思科CISCO ASA 5521 防火墙 Ipsec 配置详解

版本信息：

Cisco Adaptive Security Appliance Software Version 9.9(2)

Firepower Extensible Operating System Version 2.3(1.84)

Device Manager Version 7.9(2)

老版本配置不一样

2.1 默认路由

ASA-1(config)  route outside 0.0.0.0 0.0.0.0 100.0.0.2 1              #下一跳地址一般由运营商提供

2.2配置ISAKMP策略（第一阶段，协商IKE）

ASA1(config)#crypto ikev1 enable outside    #在外部接口启用ikev1秘钥管理协议

ASA1(config)#crypto ikev1 policy 1          #策略越高，调用优先级越高

ASA1(config-ikev1-policy)#encryption aes    #加密策略双方保持一致

ASA1(config-ikev1-policy)#hash sha         #哈希算法双方保持一致，用作签名，确保数据一致性

ASA1(config-ikev1-policy)#authentication pre-share     #预置秘钥认证

ASA1(config-ikev1-policy)#group 2

ASA1 (config)# tunnel-group 200.0.0.1 type ipsec-l2l    #预隧道类型为lan to lan

ASA1 (config)# tunnel-group 200.0.0.1 ipsec-attributes   #红色部分为自定义的名字，这里为了方便记忆写成了对端IP地址，配置ipsec的属性

ASA1 (config-tunnel-ipsec)# ikev1 pre-shared-key 123456   #红色部分为密钥，双方一致

2.3配置ACL （第二阶段开始，保护具体数据流）

ASA1(config)# access-list 100 extended permit ip 10.1.1.0 255.255.255.0 192.168.1.0 255.255.255.0

#这里的acl列表好要和加密映射集的一致（本地-对端）

2.4配置IPSec策略（转换集）

ASA1(config)#crypto ipsec ikev1 transform-set new-set esp-aes esp-sha-hmac

2.5配置加密映射集

ASA1(config)#crypto map new-map 1 match address 100   #匹配上面的acl

ASA1(config)#crypto map new-map 1 set peer 200.0.0.1     #设置对端的地址

ASA1(config)#crypto map new-map 1 set ikev1 transform-set new-set

2.6将映射集应用在接口

ASA1(config)#crypto map new-map interface outside   #此处标签后边没有序列号

2.7 NAT和NAT豁免

ASA1(config)object network inside

ASA1 (config-network-object)subnet 192.168.1.0 255.255.255.0  #定义本地的内网网段

ASA1(config)object network inside

ASA1 (config-network-object)nat (inside,outside) dynamic interface   #NAT重载

ASA1(config)object network remote

ASA1 (config-network-object)subnet 10.1.1.0 255.255.255.0      #定义对方的内网网段

ASA1(config)nat (inside,outside) source static inside inside destination static remote remote  #nat豁免，这句话的意思是，inside网段的地址访问remote网段的地址，就用相同的地址访问，不进行转换（全局模式下）

2.8 注意点

1、如果ASA接口的security-level相同则需要配置same-security-traffic permit inter-interface，否则安全级别相同的端口无法互相访问，VPN也不会通。

2、建议inside口的安全级别低于outside的安全级别，因为CISICO默认高安全级别可以访问低安全级别的接口

3、另一台服务器按照配置重新做一遍即可，注意对端地址的改变，map集set 和acl  名字可以不一样，但是加密方式和哈希这些必须保持一致。