阅读以下说明，回答问题，将解答填入答题纸对应的解答栏内。 [说明] 某公司总部和分支机构的网络配置如图13．11所示。在路由器R1和R2上配置IPSec安全策略，实现分支机构和总部的安全通信。下面的命令在路由器R1中建立IKE策略，请

admin2017-08-31 26

问题阅读以下说明，回答问题，将解答填入答题纸对应的解答栏内。
[说明]
某公司总部和分支机构的网络配置如图13．11所示。在路由器R1和R2上配置IPSec安全策略，实现分支机构和总部的安全通信。

下面的命令在路由器R1中建立IKE策略，请补充完成命令或说明命令的含义。
R1(config)#crypto isakmp policy 110 进入ISAKMP配置模式
R1(config-isakmp)# encryption des(5)
R1(config-isakmp)# (6)采用MD5散列算法
R1(config-isakmp)# authentication pre-share(7)
R1(config-isakmp)# group 1
R1(config-isakmp)# lifetime (8)安全关联生存期为1天

选项

答案(5)加密算法为DES (6)hash md5 (7)认证采用预共享密钥 (8)86400

解析 VPN的基本配置：
配置信息描述：
一端服务器的网络子网为10．0．1．0／24，路由器为172．30．1．2；另一端服务器为10．0．2．0／24，路由器为172．30．2．2。
主要步骤：
1．确定一个预先共享的密钥(保密密码)(以下例子保密密码假设为testpwd)。
2．为SA协商过程配置IKE。
3．配置IPSec。
(1)配置IKE
CsaiR(config)#crypto isakmp policy 1 //policy 1表示策略1，假如想多配几VPN，可以写成policy 2、policy 3…
CsaiR(config-isakmp)#group 1  //group命令有两个参数值：1和2。参数值1表示密钥使用768位密钥，参数值2表示密钥使用1024位密钥，显然后一种密钥安全性高，但消耗更多的CPU时间。在通信比较少时，最好使用group 1长度的密钥。
CsaiR(config-isakmp)#authentication pre．share  //告诉路由器要使用预先共享的密码。
CsaiR(config-isakmp)#1ifetime 3600  //对生成新SA的周期进行调整。这个值以秒为单位，默认值为86400(24小时)。值得注意的是两端的路由器都要设置相同的SA周期，否则VPN在正常初始化之后，将会在较短的一个SA周期到达中断。
CsaiR(config)#crypto isakmp key test address 200．20．25．1 //返回到全局设置模式确定要使用的预先共享密钥和指归VPN另一端路由器IP地址，即目的路由器IP地址。相应地在另一端路由器配置也和以上命令类似，只不过把IP地址改成100．10．15．1。
(2)配置IPSec
CsaiR(config)#access-list 130 permit ip 192．168．1．0 0．0．0．255 172．16．10．0 0．0．0．255 //在这里使用的访问列表号不能与任何过滤访问列表相同，应该使用不同的访问列表号来标识VPN规则。
CsaiR(config)#crypto ipsec transform-set vpn 1 ah-md5-hmac esp-des esp-md5-hmac //这里在两端路由器唯一不同的参数是vpn1，这是为这种选项组合所定义的名称。在两端的路由器上，这个名称可以相同，也可以不同。以上命令是定义所使用的IPSec参数。为了加强安全性，要启动验证报头。由于两个网络都使用私有地址空间，需要通过隧道传输数据，因此还要使用安全封装协议。最后，还要定义DES作为保密密码钥加密算法。  CsaiR(config)#crypto map shortsec 60 ipsec—isakmp  //Map优先级，取值范围1～65535，值越小，优先级越高。参数shortsec是我们给这个配置定义的名称，稍后可以将它与路由器的外部接口建立关联。
CsaiR(eonfig-crypto-map)#set peer 200．20．25．1 //这是标识对方路由器的合法IP地址。在远程路由器上也要输入类似命令，只是对方路由器地址应该是100．10．15．1。
CsaiR(config-crypto-map)#set transform—set vpn 1
CsaiR(config-crypto-map)#match address 130  //这两个命令分别标识用于VPN连接的传输设置和访问列表。
CsaiR(config)#interface sO
CsaiR(config．if)#crypto map shortsec∥将刚才定义的密码图应用到路由器的外部接口。
最后一步保存运行配置，最后测试这个VPN的连接，并且确保通信是按照预期规划进行的。

转载请注明原文地址:https://kaotiyun.com/show/puPZ777K

本试题收录于：网络工程师下午应用技术考试题库软考中级分类

网络工程师下午应用技术考试

软考中级

相关试题推荐

随机试题

最新回复(0)

网络工程师下午应用技术考试

软考中级

配置项的版本号规则与配置项的状态相关，以下叙述中正确的是()。

刘工正在制定配置管理计划，下列()工作不需要涉及。

在项目范围管理过程中，客户等项目干系人正式验收并接受已完成的项目可交付物过程，从工具或技术角度来考虑，最佳的选择是()。

下列关于创建工作分解结构(WBS)的描述，说法错误的是()。

与操作型数据库相比，下列()不是数据仓库的主要特点。

(2009年上半年)以太网100BASE—TX标准规定的传输介质是(12)。

(2011年上半年)在某次针对数据库的信息安全风险评估中，发现其中对财务核心数据的逻辑访问密码长期不变。基于以上现象，下列说法正确的是(27)。

钢板对接立焊打底焊在正常焊接时，熔孔直径大约为所用焊条直径的()，可保证焊缝背面焊透，同时不出现焊瘤。

浅Ⅱ度烧伤，若无感染等并发症，通常愈合时间为【】

男性，19岁，从西藏来京，10天后出现持续高热，体温39℃，无寒战，干咳、无痰，伴乏力、食欲不振，无呼吸困难，查体无阳性体征。血常规WBC7.9×109/L。，NE65%.，血沉70mm/h，给予头孢呋辛及阿昔洛韦抗炎及抗病

大量咯血是指24h咯血量超过()。

下列关于行政复议的程序的案例中，符合行政复议法规定的有：

导游人员为旅游者服务时始终精神饱满，热情友好，与旅游者相处时永远笑口常开，这体现了导游人员必须具有()。

下列属于分子晶体的是()。

电压互感器与电流互感器一次侧接入电力系统的方式分别是()。

孩子从()个月开始出现认生。

旧唯物主义之所以是半截子的唯物主义是因为()。