interface {interface}

ip address ip_address [mask] [standby ip_address]

nameif name

Priority は、インターネット キー交換（IKE）ポリシーを一意に識別し、ポリシーにプライオリティを割り当てます。1 ～ 65,534 の整数を使用します。1 はプライオリティが最も高く、65,534 が最も低くなります。

その後に続く手順では、プライオリティは 1 に設定されます。

crypto ikev1 policy priority encryption {aes | aes-192 | aes-256 | des | 3des }

crypto ikev1 policy priority hash {md5 | sha }

crypto ikev1 policy priority group {1 | 2 | 5 }

crypto ikev1 policy priority lifetime {seconds}

限定されたライフタイムの範囲は、120 ～ 2147483647 秒です。無制限のライフタイムの場合は、0 秒を使用します。

crypto ikev1 enable interface-name

write memory

ip local pool poolname first-address—last-address [mask mask]

アドレス マスクはオプションです。ただし、VPN クライアントに割り当てられた IP アドレスが非標準のネットワークに属し、デフォルトのマスクを使用するとデータが誤ってルーティングされる可能性があるときは、マスク値を指定する必要があります。典型的な例が、IP ローカル プールに 10.10.10.0/255.255.255.0 アドレスが含まれている場合で、これはデフォルトではクラス A ネットワークです。これによって、VPN クライアントがさまざまなインターフェイスで 10 のネットワーク内の異なるサブネットにアクセスする必要がある場合、ルーティングの問題が生じる可能性があります。

username name {nopassword | password password [mschap | encrypted | nt-encrypted ]} [ privilege priv_level]

crypto ipsec ikev1 transform-set transform-set-name encryption-method [authentication]

encryption には、次のいずれかの値を指定します。

• esp-aes：128 ビット キーで AES を使用する場合。

• esp-aes-192：192 ビット キーで AES を使用する場合。

• esp-aes-256：256 ビット キーで AES を使用する場合。

• esp-des：56 ビットの DES-CBC を使用する場合。

• esp-3des：Triple DES アルゴリズムを使用する場合。

• esp-null：暗号化を使用しない場合。

authentication には、次のいずれかの値を指定します。

• esp-md5-hmac：ハッシュ アルゴリズムとして MD5/HMAC-128 を使用する場合。

• esp-sha-hmac：ハッシュ アルゴリズムとして SHA/HMAC-160 を使用する場合。

• esp-none：HMAC 認証を使用しない場合。

esp は、カプセル化セキュリティ ペイロード（ESP）IPsec プロトコルを指定します（現在、唯一サポートされている IPsec のプロトコルです）。

crypto ipsec ikev2 ipsec-proposal proposal_name

protocol {esp } {encryption {des | 3des | aes | aes-192 | aes-256 | null } | integrity {md5 | sha-1 }

encryption には、次のいずれかの値を指定します。

• des：ESP に 56 ビットの DES-CBC 暗号化を使用する場合。

• 3des：（デフォルト）ESP にトリプル DES 暗号化アルゴリズムを使用する場合。

• aes：ESP に 128 ビット キー暗号化で AES を使用する場合。

• aes-192：ESP に 192 ビット キー暗号化で AES を使用する場合。

• aes-256：ESP に 256 ビット キー暗号化で AES を使用する場合。

• null：ESP に暗号化を使用しない場合。

integrity には、次のいずれかの値を指定します。

• md5：ESP の整合性保護のための md5 アルゴリズムを指定。

• sha-1（デフォルト）は、ESP の整合性保護のために米国連邦情報処理標準（FIPS）で定義されたセキュア ハッシュ アルゴリズム（SHA）SHA-1 を指定します。

IKEv2 プロポーザルの設定手順

hostname(config)# crypto ipsec ikev2 ipsec-proposal secure_proposal
hostname(config-ipsec-proposal)# protocol esp encryption des integrity md5

tunnel-group name type type

tunnel-group name general-attributes

address-pool [(interface name)] address_pool1 [...address_pool6]

tunnel-group name ipsec-attributes

適応型セキュリティ アプライアンスとクライアントのキーは同じである必要があります。事前共有キーのサイズが異なる Cisco VPN Client が接続しようとすると、ピアの認証に失敗したことを示すエラー メッセージがクライアントによってログに記録されます。

ikev1 pre-shared-key key

crypto dynamic-map dynamic-map-name dynamic-seq-num set reverse-route

crypto map map-name seq-num ipsec-isakmp dynamic dynamic-map-name

crypto map map-name interface interface-name

write memory