목차

소개

사전 요구 사항

요구 사항

사용되는 구성 요소

표기 규칙

배경 정보

구성

네트워크 다이어그램

구성

IPsec 터널에서 네트워크 제거

다음을 확인합니다.

문제 해결

관련 정보

소개

이 문서에서는 기존 LAN-to-LAN(L2L) VPN 터널에서 네트워크를 추가하거나 제거하는 방법에 대한 샘플 컨피그레이션을 제공합니다.

사전 요구 사항

요구 사항

이 컨피그레이션을 시도하기 전에 현재 L2L IPsec VPN 터널을 올바르게 구성해야 합니다.

사용되는 구성 요소

이 문서의 정보는 소프트웨어 버전 12.4(15)T1을 실행하는 두 개의 Cisco IOS® 라우터를 기반으로 합니다.

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다.이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다.현재 네트워크가 작동 중인 경우, 모든 명령어의 잠재적인 영향을 미리 숙지하시기 바랍니다.

표기 규칙

문서 규칙에 대한 자세한 내용은 Cisco 기술 팁 규칙을 참조하십시오.

배경 정보

현재 본사(HQ) 사무실과 지사(BO) 간에 L2L VPN 터널이 있습니다. HQ 사무소에서 세일즈 팀에서 사용할 새 네트워크를 추가했습니다.이 팀은 BO 사무실에 있는 리소스에 액세스해야 합니다.현재 작업은 기존 L2L VPN 터널에 새 네트워크를 추가하는 것입니다.

구성

이 섹션에서는 이 문서에 설명된 기능을 구성하는 정보를 제공합니다.

참고: 명령 조회 도구(등록된 고객만 해당)를 사용하여 이 섹션에 사용된 명령에 대한 자세한 내용을 확인하십시오.

네트워크 다이어그램

이 문서에서는 다음 네트워크 설정을 사용합니다.

구성

이 문서에서는 이 섹션에 설명된 구성을 사용합니다.이러한 컨피그레이션에는 HQ 사무실의 172.16.10.0 네트워크와 BO 사무실의 10.10.10.0 네트워크 사이에서 실행되는 L2L VPN이 포함됩니다.굵은 텍스트로 표시된 출력은 HQ 사무실의 새 네트워크 192.168.10.0을 대상 네트워크와 10.10.10.0이 있는 동일한 VPN 터널에 통합하는 데 필요한 컨피그레이션을 보여줍니다.

HQ-라우터

HQ-Router#show running-config

Building configuration...

Current configuration : 1439 bytes

!

version 12.4

service timestamps debug uptime

service timestamps log uptime

no service password-encryption

!

hostname HQ-Router

!

!--- Output suppressed.

!

crypto isakmp policy 1

hash md5

authentication pre-share

crypto isakmp key cisco123 address 209.165.200.225

!

!

crypto ipsec transform-set rtpset esp-des esp-md5-hmac

!

crypto map rtp 1 ipsec-isakmp

set peer 209.165.200.225

set transform-set rtpset

match address 115

!

interface Ethernet0

ip address 172.16.10.1 255.255.255.0

ip nat inside

!

interface Ethernet1

ip address 209.165.201.2 255.255.255.224

ip nat outside

crypto map rtp

!

interface Ethernet2

ip address 192.168.10.1 255.255.255.0

ip nat inside

!

interface Serial0

no ip address

shutdown

no fair-queue

!

interface Serial1

no ip address

shutdown

!

ip nat inside source route-map nonat interface Ethernet1 overload

ip classless

ip route 0.0.0.0 0.0.0.0 209.165.201.1

!

!--- Output suppressed.

access-list 110 deny   ip 172.16.10.0 0.0.0.255 10.10.10.0 0.0.0.255

access-list 110 permit ip 172.16.10.0 0.0.0.255 any

!

!--- Add this ACL entry to include 192.168.10.0 !--- network with the nat-exemption rule.

access-list 110 deny   ip 192.168.10.0 0.0.0.255 10.10.10.0 0.0.0.255

access-list 110 permit ip 192.168.10.0 0.0.0.255 any

access-list 115 permit ip 172.16.10.0 0.0.0.255 10.10.10.0 0.0.0.255

!

!--- Add this ACL entry to include 192.168.10.0 !--- network into the crypto map.

access-list 115 permit ip 192.168.10.0 0.0.0.255 10.10.10.0 0.0.0.255

route-map nonat permit 10

match ip address 110

!

!--- Output suppressed.

end

BO-라우터

BO-Router#show running-config

Building configuration...

