一、IKE第一阶段配置：建立加密隧道
这里会按照第1到第6个包的顺序来配置，而且要注意配置是双向的
crypto isakmp enable
crypto isakmp policy 10
group 2
authentication pre-share
encryption 3des
hash sha
lifetime 86400
crypto isakmp key 0 abc address 10.1.1.2
说明：
1. crypto isakmp enable：开启isakmp协议（默认是开启的）
2. crypto isakmp policy 10：建立IKE协商策略（这里1是策略编号，当配置多个策略时用来做区分，策略编号只在本地有效，范围1-10000，当有多个策略时选择策略编号小的来优先匹配）
3. group 2：配置ISAKMP采用DH group 2密钥交换算法，思科设备支持1，2，5三个组，组号越大，强度越高，一般设为2，如果设太高会加重设备负担（1组为512位，2组为768位，5组为1024位）
4. authentication pre-share：配置身份认证的方式，可以有三种认证方式：pre-share（预共享密钥）rsa-encr（rsa加密）rsa-sig（rsa签名）
5. encryption 3des：配置加密方式，加密方式有三种：3des、aes、des其中3des是168位的，des是56位的，aes可以有128/192/256三个位供选择，如果想要安全性能最好就配置aes的256位
6. hash sha：配置hash算法，hash算法有两种：sha、md5
7. lifetime86400：配置安全联盟的存活时间，即安全联盟过了这个时间之后就重新再建立一个新的安全联盟，范围是60--86400s
8. crypto isakmp key 0 abc address 10.1.1.2：配置预共享密钥，其中0表示明文，如果是6则表示密文，abc是密钥，10.1.1.2是对端IP，意思是配置这条预共享密钥给对方来对我做验证
二、IKE第二阶段配置：传输加密的数据
crypto ipsec transform-set ccie esp-aes esp-sha-hmac
mode tunnel
说明：
1. crypto ipsec transform-set ccie esp-aes esp-sha-hmac：配置IPSec的转换集，转换集定义用什么方式加密数据、认证数据，其中ccie是转换集的名称，esp是封装协议，aes是数据加密算法，sha是hash算法
2. mode tunnel：配置IPSec的传输模式，transport是传输模式，tunnel是隧道模式
3. 注意：配置是双向的
三、配置感兴趣流量
什么是感兴趣流量：感兴趣流量就是允许通过VPN传输的流量
access-list 100 permit ip host 1.1.1.1 host 2.2.2.2
说明：允许源1.1.1.1的流量通过VPN到达目的2.2.2.2，也可以是某个网段
四、配置加密图及其参数
什么是加密图：加密图可简单理解成把转换集、感兴趣流量、对端实体地址等ipsec sa协商参数关联绑定到接口上
crypto map cisco10 ipsec-isakmp
set peer 10.1.1.2
set transform-set ccie
match address 100
int f0/0
crypto map cisco
说明：
1. crypto map cisco 10 ipsec-isakmp：cisco是加密图的名称，10是加密图的编号，如果有多个VPN可以配置多个加密图，编号仅本地有效，ipsec-isakmp表示让IKE自动管理密钥，如果配置成ipsec-manual则手动管理密钥，一般都是配置自动管理
2. set peer 10.1.1.2：定义要应用crypto map的对端设备的IP地址（peer，对等体，即对端设备）
3. set transform-set ccie：定义要调用哪个转换集，ccie是转换集的名称
4. match address 100：关联感兴趣流量的ACL
5. int f0/0：进入走VPN流量的接口
6. crypto map cisco：把加密图关联到接口，cisco是加密图的名称
show crypto isakmp policy
R1#show crypto isakmp policy //查看IKE第一阶段的所有策略
Global IKE policy
Protection suite of priority 10 //策略10
encryption algorithm: Three key triple DES //加密算法
hash algorithm: Secure Hash Standard //hash算法
authentication method: Pre-Shared Key //认证方式
Diffie-Hellman group: #1 (768 bit) //DH组
lifetime: 86400 seconds, no volume limit //存活时间
//以下是默认策略的配置，比如我在策略10中没有定义lifetime，就会引用默认策略配置的lifetime来进行配置
Default protection suite
encryption algorithm: DES - Data Encryption Standard (56 bit keys).
