Contenu

Introduction

Conditions préalables

Conditions requises

Components Used

Conventions

Configuration

Diagramme du réseau

Configurations

Vérification

Dépannage

Dépannage des commandes

Informations connexes

Introduction

Cet exemple de configuration montre le chiffrement entièrement maillé entre trois routeurs à l’aide d’une carte de chiffrement sur chaque routeur vers les réseaux derrière chacun de ses deux homologues.

Le chiffrement doit être effectué à partir de :

- Réseau 160.160.160.x vers réseau 170.170.170.x

- Réseau 160.160.160.x vers réseau 180.180.180.x

- Réseau 170.170.170.x vers réseau 180.180.180.x

Conditions préalables

Conditions requises

Aucune spécification déterminée n'est requise pour ce document.

Components Used

Les informations contenues dans ce document sont basées sur les versions de matériel et de logiciel suivantes :

- Logiciel Cisco IOS® versions 12.2.7C et 12.2.8(T)4

- Routeurs Cisco 2500 et 3600

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Conventions

For more information on document conventions, refer to the Cisco Technical Tips Conventions.

Configuration

Cette section vous fournit des informations pour configurer les fonctionnalités décrites dans ce document.

Remarque : Pour en savoir plus sur les commandes utilisées dans le présent document, utilisez l’outil de recherche de commandes (clients inscrits seulement).

Diagramme du réseau

Ce document utilise la configuration réseau indiquée dans le diagramme suivant.

Configurations

Ce document utilise les configurations suivantes.

- Dr_Whoovie Configuration

- Configuration de Yertle

- Configuration de Thidwick

Remarque : Ces configurations ont récemment été testées avec le code actuel (novembre 2003) dans le document.

Dr_Whoovie Configuration

Current configuration:

!

version 12.2

service timestamps debug uptime

service timestamps log uptime

no service password-encryption

!

hostname dr_whoovie

!

enable secret 5 $1$KxKv$cbqKsZtQTLJLGPN.tErFZ1

enable password ww

!

ip subnet-zero

!

cns event-service server

!

!--- Internet Key Exchange (IKE) Policies:

crypto isakmp policy 1

authentication pre-share

crypto isakmp key cisco123 address 150.150.150.3

crypto isakmp key cisco123 address 150.150.150.2

!

!--- IPSec Policies:

crypto ipsec transform-set 170cisco esp-des esp-md5-hmac

crypto ipsec transform-set 180cisco esp-des esp-md5-hmac

!

crypto map ETH0 17 ipsec-isakmp

set peer 150.150.150.2

set transform-set 170cisco

!--- Include the 160.160.160.x to 170.170.170.x network !--- in the encryption process.

match address 170

crypto map ETH0 18 ipsec-isakmp

set peer 150.150.150.3

set transform-set 180cisco

!--- Include the 160.160.160.x to 180.180.180.x network !--- in the encryption process.

match address 180

!

interface Ethernet0

ip address 150.150.150.1 255.255.255.0

no ip directed-broadcast

no ip route-cache

no ip mroute-cache

no mop enabled

crypto map ETH0

!

interface Ethernet1

no ip address

no ip directed-broadcast

shutdown

!

interface Serial0

ip address 160.160.160.1 255.255.255.0

no ip directed-broadcast

no ip mroute-cache

no fair-queue

!

interface Serial1

no ip address

no ip directed-broadcast

clockrate 4000000

!

ip classless

ip route 170.170.170.0 255.255.255.0 150.150.150.2

ip route 180.180.180.0 255.255.255.0 150.150.150.3

no ip http server

!

!--- Include the 160.160.160.x to 170.170.170.x network !--- in the encryption process.

access-list 170 permit ip 160.160.160.0 0.0.0.255 170.170.170.0 0.0.0.255

!--- Include the 160.160.160.x to 180.180.180.x network !--- in the encryption process.

access-list 180 permit ip 160.160.160.0 0.0.0.255 180.180.180.0 0.0.0.255

dialer-list 1 protocol ip permit

dialer-list 1 protocol ipx permit

!

line con 0

transport input none

line aux 0

line vty 0 4

password ww

login

!

end

Configuration de Yertle

Current configuration:

!

version 12.2

service timestamps debug uptime

service timestamps log uptime

no service password-encryption

!

hostname yertle

!

enable secret 5 $1$me5Q$2kF5zKlPPTvHEBdGiEZ9m/

enable password ww

!

ip subnet-zero

!

cns event-service server

!

!--- IKE Policies:

crypto isakmp policy 1

authentication pre-share

crypto isakmp key cisco123 address 150.150.150.3

crypto isakmp key cisco123 address 150.150.150.1

!