Current configuration : 2836 bytes

!

version 12.4

service timestamps debug datetime msec

service timestamps log datetime msec

no service password-encryption

!

hostname BO-Router

!

!--- Output suppressed.

!

crypto isakmp policy 1

hash md5

authentication pre-share

crypto isakmp key cisco123 address 209.165.201.2

!

!

crypto ipsec transform-set rtpset esp-des esp-md5-hmac

!

crypto map rtp 1 ipsec-isakmp

set peer 209.165.201.2

set transform-set rtpset

match address 115

!

!--- Output suppressed.

interface FastEthernet0/0

ip address 209.165.200.225 255.255.255.224

ip nat outside

ip virtual-reassembly

duplex auto

speed auto

crypto map rtp

!

interface FastEthernet0/1

ip address 10.10.10.1 255.255.255.0

ip nat inside

ip virtual-reassembly

duplex auto

speed auto

!

ip route 0.0.0.0 0.0.0.0 FastEthernet0/1

!

!--- Output suppressed.

!

ip http server

no ip http secure-server

ip nat inside source route-map nonat interface FastEthernet0/0 overload

!

!--- Add this ACL entry to include 192.168.10.0 !--- network with the nat-exemption rule.

access-list 110 deny   ip 10.10.10.0 0.0.0.255 192.168.10.0 0.0.0.255

access-list 110 deny   ip 10.10.10.0 0.0.0.255 172.16.10.0 0.0.0.255

access-list 110 permit ip 10.10.10.0 0.0.0.255 any

access-list 115 permit ip 10.10.10.0 0.0.0.255 172.16.10.0 0.0.0.255

!

!--- Add this ACL entry to include 192.168.10.0 !--- network into the crypto map.

access-list 115 permit ip 10.10.10.0 0.0.0.255 192.168.10.0 0.0.0.255

!

route-map nonat permit 10

match ip address 110

!

!--- Output suppressed.

!

end

IPsec 터널에서 네트워크 제거

IPsec 터널 컨피그레이션에서 네트워크를 제거하려면 이 섹션에 설명된 단계를 완료합니다.네트워크 192.168.10.0/24이 HQ 라우터 컨피그레이션에서 제거되었습니다.

1. IPsec 연결을 해제하려면 다음 명령을 사용합니다.

HQ-Router#clear crypto sa

2. ISAKMPSecurity Associations(SA)를 지우려면 다음 명령을 사용합니다.

HQ-Router#clear crypto isakmp

3. IPsec 터널에 대한 흥미로운 트래픽 ACL을 제거하려면 이 명령을 사용합니다.

HQ-Router(config)#no access-list 115 permit ip

192.168.10.0 0.0.0.255 10.10.10.0 0.0.0.255

4. 192.168.10.0 네트워크에 대한 nat-exempt ACL 문을 제거하려면 다음 명령을 사용합니다.

HQ-Router(config)#no access-list 110 deny ip

192.168.10.0 0.0.0.255 10.10.10.0 0.0.0.255

5. NAT 변환을 지우려면 다음 명령을 사용합니다.

HQ-Router#clear ip nat translation *

6. 현재 암호화 컨피그레이션이 적용되도록 인터페이스에서 암호화 맵을 제거하고 다시 적용하려면 다음 명령을 사용합니다.

HQ-Router(config)#int ethernet 1

HQ-Router(config-if)#no crypto map rtp

*May 25 10:35:12.153: %CRYPTO-6-ISAKMP_ON_OFF: ISAKMP is OFF

HQ-Router(config-if)#crypto map rtp

*May 25 10:36:09.305: %CRYPTO-6-ISAKMP_ON_OFF: ISAKMP is ON

참고: 인터페이스에서 암호화 맵을 제거하면 해당 암호화 맵과 연결된 모든 기존 VPN 연결이 끊어집니다.이 작업을 수행하기 전에 필요한 다운타임 및 그에 따라 조직의 변경 제어 정책을 따랐는지 확인하십시오.

7. 활성 컨피그레이션을 플래시에 저장하려면 write memory 명령을 사용합니다.

8. 컨피그레이션을 제거하려면 VPN 터널(BO-Router)의 반대쪽 끝에서 다음 단계를 완료합니다.

9. IPsec 터널을 시작하고 연결을 확인합니다.

다음을 확인합니다.

이 섹션을 사용하여 컨피그레이션이 제대로 작동하는지 확인합니다.

새 네트워크가 VPN 터널을 통해 데이터를 전달할 수 있도록 하려면 이 ping 시퀀스를 사용합니다.

HQ-Router#clear crypto sa

HQ-Router#

HQ-Router#ping 10.10.10.1 source 172.16.10.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 10.10.10.1, timeout is 2 seconds:

Packet sent with a source address of 172.16.10.1

.!!!!

