Ví dụ:

Device> enable

• Nhập mật khẩu của bạn nếu được nhắc

Ví dụ:

Device# configure terminal

Ví dụ:

Device(config)# crypto ipsec transform-set aesset esp-aes 256 esp-sha-hmac

• Có các quy tắc phức tạp xác định các mục nhập mà bạn có thể sử dụng cho các đối số biến đổi.

Ví dụ:

Device(cfg-crypto-tran)# mode transport

• Chế độ cài đặt chỉ áp dụng cho lưu lượng có địa chỉ nguồn và đích là địa chỉ IPsec ngang hàng, nó bị bỏ qua đối với tất cả lưu lượng truy cập khác. (Tất cả lưu lượng truy cập khác chỉ ở chế độ tunnel)

Ví dụ:

Device(cfg-crypto-tran)# end

Ví dụ:

Device# clear crypto sa

SA được thiết lập thủ công sẽ được thiết lập lại ngay lập tức.

• Sử dụng lệnh clear crypto sa không có tham số sẽ xóa toàn bộ cơ sở dữ liệu SA, giúp xóa các phiên bảo mật đang hoạt động.
• Bạn cũng có thể chỉ định các từ khóa peer, map hoặc entry để xóa chỉ một tập hợp con của cơ sở dữ liệu SA.

Ví dụ:

Device# show crypto ipsec transform-set

Ví dụ:

Device> enable

• Nhập mật khẩu của bạn nếu được nhắc

Ví dụ:

Device# configure terminal

Ví dụ:

Device(config)# crypto ikev2 proposal proposal-1

• Các đề xuất được giới thiệu trong chính sách IKEv2 thông qua tên đề xuất

Ví dụ:

Device(config-ikev2-proposal)# encryption aes-cbc-128

• AES-CBC 128—128-bit AES-CBC
• AES-CBC 192—192-bit AES-CBC
• AES-CBC 256—256-bit AES-CBC
• 3DES—168-bit DE (Không được khuyến nghị)

Ví dụ:

Device(config-ikev2-proposal)# integrity sha1

• Từ khóa sha256 chỉ định SHA-2 family 256-bit (biến thể HMAC) làm thuật toán hash.
• Từ khóa sha384 chỉ định SHA-2 family 384-bit (biến thể HMAC) làm thuật toán hash.
• Từ khóa sha512 chỉ định SHA-2 family 512-bit (biến thể HMAC) làm thuật toán hash.
• Từ khóa sha1 chỉ định SHA-1 (biến thể HMAC) làm thuật toán hash.
• Từ khóa md5 chỉ định MD5 (biến thể HMAC) làm thuật toán hash (không được khuyến nghị)

Ví dụ:

Device(config-ikev2-proposal)# group 14

• 1—768-bit DH (Không còn được khuyến nghị)
• 2—1024-bit DH (Không còn được khuyến nghị)
• 5—1536-bit DH (Không còn được khuyến nghị)
• 14—Chỉ định group DH 2048-bit
• 15—Chỉ định group DH 3072-bit
• 16—Chỉ định group DH 4096-bit
• 19—Chỉ định group elliptic curve DH (ECDH) 256-bit
• 20—Chỉ định group elliptic curve DH (ECDH) 384-bit
• 24—Chỉ định group DH/DSA 2048-bit

Ví dụ:

Device(config-ikev2-proposal)# end

Ví dụ:

Device# show crypto ikev2 proposal

Ví dụ:

Device> enable

• Nhập mật khẩu của bạn nếu được nhắc

Ví dụ:

Device# configure terminal

Ví dụ:

Device(config)# crypto map static-map 1 ipsec-isakmp

• Với IPv4 crypto maps, hãy sử dụng lệnh không có từ khóa ipv6

Ví dụ:

Device(config-crypto-m)# match address vpn-tunnel

• Danh sách truy cập này xác định lưu lượng cần được bảo vệ bởi IPsec và lưu lượng không được bảo vệ bởi bảo mật IPsec trong ngữ cảnh của mục nhập crypto map này.

