Руководство по работе с IPsec-туннелями

Интерфейс виртуальных туннелей IPsec Содержание Интерфейс виртуальных туннелей IPsec Содержание Ограничения для интерфейса виртуальных туннелей IPsec Сведения об интерфейсе виртуальных туннелей IPsec Преимущества использования интерфейса виртуальных туннелей IPsec Маршрутизация при использовании интерфейса виртуальных туннелей IPsec Статические интерфейсы виртуальных туннелей Динамические интерфейсы виртуальных туннелей Жизненный цикл динамического интерфейса виртуальных туннелей Шифрование трафика в интерфейсе виртуальных туннелей IPsec Поддержка атрибутов пользователей в серверах Easy VPN Как настроить интерфейс виртуальных туннелей IPsec Настройка статических интерфейсов виртуальных туннелей IPsec Настройка динамических интерфейсов виртуальных туннелей IPsec Настройка атрибутов пользователей на локальном сервере Easy VPN AAA Примеры конфигурации интерфейсов виртуальных туннелей IPsec Статический интерфейс виртуальных туннелей с IPsec:

пример Статический интерфейс виртуальных туннелей с поддержкой VRF: пример Статический интерфейс виртуальных туннелей с QoS: пример

Стр. 1

Статический интерфейс виртуальных туннелей с виртуальным брандмауэром: пример Сервер Easy VPN с динамическим интерфейсом виртуальных туннелей: пример Клиент Easy VPN с ди=амическим интерфейсом виртуальных туннелей: пример IPsec с поддержкой VRF с динамическим интерфейсом VTI: пример Динамический интерфейс виртуальных туннелей с виртуальным брандмауэром: пример Динамический интерфейс виртуальных туннелей с QoS: пример Атрибуты пользователей на сервере Easy VPN:

пример Дополнительные ссылки Дополнительная документация Стандарты Базы данных MIB Документы RFC Техническая поддержка Справочник по командам crypto aaa attribute list crypto isakmp client configuration group crypto isakmp profile interface virtual-template show vtemplate tunnel mode virtual-template Информация о функциональных возможностях интерфейсов виртуальных туннелей IPsec Интерфейс виртуальных туннелей IPsec Первая публикация: 18 октября 2004 г.

Стр. 2

Последнее обновление: 1 августа 2006 г. Интерфейсы виртуальных туннелей (virtual tunnel interfaces, VTI) IPsec представляют собой тип маршрутизируемых интерфейсов на концах туннелей IPsec. Это простой способ установки защиты между узлами для образования перекрывающихся сетей. Интерфейсы VTI IPsec упрощают настройку IPsec для защиты удаленных каналов, поддерживают мультиадресную рассылку, делают проще управления сетью и балансировку нагрузки. Поиск сведений о функциональных возможностях в данном модуле Некоторые версии программного обеспечения Cisco IOS могут поддерживать не все функции, описанные в данном модуле.

Ссылки на документацию по специальным функциям для данного модуля, а также список версий, поддерживающих все перечисленные функции, можно найти в разделе «Информация о функциональных возможностях интерфейсов виртуальных туннелей IPsec». Получение информации о поддержке платформ и образов программного обеспечения Cisco IOS Для поиска информации о поддержке платформ и образов программного обеспечения Cisco IOS воспользуйтесь инструментом Cisco Feature Navigator. Доступ к инструменту Cisco Feature Navigator можно получить по адресу http://www.cisco.com/go/fn. Необходимо наличие учетной записи на веб-сайте cisco.com.

Если у вас нет учетной записи, вы забыли имя пользователя или пароль, то в диалоговом окне входа в систему нажмите кнопку Cancel (Отмена) и следуйте дальнейшим указаниям. Содержание • Ограничения для интерфейса виртуальных туннелей IPsec • Сведения об интерфейсе виртуальных туннелей IPsec • Как настроить интерфейс виртуальных туннелей IPsec • Примеры конфигурации интерфейсов виртуальных туннелей IPsec • Дополнительные ссылки • Справочник по командам • Информация о функциональных возможностях интерфейсов виртуальных туннелей IPsec Ограничения для интерфейса виртуальных туннелей IPsec Набор для преобразования IPsec Набор для преобразования IPsec должен настраиваться только в режиме туннеля.

