Cisco ASA5505 ipsec l2l配置

Cisco ASA5505配置

ASA(config)# crypto isakmp policy 10                #建立IKE策略，优先级为10                                                       
ASA(config-isakmp-policy)# encryption 3des          #使用3des加密                                 
ASA(config-isakmp-policy)# authentication pre-share #使用预共享的密码进行身份认证
ASA(config-isakmp-policy)# hash md5            #指定hash算法为md5（其他sha、rsa）  
ASA(config-isakmp-policy)# lifetime 28800     #指定SA有效期时间。默认86400秒，两端要一致                          
ASA(config-isakmp-policy)# group 1         #指定密钥位数，1表示768位，2表示1024为，2更安全，更耗cpu资源                                    
ASA(config-isakmp-policy)# exit
ASA(config)# crypto isakmp key bj2legend add 210.82.111.121   #预共享密码，远程网关ip                  
ASA(config)# crypto ipsec transform-set bjicpark esp-3des esp-md5-hmac  
#定义一个IPSEC交换集，两端要一样   
ASA(config)# access-list bjparkvpn permit ip 172.18.5.0 255.255.255.128 192.168.3.0 255.255.255.0      #定义加密通道
ASA(config)# access-list bjparkvpn permit ip 172.18.5.0 255.255.255.128 192.168.2.0 255.255.255.0                                 
ASA(config)# crypto map bjparkmap 20 match address bjparkvpn  #创建加密图                         
ASA(config)# crypto map bjparkmap 20 set peer 210.82.111.121  #目标地址                      
ASA(config)# crypto map bjparkmap 20 set transform-set bjpark  #指定加密图使用的IPSEC交换集                          
ASA(config)# crypto map bjparkmap interface outside           #应用加密图到接口                                          
ASA(config)# crypto isakmp identity address       #网关ID，默认IP地址，两端要一致
ASA(config)# crypto isakmp enable outside         #接口上开启ike
ASA(config)# crypto isakmp nat-traversal  20      #支持nat穿越
 
方正方御FG3000E防火墙配置：
IKE协商模式：主动模式
IKE算法：自动协商
   认证方式：预共享
   本地网关ID：无
   远程网关ID：无
IPSec算法：自动协商
高级选项：
   生存周期：
       ISAKMP SA：8小时0分0秒
       IPSec  SA：24小时0分0秒
   支持DPD（Dead Peer Detection）：选择打勾
       DPD探测频率：30秒
       DPD探测超时：10秒
       DPD超时操作：重新启动连接
   支持IP载荷压缩：不选择
   支持完美向前加密（PFS）：不选择
   支持密钥重建（Rekeying)：选择打勾
        重试次数：0
 
相关知识点：
对称加密或私有密钥加密：加密解密使用相同的私钥
DES–数据加密标准 data encryption standard
3DES–3倍数据加密标准 triple data encryption standard
AES–高级加密标准 advanced encryption standard
 
一些技术提供验证：
MAC梷消息验证码  message authentication code
HMAC梷散列消息验证码  hash-based message authentication code
MD5和SHA是提供验证的散列函数
对称加密被用于大容量数据，因为非对称加密站用大量cpu资源
 
非对称或公共密钥加密：
RSA rivest-shamir-adelman
用公钥加密，私钥解密。公钥是公开的，但只有私钥的拥有者才能解密
 
两个散列常用算法：
HMAC-MD5 使用128位的共享私有密钥
HMAC-SHA-I  使用160位的私有密钥
 
ESP协议：用来提供机密性，数据源验证，无连接完整性和反重放服务，并且通过防止流量分析来限制流量的机密性，这些服务以来于SA建立和实现时的选择。
加密是有DES或3DES算法完成。可选的验证和数据完整性由HMAC，keyed SHA-I或MD5提供
IKE–internet密钥交换：他提供IPSEC对等体验证，协商IPSEC密钥和协商IPSEC安全关联