參考安全ccnp ikev2第一天

1、CCNP第一天：IKEv2理IKEv2第二天：IOSvsCCNP第一天：IKEv2理IKEv2第二天：IOSvsASACrypto郭第三天：IOSvsIOS第四天：Router第六天：Anyconnect3.0 to ？基于IKEv2的site-to-site、remote-？基于IKEv2的site-to-site、remote-和spoken-to-spokens、hub-2.的CLI的架構(gòu)：使用IOS點(diǎn)對點(diǎn)隧道接的特性：很多特性都可以在特性易于學(xué)習(xí)和管IKEv2IKEv2IKEv2vsAuth6OpenIPSec9msgs4-6msgsIKEv2vsAuth6OpenIPSec9msgs

2、4-6msgsPubkey-sig,Pubkey-Pubkey-Anti-NerverIKERequires re-Nore-IKEv2IKEv2IKE_SA_INIT(222ABProtectedKei：發(fā)起方密鑰交換材料，使用最高DHNi：發(fā)起方HDR：表示IKESAi1：發(fā)起方提交學(xué)算Ker：響應(yīng)方密鑰交Ni：響應(yīng)方HDR：表示IKESAr1：被響應(yīng)方選HDR：表示IKECERT：發(fā)起IDr：期望的響應(yīng)者ID（可選SAi2：發(fā)起方提交的child SA轉(zhuǎn)換集流HDR：表示IKECERT：響應(yīng)（可選AUTH：響應(yīng)方的認(rèn)證數(shù)據(jù)（如果發(fā)起方使用EAP認(rèn)證這個字段就不存在SAr2：發(fā)起方提交的c

3、hildSA流HDR：表示IKESK：被加密和完整性后的SA：Rekey或者child/IKENi：發(fā)起方KEi：密鑰交換（使用PFS用于IKE SA密鑰更新 HDR：表示IKESK：被加密和完整性后的SAr：響應(yīng)方提交的chlid SA策Nr：響應(yīng)方 Information用于日常事物管理（類似Information用于日常事物管理（類似必須確認(rèn) 被安全保護(hù)（加密的 3. 作為IKE_AUTH6. 會適當(dāng)增加包數(shù)量12-162.1標(biāo)準(zhǔn)2.1標(biāo)準(zhǔn)IOSvsASACrypto實(shí)驗(yàn)配置1IOSIKEv2Policy（可選實(shí)驗(yàn)配置1IOSIKEv2Policy（可選實(shí)驗(yàn)預(yù)配（略cryptoikev2

4、alGLAB-encryption3desaes-cbc-egritysha256sha512 group 2 5 14cryptoikev2policyGLAB-alGLAB-PRF不配置默egrity一樣，可以不一樣，用來進(jìn)一步把生成的隨機(jī)數(shù)進(jìn)實(shí)驗(yàn)配置2IOS實(shí)驗(yàn)配置2IOSIKEv2cryptoikev2keyringGLAB-peerCenter-（只是個名字，本地有效address（對端IP地址（預(yù)共享密鑰實(shí)驗(yàn)配置3IOS實(shí)驗(yàn)配置3IOSIKEv2cryptoikev2profileGLAB-matchidentityremoteaddress61.128.1.1 identity

5、local address 202.100.1.1 authentication remote pre-share authentication local pre-sharekeyringlocalGLAB-實(shí)驗(yàn)配置4IOS實(shí)驗(yàn)配置4IOSIKEv2cryptoipsectransform-setTran1esp-desesp-md5-modecryptoipsectransform-setTran2esp-3desesp-sha256-hmac mode tunnel查看系統(tǒng)默認(rèn)的Transform-實(shí)驗(yàn)配置5IOSIKEv2實(shí)驗(yàn)配置5IOSIKEv2流ips-listextendedGL

6、AB-permitip1.1.1.00.0.0.2552.2.2.0實(shí)驗(yàn)配置6IOS實(shí)驗(yàn)配置6IOSIKEv2Crypto1.配置Cryptocryptomapcrymap10ipsec-isakmp set peer 61.128.1.1set ikev2-profile GLAB-Prof match address GLAB-Traffic2.調(diào)用CryptoMaperfaceipaddress202.100.1.1cryptomap實(shí)驗(yàn)配置7ASA實(shí)驗(yàn)配置7ASAIKEv21. 在Outside接口激活cryptoikev2enable2.配置IKEv2crypto ikev2 pol

7、icy 10 encryptionaes-256desegritysha256sha group 2 1prfsha256實(shí)驗(yàn)配置8ASAIKEv2實(shí)驗(yàn)配置8ASAIKEv2tunnel-group202.100.1.1typeipsec-tunnel-group 202.100.1.1 ipsec-attributes ikev2local-authenticationpre-shared-key 實(shí)驗(yàn)配置9ASAIKEv2實(shí)驗(yàn)配置9ASAIKEv2cryptoipsecikev2ipsec-alprotocolespencryptionaes-192protocolegritysha-1實(shí)

8、驗(yàn)配置10ASAIKEv2實(shí)驗(yàn)配置10ASAIKEv2流extendedpermitip255.255.255.01.1.1.0實(shí)驗(yàn)配置11ASAIKEv2Crypto實(shí)驗(yàn)配置11ASAIKEv2Crypto1.配置Cryptocryptomap crymap 10 matchcryptomapcrymap10setpeercryptomapcrymap10setikev2ipsec-al2.調(diào)用CryptoM p到Outsidecryptomapcrym erface2.2IOS2.2IOScryptocryptoikev2keyringGLAB-peer Center-ASA addres

9、s 61.128.1.1 cryptoikev2profileGLAB-matchidentityremoteaddress61.128.1.1 identity local address 202.100.1.1 authentication remote pre-share authentication local pre-sharekeyringlocalGLAB-cryptomapcrymapcryptomapcrymap10ipsec-setpeersetikev2-profileGLAB-Prof ips-listextendedGLAB-permitip1.1.1.00.0.0.2552.2.2.0erfaceipaddress202.100.1.1cryptomap2.32.3cryptocryptoikev2keyringGLAB-peer Center-ASA pre-shared-key local cisco tunnel-group202.100.1.1typetunnel-group202.100.1.1typeipsec-tunnel-group202.100.1.1ipsec-ikev2remote-authenticationpre-shared-key cisco ike