Ví dụ:

Device(config-crypto-m)# set-peer 192.168.101.1

• Lặp lại cho multiple remote ngang hàng

Ví dụ:

Device(config-crypto-m)# set security-association dummy seconds 5

Ví dụ:

Device(config-crypto-m)# set transform-set aesset

• Liệt kê nhiều bộ biến đổi theo thứ tự ưu tiên (ưu tiên cao nhất trước).

Ví dụ:

Device (config-crypto-m)# set security-association lifetime seconds 2700

• Theo mặc định, các SA của crypto map được thương lượng theo thời gian tồn tại trên toàn hệ thống, có thể bị vô hiệu hóa.

Ví dụ:

Device(config-crypto-m)# set security-association level per-host

• Theo mặc định, một IPsec “tunnel” duy nhất có thể mang lưu lượng cho nhiều máy chủ nguồn và nhiều máy chủ đích.

Ví dụ:

Device(config-crypto-m)# set pfs group14

• Group 1 chỉ định mã định danh mặc định 768-bit Diffie-Hellman (DH) (Không còn được khuyến nghị)
• Group 2 chỉ định mã định danh 1021-bit DH (Không còn được khuyến nghị)
• Group 5 chỉ định mã định danh 1536-bit DH (Không còn được khuyến nghị)
• Group 14 chỉ định mã định danh 2048-bit DH
• Group 15 chỉ định mã định danh 3072-bit DH
• Group 16 chỉ định mã định danh 4096-bit DH
• Group 19 chỉ định mã định danh 256-bit elliptic curve DH (ECDH)
• Group 20 chỉ định mã định danh 384-bit ECDH
• Group 24 chỉ định mã định danh 2048-bit DH/DSA
• Theo mặc định, PFS không được yêu cầu. Nếu không có nhóm nào được chỉ định bằng lệnh này, thì Group 1 được sử dụng làm mặc định.

Ví dụ:

Device(config-crypto-m)# end

Ví dụ:

Device# show crypto map

Ví dụ:

Device> enable

• Nhập mật khẩu của bạn nếu được nhắc

Ví dụ:

Device# configure terminal

Ví dụ:

Device(config)# crypto dynamic-map test-map 1

Ví dụ:

Device(config-crypto-m)# set transform-set aesset

• Liệt kê nhiều bộ biến đổi theo thứ tự ưu tiên (ưu tiên cao nhất trước). Đây là câu lệnh cấu hình duy nhất được yêu cầu trong các mục nhập dynamic crypto map

Ví dụ:

Device(config-crypto-m)# match address 101

• Danh sách truy cập này xác định lưu lượng nào sẽ được bảo vệ bởi IPsec và lưu lượng nào không được bảo vệ bởi bảo mật IPsec trong ngữ cảnh của mục nhập crypto map này.

• Nếu một danh sách truy cập được định cấu hình, thì data flow được được đề xuất bởi IPsec ngang hàng phải nằm trong một tuyên bố permit đối với danh sách truy cập crypto này.
• Nếu một danh sách truy cập không được cấu hình, thiết bị sẽ chấp nhận bất kỳ nhận dạng luồng dữ liệu nào được đề xuất bởi IPsec ngang hàng. Tuy nhiên, nếu danh sách truy cập được định cấu hình nhưng danh sách truy cập được chỉ định không tồn tại hoặc trống, thiết bị sẽ loại bỏ tất cả các gói, điều này tương tự như static crypto map, yêu cầu phải chỉ định danh sách truy cập.
• Phải cẩn thận nếu từ khóa any được sử dụng trong danh sách truy cập, bởi vì danh sách truy cập được sử dụng để lọc gói cũng như đàm phán
• Bạn phải cấu hình địa chỉ khớp, nếu không, hành vi này không an toàn và bạn không thể bật TED vì các gói được gửi dưới dạng rõ ràng (không được mã hóa.)

