Cisco-Router-7206-Easy***（非模板配置）之配置终结篇

sonyet

　　首先，还是聊下需求。为什么要做着ez***。
　　1.现在主流的防火墙产商，不是用户数限制就是并发连接限制，花钱嘛就是。
　　2.思科技术历史久长，兼容性较好，（微软win10貌似暂时不支持ez***客户端，有点蛋疼）
　　3.可以结合ACS进行控制，业务扩展性和管理都比现在主流的设备产商表现都要好
　　好了，上菜：
　　//启用AAA
　　Router(config)#aaa new-model
　　启用AAA登录验证，名为ez_***，验证方法为Local
　　Router(config)#aaa authentication login ez_***_authentication local
　　启用AAA网络授权，名为ez_***，验证方法为Local
　　Router(config)#aaa authorization network ez_***_authorization local
　　启用本地用户保护【保护console/aux都可以使用本地数据登录设备】
　　Router(config)#aaa authentication login default local 【这种配置默认是不允许存在】
　　Router(config)#aaa authentication login noallenuth line none
　　Router(config)#line aux 0
　　Router(config)#login authentication noallenuth
　　Router(config)#line console 0
　　Router(config)#login authentication noallenuth
　　配置路由器上的用户名与密码
　　Router(config)#username qujun privilege 15 secret 0 allenallenwozui6
　　定义SA参数
　　Router(config)#crypto isakmp policy 10
　　Router(config-isakmp)#encryption 3des
　　Router(config-isakmp)#authentication pre-share
　　Router(config-isakmp)#group 2
　　Router(config-isakmp)#exit
　　定义IP地址池
　　Router(config)#ip local pool ez_***_pool 10.16.2.1 10.16.2.200
　　定义ACL用于分离隧道，用于定义特定网段访问。这条不做的话，默认所有流量走隧道
　　Router(config)#ip access-list extended ez_split_tunnel
　　Router(config)#permit ip 172.21.99.0 0.0.0.255 any log
　　定义***组及参数
　　Router(config)#crypto isakmp client configuration group ez_***_group  【客户端name：填写、后期可以定义不同的gourp通过acl发布不同的网段】//此组名***_group在配置***客户端时需要填写
　　Router(config-isakmp-group)#key ez***test           //预共享密钥 即：客户端密码
　　如下图演示：可忽略，最后会有完整演示

　　Router(config-isakmp-group)#pool ez_***_pool         //指定地址池
　　Router(config-isakmp-group)#acl ez_split_tunnel       //建立分离隧道
　　Router(config-isakmp-group)#save-password           //使能客户端登录时保存密码，直接点击链接即可，如下图所示（不过出于安全控制考虑，建议不要开启该功能。你懂的）

　　Router(config-isakmp-group)#max-users 1000          //最大使能拨入用户数1000个
　　Router(config-isakmp-group)#max-logins 10           //最大使能拨入10用户同时进入认证状态，主要是防DOS***
　　Router(config-isakmp-group)#exit
　　定义传输集
　　Router(config)#crypto ipsec transform-set ez_tran_set esp-aes esp-sha-hmac
　　Router(cfg-crypto-trans)#exit
　　定义动态的MAP条目
　　Router(config)#crypto dynamic-map ez_dymap 10
　　Router(config-crypto-map)#set transform-set ez_tran_set
　　Router(config-crypto-map)#reverse-route
　　Router(config-crypto-map)#exit
　　定义静态的MAP条目
　　Router(config)#cyrpto map ez_***_map client authentication list ez_***_authentication
　　Router(config)#cyrpto map ez_***_map isakmap authorization list ez_***_authorization
　　Router(config)#crypto map ez_***_map client configuration address respond    //配置响应客户端的IP地址请求
　　Router(config)#crypto map ez_***_map 1000 ipsec-isakmp dynamic ez_dymap
　　将MAP应用到接口F0/0
　　Router(config)#int f0/0
　　Router(config-if)#crypto map ez_***_map
　　拨入客户端配置：
　　软件，我就不贴了，各位随便找个资源站下载下来即可，或者留言给我。找我QQ也可以549675970，我私聊发给你。
　　首先是建立profile：

　　connection entry：顾名思义名字，随便起
　　host：即你的路由器公网出接口地址
　　name：就是前面提到组，往上刷一下明白我什么意思
　　passwd：密码咯
　　然后完了就可以直接拨入上了，如果此时拨不上还有报错等等，就不要继续问我了，肯定是你配置出问题了。非常简单。
　　后期会继续更新一些常见的企业应用场景等。欢迎期待。（: 欢迎各位路过大拿指导小弟。