cisco easy ***服务器端的架设

wangwengwu

　　先前条件：
　　1，一个可支持***协议的路由器（如果不支持，可能是版本原因，可以用刷系统方式刷新系统）。
　　2，cisco easy ***客户端，可以在各大网站中下载，但是需要注意其中是否捆绑了别的插件或者***。
　　3，一个可用的外网IP。
　　Router配置命令：
　　R(config)# aaa new-model           //ez***必须启动AAA
　　R(config)# aaa authentication login default none //避免无法普通登录，如果你架设的radius服务                                                    器的话，也可使其与radius服务器相连
　　R(config)# aaa authentication login remote-access local    //设置认证方式
　　R(config)# aaa authorization network remote-group local    //设置对ez***的认证方式
　　R(config)# username XXXX password xxxxxxx                  //ez***认证登录的账号密码
　　R(config)# crypto isakmp policy 10                         //对ISAKMP设置策略
　　R(config-isakmp)# authentication pre-share
　　R(config-isakmp)# encryption 3des
　　R(config-isakmp)# group 2                                  //注：必须为2
　　R(config-isakmp)# hash md5
　　R(config-isakmp)# lifetime 86400
　　R(config-isakmp)#exit
　　R(config)# ip local pool ***DHCP 192.168.0.1 192.169.0.254  //定义客户端的地址池，命令中的                                                     ***DHCP和IP地址都可根据实际情况自行替换
　　R(config)# crypto isakmp client configuration group ABC     //为客户创建组，这个组名（ABC）                                                               将会是客户端组认证的账户名
　　R(config-isakmp-group)# key 123456                           //客户端组认证的密码
　　R(config-isakmp-group)# pool ***DHCP                         //这个客户端组将使用的地址池
　　R(config-isakmp-group)# domain cisco.com                     //推送的一个域名发送给客户端
　　R(config-isakmp-group)# dns 8.8.8.8                          //推送的DNS解析服务器的地址
　　R(config-isakmp-group)# max-logins X                         //X为数字，代表可以使用***的最                                                                 大数
　　R(config-isakmp-group)# max-users X                          //X为数字，代表最大用户数
　　R(config-isakmp-group)# netmask 255.255.255.0                //地址池的掩码
　　R(config-isakmp-group)# exit
　　R(config)# crypto isakmp profile ***_profile                   //定义ISAKMP简况

　　%A profile is deemed incomplete until it has match>　　//提示你这个简况是被认为不完整的，直到你定义它一个匹配的声明。（在之后我们将定义，不需要管）

　　R(conf-isa-prof)# match>　　R(conf-isa-prof)# client configuration address respond        //对客户请求的地址响应
　　R(conf-isa-prof)# isakmp authorization list remote-group      //调用对客户响应的授权方式                                                                    remote-group
　　R(config-isa-prof)# client authentication list remote-access    //调用对客户认证方式
　　R(config-isa-prof)# exit
　　R(config)# crypto ipsec tranform-set easy_*** esp-3des esp-md5-hmac //定义tranform
　　R(cfg-crypto-trans)# mode tunnel                                    //再次mode必须为tunnel
　　R(cfg-crypto-trans)# exit
　　R(config)# crypto dynamic-map dy_*** 10                          //指定一个动态加密图模板
　　R(config-crypto-map)# set transform-set easy_***                 //调用transform
　　R(config-crypto-map)# set isakmp-profile ***_profile             //调用profile
　　R(config-crypto-map)# reverse-route                              //反向路由注入，让路由器生                                                              成一条关于客户IP的32位静态路由
　　R(config-crypto-map)# exit
　　R(config)# crypto map dy_*** client configuration address respond  //响应从客户端来的请求
　　R(config)# crypto map dy_*** 10 ipsec-isakmp dynamic dy_***     //创建静态dy_***，并关联动                                                                    态map
　　R(config)# intereface f0/0                                       //连接外网的接口
　　R(config-if)#crypto map dy_***                                   //接口下调用dy_***
　　完成上述过程后，可通过cisco easy ***拨入路由器，但是再次过程中中能在内部网络中ping通，如果想同时可上内外网，则需要使用easy *** 隧道分离技术
　　R(config)# access-list 100 permit ip 192.169.1.0 255.255.255.0 any    //192为目的地址，也就                               是你***目标的内网地址,any是指的原地址，也就是你地址池中的地址
　　R(config)# crypto isakmp client configuration group ABC
　　R(config-isakmp-group)# acl 100
　　注：在测试过程中，如果有client连不上server或者连上后不能ping通内网地址，请注意是否有防火墙限制了端口问题。