请对 IPsec 内部数据包启用按数据包路由查找功能。

步骤 1

要创建 ACL 以定义要保护的流量，请输入以下命令：

hostname(config)# access-list 101 permit ip 10.0.0.0 255.255.255.0 10.1.1.0 255.255.255.0

步骤 2

要配置定义如何保护流量的 IKEv1 转换集，请输入以下命令：

hostname(config)# crypto ipsec ikev1 transform-set myset1 esp-aes esp-sha-hmac 
hostname(config)# 
hostname(config)# crypto ipsec ikev1 transform-set aes_set esp-md5-hmac esp-aes-256

步骤 3

要配置同时定义如何保护流量的 IKEv2 提议，请输入以下命令：

hostname(config)# crypto ipsec ikev2 ipsec-proposal secure

hostname(config-ipsec-proposal)# protocol esp encryption aes

步骤 4

（可选）管理员可以启用路径最大传输单元 (PMTU) 老化并设置将 PMTU 值重置为其原始值的时间间隔。

步骤 5

要创建加密映射，请使用单情景或多情景模式执行以下站点间步骤：

1. 将 ACL 分配到加密映射：

   crypto map map-name seq-num match address access-list-name

   加密映射集是一系列加密映射条目，每个条目使用不同的序号 (seq-num)，但使用相同的映射名称。使用 access-list-name 指定 ACL ID，即长度最多为 241 个字符的字符串或整数。在以下示例中，mymap 是加密映射集的名称。此映射集序号为 10，此序号用于排列一个加密映射集内多个条目的优先级。序号越小，优先级就越高。

   示例:

   在本示例中，名称为 101 的 ACL 将分配给加密映射 mymap。

   
   crypto map mymap 10 match address 101
   
   

2. 指定可以向其转发受 IPSec 保护的流量的对等体：

   crypto map map_name sequence numberset peer ip_address1 [ip_address2] [...]

   示例:

   
   crypto map mymap 10 set peer 192.168.1.100
   
   

   ASA 设置 SA，其中对等体分配的 IP 地址为 192.168.1.100。

   注	从 9.14(1) 开始，ASA 支持 IKEv2 加密映射中的多个对等体。您最多可以向列表中添加 10 个对等体。

3. 指定此加密映射允许哪些 IKEv1 转换集或 IKEv2 提议。按照优先级顺序列出多个转换集或提议（优先级高的优先）。您可以使用以下两个命令之一，在加密映射中最多指定 11 个转换集或提议：

   crypto map map-name seq-num set ikev1 transform-set transform-set-name1 [transform-set-name2, …transform-set-name11]

   或

   crypto map map-name seq-num set ikev2 ipsec-proposal proposal-name1 [proposal-name2, … proposal-name11 ]

   Proposal-name1 和 proposal-name11 指定用于 IKEv2 的一个或多个 IPsec 提议名称。每个加密映射条目支持最多 11 个提议。

   示例:

   在 IKEv1 的本示例中，流量与 ACL 101 匹配时，SA 可以使用 myset1（第一优先级）或 myset2（第二优先级），具体取决于哪个转换集与对等体的转换集匹配。

   
   crypto map mymap 10 set ikev1 transform-set myset1 myset2
   
   

4. （可选）对于 IKEv2，请指定将 ESP 加密和身份验证应用于隧道的mode 。此字段确定原始 IP 数据包的哪个部分已应用 ESP。

   crypto map map-name seq-num set ikev2 mode [transport | tunnel | transport-require]

   • 隧道模式 -（默认）封装模式将为隧道模式。隧道模式将 ESP 加密和身份验证应用至整个原始 IP 数据包（IP 报头和数据），从而隐藏最终的源地址和目的地址。整个原始 IP 数据报经过加密，成为新 IP 数据包中的负载。

     此模式允许路由器等网络设备用作 IPsec 代理。也就是说，路由器代表主机执行加密。源路由器加密数据包并将其沿 IPsec 隧道转发。目标路由器解密原始 IP 数据报并将其转发到目标系统。

     隧道模式的主要优势是不需要修改终端系统即可获得 IPsec 的优势。隧道模式还可以防止流量分析；利用隧道模式，攻击者只能确定隧道终端，而无法确定通过隧道传送的数据包的真正源和目标，即使其与隧道终点一样也无法确定。