Сопоставления безопасности IKE Сопоставления безопасности (security association, SA) протокола обмена интернет-ключами (Internet Key Exchange, IKE) привязаны к интерфейсу виртуальных туннелей. Поскольку сопоставления SA IKE привязаны к интерфейсу виртуальных туннелей, для криптокарты не могут использоваться одинаковые сопоставления SA IKE. Селекторы трафика сопоставлений безопасности(SA) IPsec

Стр. 3

Статические интерфейсы виртуальных туннелей поддерживают только одно сопоставление SA IPsec, присоединенную к интерфейсу VTI. Селектор трафика для SA IPsec всегда имеет вид «IP any any». Динамический интерфейс VTI является также интерфейсом «точка-точка», который поддерживает одно сопоставление SA IPsec, однако динамический VTI более гибок в том, что обеспечивает доступ к селекторам IPsec, предоставляемым инициатором. Прокси Статические интерфейсы VTI поддерживают только прокси вида «IP any any». Динамические интерфейсы VTI поддерживают только один прокси, который имеет вид «IP any any», или любое его подмножество. Формирование трафика QoS Формируемый трафик коммутируется по процессам.

Восстановление после отказа с отслеживанием состояния В интерфейсе VTI IPsec не поддерживается восстановление после отказа с отслеживанием состояния IPsec. Защита туннеля Ключевое слово shared не используется и не должно задаваться при использовании команды tunnel mode ipsec ipv4 в режиме IPv4 IPsec. Сравнение статических интерфейсов VTI и туннелей GRE Интерфейсы VTI с использованием IPsec ограничены одноадресным и мультиадресным IP-трафиком, в противоположность туннелям GRE, которые имеют более широкую схему применения для реализации IPsec.

Конфигурация IPsec с поддержкой VRF В конфигурациях IPsec с поддержкой маршрутизации и переадресации в виртуальных частных сетях (Virtual Private Network routing and forwarding, VRF) в статических или динамических интерфейсах VTI (dynamic VTI, DVTI) VRF не должен настраиваться в профиле протокола управления сопоставлениями безопасности и ключами в Интернете (Internet Security Association and Key Management Protocol, ISAKMP). Вместо этого VRF необходимо настраивать в туннельном интерфейсе статических интерфейсов VTI. В DVTI необходимо применить VRF к шаблону vtemplate с помощью команды ip vrf forwarding .

Сведения об интерфейсе виртуальных туннелей IPsec Использование виртуальных туннельных интерфейсов IPsec одновременно значительно упрощает процесс конфигурации в случае необходимости защиты удаленного доступа и обеспечивает более простую альтернативу использованию общей инкапсуляции маршрутов (generic routing encapsulation, GRE) или протоколов туннелирования уровня 2 (Layer 2 Tunneling Protocol, L2TP) для инкапсуляции и криптокарт IPsec. Основное преимущество, связанное с интерфейсом VTI IPsec состоит в том, что настройка не требует статического сопоставления сеансов IPsec с физическим интерфейсом. Конечная точка туннеля IPsec связывается с реальным (виртуальным) интерфейсом.

Поскольку в конечной точке туннеля имеется маршрутизируемый интерфейс, для туннеля IPsec можно применять множество общих возможностей интерфейса. Интерфейс VTI IPsec обеспечивает гибкость отправки и приема одноадресного и мультиадресного шифрованного трафика IP на любой физический интерфейс, например, в случае наличия множества путей. Трафик шифруется или дешифруется при пересылке в туннельный интерфейс или из него и управляется с помощью таблицы маршрутизации IP. Для

Стр. 4