Success rate is 80 percent (4/5), round-trip min/avg/max = 20/20/20 ms

HQ-Router#ping 10.10.10.1 source 192.168.10.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 10.10.10.1, timeout is 2 seconds:

Packet sent with a source address of 192.168.10.1

.!!!!

Success rate is 80 percent (4/5), round-trip min/avg/max = 20/20/20 ms

HQ-Router#ping 10.10.10.1 source 192.168.10.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 10.10.10.1, timeout is 2 seconds:

Packet sent with a source address of 192.168.10.1

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 20/20/20 ms

crypto ipsec sa 표시

HQ-Router#show crypto ipsec sa

interface: Ethernet1

Crypto map tag: rtp, local addr. 209.165.201.2

local  ident (addr/mask/prot/port): (192.168.10.0/255.255.255.0/0/0)

remote ident (addr/mask/prot/port): (10.10.10.0/255.255.255.0/0/0)

current_peer: 209.165.200.225

PERMIT, flags={origin_is_acl,}

#pkts encaps: 9, #pkts encrypt: 9, #pkts digest 9

#pkts decaps: 9, #pkts decrypt: 9, #pkts verify 9

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. failed: 0, #pkts decompress failed: 0

#send errors 1, #recv errors 0

local crypto endpt.: 209.165.201.2, remote crypto endpt.: 209.165.200.225

path mtu 1500, ip mtu 1500, ip mtu interface Ethernet1

current outbound spi: FB52B5AB

inbound esp sas:

spi: 0x612332E(101856046)

transform: esp-des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2002, flow_id: 3, crypto map: rtp

sa timing: remaining key lifetime (k/sec): (4607998/3209)

IV size: 8 bytes

replay detection support: Y

inbound ah sas:

inbound pcp sas:

outbound esp sas:

spi: 0xFB52B5AB(4216501675)

transform: esp-des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2003, flow_id: 4, crypto map: rtp

sa timing: remaining key lifetime (k/sec): (4607998/3200)

IV size: 8 bytes

replay detection support: Y

outbound ah sas:

outbound pcp sas:

local  ident (addr/mask/prot/port): (172.16.10.0/255.255.255.0/0/0)

remote ident (addr/mask/prot/port): (10.10.10.0/255.255.255.0/0/0)

current_peer: 209.165.200.225

PERMIT, flags={origin_is_acl,}

#pkts encaps: 4, #pkts encrypt: 4, #pkts digest 4

#pkts decaps: 4, #pkts decrypt: 4, #pkts verify 4

#pkts compressed: 0, #pkts decompressed: 0

#pkts not compressed: 0, #pkts compr. failed: 0, #pkts decompress failed: 0

#send errors 1, #recv errors 0

local crypto endpt.: 209.165.201.2, remote crypto endpt.: 209.165.200.225

path mtu 1500, ip mtu 1500, ip mtu interface Ethernet1

current outbound spi: C9E9F490

inbound esp sas:

spi: 0x1291F1D3(311554515)

transform: esp-des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2000, flow_id: 1, crypto map: rtp

sa timing: remaining key lifetime (k/sec): (4607999/3182)

IV size: 8 bytes

replay detection support: Y

inbound ah sas:

inbound pcp sas:

outbound esp sas:

spi: 0xC9E9F490(3387552912)

transform: esp-des esp-md5-hmac ,

in use settings ={Tunnel, }

slot: 0, conn id: 2001, flow_id: 2, crypto map: rtp

sa timing: remaining key lifetime (k/sec): (4607999/3182)

IV size: 8 bytes

replay detection support: Y

outbound ah sas:

outbound pcp sas:

Output Interpreter 도구(등록된 고객만 해당)(OIT)는 특정 show 명령을 지원합니다.OIT를 사용하여 show 명령 출력의 분석을 봅니다.

문제 해결

컨피그레이션 문제를 해결하려면 이 섹션을 사용합니다.

참고: debug 명령을 사용하기 전에 디버그 명령에 대한 중요 정보를 참조하십시오.

- debug crypto ipsec - 2단계의 IPsec 협상을 표시합니다.

- debug crypto isakmp - 1단계의 ISAKMP 협상을 표시합니다.

- debug crypto engine - 암호화된 세션을 표시합니다.

관련 정보

- IPSec(IP Security) 암호화 소개

- IPSec 협상/IKE 프로토콜 지원 페이지

- IPsec 라우터 동적 LAN-to-LAN 피어 및 VPN 클라이언트 구성

- 기술 지원 및 문서 − Cisco Systems