAN).
MTU более 1500 будет активно только в случае применения команды "system jumbo-frames"

esr(config-lt)# mtu <MTU>

<MTU> – значение MTU, принимает значения в диапазоне:

  • для ESR-10/12V(F)/14VF – [1280..9600];
  • для ESR-20/21 – [1280..9500];
  • для ESR-100/200/1000/1200/1500/1511/1700/3100 – [1280..10000].

Значение по умолчанию: 1500.

Пример настройки

Задача:

Организовать взаимодействие между хостами, терминированными в двух VRF vrf_1 и vrf_2.

...