!--- IPSec Policies:

crypto ipsec transform-set 160cisco esp-des esp-md5-hmac

crypto ipsec transform-set 180cisco esp-des esp-md5-hmac

!

crypto map ETH0 16 ipsec-isakmp

set peer 150.150.150.1

set transform-set 160cisco

!--- Include the 170.170.170.x to 160.160.160.x network !--- in the encryption process.

match address 160

crypto map ETH0 18 ipsec-isakmp

set peer 150.150.150.3

set transform-set 180cisco

!--- Include the 170.170.170.x to 180.180.180.x network !--- in the encryption process.

match address 180

!

interface Ethernet0

ip address 150.150.150.2 255.255.255.0

no ip directed-broadcast

no ip route-cache

no ip mroute-cache

no mop enabled

crypto map ETH0

!

interface Serial0

no ip address

no ip directed-broadcast

no ip mroute-cache

shutdown

no fair-queue

!

interface Serial1

ip address 170.170.170.1 255.255.255.0

no ip directed-broadcast

!

ip classless

ip route 160.160.160.0 255.255.255.0 150.150.150.1

ip route 180.180.180.0 255.255.255.0 150.150.150.3

no ip http server

!

!--- Include the 170.170.170.x to 160.160.160.x network !--- in the encryption process.

access-list 160 permit ip 170.170.170.0 0.0.0.255 160.160.160.0 0.0.0.255

!--- Include the 170.170.170.x to 180.180.180.x network !--- in the encryption process.

access-list 180 permit ip 170.170.170.0 0.0.0.255 180.180.180.0 0.0.0.255

dialer-list 1 protocol ip permit

dialer-list 1 protocol ipx permit

!

line con 0

transport input none

line aux 0

line vty 0 4

password ww

login

!

end

Configuration de Thidwick

Current configuration:

!

version 12.2

service timestamps debug uptime

service timestamps log uptime

no service password-encryption

!

hostname thidwick

!

enable secret 5 $1$Pcpo$fj4FNS1dEDY9lGg3Ne6FK1

enable password ww

!

ip subnet-zero

!

isdn switch-type basic-5ess

isdn voice-call-failure 0

cns event-service server

!

!--- IKE Policies:

crypto isakmp policy 1

authentication pre-share

crypto isakmp key cisco123 address 150.150.150.1

crypto isakmp key cisco123 address 150.150.150.2

!

!--- IPSec Policies:

crypto ipsec transform-set 160cisco esp-des esp-md5-hmac

crypto ipsec transform-set 170cisco esp-des esp-md5-hmac

!

crypto map ETH0 16 ipsec-isakmp

set peer 150.150.150.1

set transform-set 160cisco

!--- Include the 180.180.180.x to 160.160.160.x network !--- in the encryption process.

match address 160

crypto map ETH0 17 ipsec-isakmp

set peer 150.150.150.2

set transform-set 170cisco

!--- Include the 180.180.180.x to 170.170.170.x network !--- in the encryption process.

match address 170

!

interface Ethernet0

ip address 150.150.150.3 255.255.255.0

no ip directed-broadcast

no ip route-cache

no ip mroute-cache

no mop enabled

crypto map ETH0

!

interface Serial0

no ip address

no ip directed-broadcast

no ip mroute-cache

no fair-queue

clockrate 4000000

!

interface Serial1

ip address 180.180.180.1 255.255.255.0

no ip directed-broadcast

clockrate 4000000

!

interface BRI0

no ip address

no ip directed-broadcast

shutdown

isdn switch-type basic-5ess

!

ip classless

ip route 160.160.160.0 255.255.255.0 150.150.150.1

ip route 170.170.170.0 255.255.255.0 150.150.150.2

no ip http server

!

!--- Include the 180.180.180.x to 160.160.160.x network !--- in the encryption process.

access-list 160 permit ip 180.180.180.0 0.0.0.255 160.160.160.0 0.0.0.255

!--- Include the 180.180.180.x to 170.170.170.x network !--- in the encryption process.

access-list 170 permit ip 180.180.180.0 0.0.0.255 170.170.170.0 0.0.0.255

dialer-list 1 protocol ip permit

dialer-list 1 protocol ipx permit

!

line con 0

transport input none

line aux 0

line vty 0 4

password ww

login

!

end

Vérification

Cette section présente des informations que vous pouvez utiliser pour vous assurer que votre configuration fonctionne correctement.

Certaines commandes show sont prises en charge par l'Output Interpreter Tool (clients enregistrés uniquement), qui vous permet de voir une analyse de la sortie de la commande show.

- show crypto ipsec sa - Affiche les paramètres utilisés par les associations de sécurité [IPSec] actuelles.

- show crypto isakmp sa - Affiche toutes les associations de sécurité IKE actuelles sur un homologue.

Dépannage

Cette section fournit des informations que vous pouvez utiliser pour dépanner votre configuration.

Dépannage des commandes

Remarque : avant d'émettre des commandes debug, référez-vous à Informations importantes sur les commandes de débogage .

- debug crypto ipsec — affiche les négociations IPsec de la Phase 2.

- debug crypto isakmp - Affiche les négociations ISAKMP (Internet Security Association and Key Management Protocol) de la phase 1.

- debug crypto engine : Cette commande affiche le trafic chiffré.

- clear crypto isakmp : efface les associations de sécurité liées à la phase 1.

- clear crypto sa : efface les associations de sécurité liées à la phase 2.

Informations connexes

- Page d'assistance IPsec

- Configuration de la sécurité des réseaux IPSec

- Configuration du protocole IKE (Internet Key Exchange)

- Support technique - Cisco Systems