   • 传输模式 - 封装模式将为传输模式，且可选择在对等体不支持时回退到隧道模式。在传输模式下，仅加密 IP 负载，原始 IP 报头保持不变。

     此模式的优势是每个数据包只需增加几个字节并且允许公共网络上的设备查看数据包的最终源和目标。在传输模式下，可以根据 IP 报头中的信息在中间网络上启用特殊处理（例如 QoS）。然而，第 4 层报头将被加密，这就限制了对数据包的检查。

   • 传输必要 - 封装模式将为仅传输模式，不允许回退到隧道模式。

   其中，tunnel 封装模式是默认模式；transport 封装模式是传输模式，如果对等体不支持，可以回退到隧道模式；transport-require 封装模式仅实施传输模式。

   注	不建议将传输模式用于远程访问 VPN。

   例如，封装模式的协商如下所示：

   • 如果发起方提议传输模式而响应方以隧道模式响应，发起人将回退到隧道模式。

   • 如果发起方提议隧道模式而响应方以传输模式响应，响应方不会回退到隧道模式。

   • 如果发起方提议隧道模式而响应方为传输必要模式，则响应方将发送“没有选择提议”。

   • 同样，如果发起方为传输必要模式而响应方为隧道模式，响应方将发送“没有选择建议”。

5. （可选）如果想要覆盖全局生命周期，请为加密映射指定 SA 生命周期。

   crypto map map-name seq-num set security-association lifetime { seconds number | kilobytes {number | unlimited}}

   Map-name 指定加密映射集的名称。Seq-num 指定您分配给加密映射条目的序号。您可以基于时间或传输的数据设置两个生命周期。但是，所传输数据的生命周期仅适用于站点间 VPN，不适用于远程访问 VPN。

   示例:

   此示例将加密映射 mymap 10 的计时生命周期缩短至 2700 秒（45 分钟）。基于流量的生命周期未更改。

   
   crypto map mymap 10 set security-association lifetime seconds 2700
   
   

6. （可选）指定在为此加密映射请求新的 SA 时 IPsec 要求完全向前保密，或在从对等体接收的请求中要求 PFS：

   crypto map map_name seq-num set pfs [group14 | group15 | group16 | group19 | group20 | group21]

   示例:

   此示例要求在为加密映射 mymap 10 协商新 SA 时提供 PFS。ASA 在新 SA 中使用 2048 位 Diffie-Hellman 素数模数群。

   crypto map mymap 10 set pfs group14
   
   
   

7. （可选）根据此加密映射条目为任何连接启用反向路由注入 (RRI)。

   crypto map map_name seq-num set reverse-route [dynamic]

   如果未指定为动态，则 RRI 在配置时完成并被视为静态，在配置更改或被删除之前保持不变。ASA 可自动将静态路由添加到路由表中，并向其使用 OSPF 的专用网络或边界路由器通告这些路由。如果将任何源/目标 (0.0.0.0/0.0.0.0) 指定为受保护网络，请勿启用 RRI，否则会影响使用默认路由的流量。

   如果指定为动态，则在成功建立 IPsec 安全关联 (SA) 时创建 RRI 并在删除 IPsec SA 后删除路由。

   注	动态 RRI 仅适用于基于 IKEv2 的静态加密映射。

   示例:

   crypto map mymap 10 set reverse-route dynamic
   
   

步骤 6

将加密映射集应用于评估 IPSec 流量的接口：

crypto map mymap interface outside

步骤 1

(可选) 将 ACL 分配给动态加密映射：

crypto dynamic-map dyn1 10 match address 101

步骤 2

指定此动态加密映射允许哪些 IKEv1 转换集或 IKEv2 提议。使用该命令为 IKEv1 转换集或 IKEv2 提议按照优先级顺序列出多个转换集或提议（优先级高的优先）：

crypto dynamic-map dyn 10 set ikev1 transform-set myset1 myset2

步骤 3

(可选) 如果您想要覆盖全局生命周期值，请为动态加密映射条目指定 SA 生命周期：

crypto dynamic-map dyn1 10 set security-association lifetime seconds 2700

步骤 4

(可选) 指定在为此动态加密映射请求新的 SA 时 IPsec 要求 PFS，或应该在从对等体接收的请求中要求 PFS：

crypto dynamic-map dyn1 10 set pfs group14

步骤 5

将动态加密映射集添加到静态加密映射集中。

crypto map  mymap 200 ipsec-isakmp dynamic dyn1