hash algorithm: Secure Hash Standard
authentication method: Rivest-Shamir-Adleman Signature
Diffie-Hellman group: #1 (768 bit)
lifetime: 86400 seconds, no volume limit
show crypto ipsec transform-set
R2#show crypto ipsec transform-set //查看第二阶段的所有策略
Transform set ccie: { esp-aes esp-sha-hmac } //我们配置的转换集
will negotiate = { Tunnel, },
show crypto map
R2#show crypto map //查看加密图配置
Crypto Map "cisco" 10 ipsec-isakmp //名为cisco编号为10的加密图
Peer = 10.1.1.1 //对等体（即对端设备）
Extended IP access list 100 //匹配感兴趣流量
access-list 100 permit ip host 2.2.2.2 host 1.1.1.1
Current peer: 10.1.1.1 //对等体
Security association lifetime: 4608000 kilobytes/3600 seconds //生存时间
PFS (Y/N): N
Transform sets={ //使用的转换集
ccie,
}
Interfaces using crypto map cisco: //使用该加密图的接口
FastEthernet0/0
show crypto isakmp sa
R1#show crypto isakmp sa //查看IKE/isakmp的安全联盟
dst src state conn-id slot status
10.1.1.1 10.1.1.2 QM_IDLE 1 0 ACTIVE
state：
MM_NO_STATE：初始状态，即没有成功连接的状态
MM_SA_SETUP：对等体策略协商成功后处于该状态
MM_KEY_EXCH：对等体通过DH算法成功建立共享密钥，此时还没进行设备验证
MM_KEY_AUTH ：对等体成功进行设备验证
QM_IDE：管理连接成功建立
show crypto ipsec sa
R2#show crypto ipsec sa //查看IPSec的会话情况，注意IPSec必须有流量触发才会有会话信息（比如ping一下）
interface: FastEthernet0/0
Crypto map tag: cisco, local addr 10.1.1.2
protected vrf: (none)
local ident (addr/mask/prot/port): (2.2.2.2/255.255.255.255/0/0)
remote ident (addr/mask/prot/port): (1.1.1.1/255.255.255.255/0/0)
//以上是对等体双方的ID
current_peer 10.1.1.1 port 500
PERMIT, flags={origin_is_acl,ipsec_sa_request_sent}
#pkts encaps: 9, #pkts encrypt: 9, #pkts digest: 9
#pkts decaps: 9, #pkts decrypt: 9, #pkts verify: 9
//以上是对等体之间的加解密数据包统计数量
#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 0, #pkts compr. failed: 0
#pkts not decompressed: 0, #pkts decompress failed: 0
#send errors 1, #recv errors 0
local crypto endpt.: 10.1.1.2, remote crypto endpt.: 10.1.1.1
path mtu 1500, ip mtu 1500
current outbound spi: 0x7D212D7C(2099326332)
inbound esp sas: //入方向的ESP安全会话
spi: 0x1B1DAFAA(454930346) //区别会话的一个编号
transform: esp-aes esp-sha-hmac , //转换集配置
in use settings ={Tunnel, } //传输模式
conn id: 2001, flow_id: SW:1, crypto map: cisco //该会话的ID
sa timing: remaining key lifetime (k/sec): (4513140/3595) //剩下的lifetime
IV size: 16 bytes
replay detection support: Y
Status: ACTIVE //会话状态
inbound ah sas: //入方向的AH安全会话
inbound pcp sas:
outbound esp sas: //出方向的ESP安全会话
spi: 0x7D212D7C(2099326332)
transform: esp-aes esp-sha-hmac ,
in use settings ={Tunnel, }
conn id: 2002, flow_id: SW:2, crypto map: cisco
sa timing: remaining key lifetime (k/sec): (4513140/3593)
IV size: 16 bytes
replay detection support: Y
Status: ACTIVE
outbound ah sas:
outbound pcp sas: