2. 计算机
  3. 阅读以下说明，回答问题，将解答填入答题纸对应的解答栏内。 [说明] 某公司总部和分支机构的网络配置如图13．11所示。在路由器R1和R2上配置IPSec安全策略，实现分支机构和总部的安全通信。 下面的命令在路由器R1中建立IKE策略，请

阅读以下说明，回答问题，将解答填入答题纸对应的解答栏内。 [说明] 某公司总部和分支机构的网络配置如图13．11所示。在路由器R1和R2上配置IPSec安全策略，实现分支机构和总部的安全通信。 下面的命令在路由器R1中建立IKE策略，请

admin2017-08-31  32
问题 阅读以下说明，回答问题，将解答填入答题纸对应的解答栏内。
    [说明]
    某公司总部和分支机构的网络配置如图13．11所示。在路由器R1和R2上配置IPSec安全策略，实现分支机构和总部的安全通信。

下面的命令在路由器R1中建立IKE策略，请补充完成命令或说明命令的含义。
    R1(config)#crypto isakmp policy 110  进入ISAKMP配置模式
    R1(config-isakmp)# encryption des(5)
    R1(config-isakmp)#  (6)采用MD5散列算法
    R1(config-isakmp)# authentication pre-share(7)
    R1(config-isakmp)# group 1
    R1(config-isakmp)# lifetime (8)安全关联生存期为1天
选项
答案(5)加密算法为DES (6)hash md5 (7)认证采用预共享密钥 (8)86400
解析 VPN的基本配置：
    配置信息描述：
    一端服务器的网络子网为10．0．1．0／24，路由器为172．30．1．2；另一端服务器为10．0．2．0／24，路由器为172．30．2．2。
    主要步骤：
    1．确定一个预先共享的密钥(保密密码)(以下例子保密密码假设为testpwd)。
    2．为SA协商过程配置IKE。
    3．配置IPSec。
    (1)配置IKE
    CsaiR(config)#crypto isakmp policy 1 //policy 1表示策略1，假如想多配几VPN，可以写成policy 2、policy 3…
    CsaiR(config-isakmp)#group 1  //group命令有两个参数值：1和2。参数值1表示密钥使用768位密钥，参数值2表示密钥使用1024位密钥，显然后一种密钥安全性高，但消耗更多的CPU时间。在通信比较少时，最好使用group 1长度的密钥。
    CsaiR(config-isakmp)#authentication pre．share  //告诉路由器要使用预先共享的密码。
    CsaiR(config-isakmp)#1ifetime 3600  //对生成新SA的周期进行调整。这个值以秒为单位，默认值为86400(24小时)。值得注意的是两端的路由器都要设置相同的SA周期，否则VPN在正常初始化之后，将会在较短的一个SA周期到达中断。
    CsaiR(config)#crypto isakmp key test address 200．20．25．1 //返回到全局设置模式确定要使用的预先共享密钥和指归VPN另一端路由器IP地址，即目的路由器IP地址。相应地在另一端路由器配置也和以上命令类似，只不过把IP地址改成100．10．15．1。
    (2)配置IPSec
    CsaiR(config)#access-list 130 permit ip 192．168．1．0 0．0．0．255 172．16．10．0 0．0．0．255 //在这里使用的访问列表号不能与任何过滤访问列表相同，应该使用不同的访问列表号来标识VPN规则。
    CsaiR(config)#crypto ipsec transform-set vpn 1 ah-md5-hmac esp-des esp-md5-hmac //这里在两端路由器唯一不同的参数是vpn1，这是为这种选项组合所定义的名称。在两端的路由器上，这个名称可以相同，也可以不同。以上命令是定义所使用的IPSec参数。为了加强安全性，要启动验证报头。由于两个网络都使用私有地址空间，需要通过隧道传输数据，因此还要使用安全封装协议。最后，还要定义DES作为保密密码钥加密算法。  CsaiR(config)#crypto map shortsec 60 ipsec—isakmp  //Map优先级，取值范围1～65535，值越小，优先级越高。参数shortsec是我们给这个配置定义的名称，稍后可以将它与路由器的外部接口建立关联。
    CsaiR(eonfig-crypto-map)#set peer 200．20．25．1 //这是标识对方路由器的合法IP地址。在远程路由器上也要输入类似命令，只是对方路由器地址应该是100．10．15．1。
    CsaiR(config-crypto-map)#set transform—set vpn 1
    CsaiR(config-crypto-map)#match address 130  //这两个命令分别标识用于VPN连接的传输设置和访问列表。
    CsaiR(config)#interface sO
    CsaiR(config．if)#crypto map shortsec∥将刚才定义的密码图应用到路由器的外部接口。
    最后一步保存运行配置，最后测试这个VPN的连接，并且确保通信是按照预期规划进行的。
转载请注明原文地址:https://kaotiyun.com/show/puPZ777K
本试题收录于： 网络工程师下午应用技术考试题库软考中级分类
0

网络工程师下午应用技术考试

软考中级

相关试题推荐
随机试题
最新回复(0)