cisco easy ***服务器端的架设
先前条件：1，一个可支持***协议的路由器（如果不支持，可能是版本原因，可以用刷系统方式刷新系统）。
2，cisco easy ***客户端，可以在各大网站中下载，但是需要注意其中是否捆绑了别的插件或者***。
3，一个可用的外网IP。
Router配置命令：
R(config)# aaa new-model //ez***必须启动AAA
R(config)# aaa authentication login default none //避免无法普通登录，如果你架设的radius服务 器的话，也可使其与radius服务器相连
R(config)# aaa authentication login remote-access local //设置认证方式
R(config)# aaa authorization network remote-group local //设置对ez***的认证方式
R(config)# username XXXX password xxxxxxx //ez***认证登录的账号密码
R(config)# crypto isakmp policy 10 //对ISAKMP设置策略
R(config-isakmp)# authentication pre-share
R(config-isakmp)# encryption 3des
R(config-isakmp)# group 2 //注：必须为2
R(config-isakmp)# hash md5
R(config-isakmp)# lifetime 86400
R(config-isakmp)#exit
R(config)# ip local pool ***DHCP 192.168.0.1 192.169.0.254//定义客户端的地址池，命令中的 ***DHCP和IP地址都可根据实际情况自行替换
R(config)# crypto isakmp client configuration group ABC //为客户创建组，这个组名（ABC） 将会是客户端组认证的账户名
R(config-isakmp-group)# key 123456 //客户端组认证的密码
R(config-isakmp-group)# pool ***DHCP //这个客户端组将使用的地址池
R(config-isakmp-group)# domain cisco.com //推送的一个域名发送给客户端
R(config-isakmp-group)# dns 8.8.8.8 //推送的DNS解析服务器的地址
R(config-isakmp-group)# max-logins X //X为数字，代表可以使用***的最 大数
R(config-isakmp-group)# max-users X //X为数字，代表最大用户数
R(config-isakmp-group)# netmask 255.255.255.0 //地址池的掩码
R(config-isakmp-group)# exit
R(config)# crypto isakmp profile ***_profile //定义ISAKMP简况
%A profile is deemed incomplete until it has match> //提示你这个简况是被认为不完整的，直到你定义它一个匹配的声明。（在之后我们将定义，不需要管）
R(conf-isa-prof)# match> R(conf-isa-prof)# client configuration address respond //对客户请求的地址响应
R(conf-isa-prof)# isakmp authorization list remote-group //调用对客户响应的授权方式 remote-group
R(config-isa-prof)# client authentication list remote-access //调用对客户认证方式
R(config-isa-prof)# exit
R(config)# crypto ipsec tranform-set easy_*** esp-3des esp-md5-hmac //定义tranform
R(cfg-crypto-trans)# mode tunnel //再次mode必须为tunnel
R(cfg-crypto-trans)# exit
R(config)# crypto dynamic-map dy_*** 10 //指定一个动态加密图模板
R(config-crypto-map)# set transform-set easy_*** //调用transform
R(config-crypto-map)# set isakmp-profile ***_profile //调用profile
R(config-crypto-map)# reverse-route //反向路由注入，让路由器生 成一条关于客户IP的32位静态路由
R(config-crypto-map)# exit
R(config)# crypto map dy_*** client configuration address respond//响应从客户端来的请求
R(config)# crypto map dy_*** 10 ipsec-isakmp dynamic dy_*** //创建静态dy_***，并关联动 态map
R(config)# intereface f0/0 //连接外网的接口
R(config-if)#crypto map dy_*** //接口下调用dy_***
完成上述过程后，可通过cisco easy ***拨入路由器，但是再次过程中中能在内部网络中ping通，如果想同时可上内外网，则需要使用easy *** 隧道分离技术
R(config)# access-list 100 permit ip 192.169.1.0 255.255.255.0 any //192为目的地址，也就 是你***目标的内网地址,any是指的原地址，也就是你地址池中的地址
R(config)# crypto isakmp client configuration group ABC
R(config-isakmp-group)# acl 100
注：在测试过程中，如果有client连不上server或者连上后不能ping通内网地址，请注意是否有防火墙限制了端口问题。
页:
[1]