Ví dụ:

Device(config-crypto-m)# set peer 192.168.101.1

Ví dụ:

Device(config-crypto-m)# set security-association lifetime seconds 7200

Ví dụ:

Device(config-crypto-m)# set pfs group14

• Group 1 chỉ định mã định danh mặc định 768-bit Diffie-Hellman (DH) (Không được khuyến nghị)
• Group 2 chỉ định mã định danh 1024-bit DH (Không được khuyến nghị)
• Group 5 chỉ định mã định danh 1536-bit DH (Không được khuyến nghị)
• Group 14 chỉ định mã định danh 2048-bit DH
• Group 15 chỉ định mã định danh 3072-bit DH
• Group 16 chỉ định mã định danh 4096-bit DH
• Group 19 chỉ định mã định danh 256-bit elliptic curve DH (ECDH)
• Group 20 chỉ định mã định danh 384-bit ECDH
• Group 24 chỉ định mã định danh 2048-bit DH/DSA
• Theo mặc định, PFS không được yêu cầu. Nếu không có nhóm nào được chỉ định với lệnh này, thì group1 được sử dụng làm mặc định.

Ví dụ:

Device(config-crypto-m)# exit

Ví dụ:

Device(config)# exit

Ví dụ:

Device# show crypto dynamic-map

Ví dụ:

Device# configure terminal

Ví dụ:

Device(config)# crypto map static-map 1 ipsec-isakmp dynamic test-map discover

• Bạn nên đặt mục crypto map tham chiếu dynamic map thành các mục có mức độ ưu tiên thấp nhất trong crypto map set

Ví dụ:

Device(config)# exit

Ví dụ:

Device> enable

• Nhập mật khẩu của bạn nếu được nhắc

Ví dụ:

Device# configure terminal

Ví dụ:

Device(config)# crypto map mymap 10 ipsec-manual

• Đối với crypto map IPv4, sử dụng lệnh crypto map mà không cần từ khóa ipv6

Ví dụ:

Device(config-crypto-m)# match address 102

• Danh sách truy cập chỉ có thể chỉ định một mục nhập permit khi IKE không được sử dụng

Ví dụ:

Device(config-crypto-m)# set peer 10.0.0.5

• Chỉ có một peer có thể được chỉ định khi IKE không được sử dụng.

Ví dụ:

Device(config-crypto-m)# set transform-set someset

• Đây phải là cùng một bộ biến đổi được chỉ định trong mục nhập remote peer’s corresponding crypto map

·        set session-key inbound ah spi hex-key-string

·        set session-key outbound ah spi hex-key-string

Ví dụ:

Device(config-crypto-m)# set session-key inbound ah 256 98765432109876549876543210987654

Ví dụ:

Device(config-crypto-m)# set session-key outbound ah 256 fedcbafedcbafedcfedcbafedcbafedc

• Điều này chỉ định thủ công liên kết bảo mật AH sẽ được sử dụng với lưu lượng được bảo vệ.

·        set session-key inbound esp spi cipher hex-key-string [authenticator hex-key-string]

·        set session-key outbound esp spi cipher hex-key-string [authenticator hex-key-string]

Ví dụ:

Device(config-crypto-m)# set session-key inbound esp 256 cipher 0123456789012345

Ví dụ:

Device(config-crypto-m)# set session-key outbound esp 256 cipher abcdefabcdefabcd

Hoặc

Chỉ định các khóa mật mã nếu bộ biến đổi bao gồm thuật toán mật mã ESP. Chỉ định các khóa xác thực nếu bộ biến đổi bao gồm thuật toán xác thực ESP.

• Điều này chỉ định thủ công liên kết bảo mật ESP sẽ được sử dụng với lưu lượng được bảo vệ.

Ví dụ:

Device(config-crypto-m)# exit

Ví dụ:

Device(config)# exit

Ví dụ:

Device# show crypto map

Ví dụ:

Device> enable

• Nhập mật khẩu của bạn nếu được nhắc

Ví dụ:

Device# configure terminal

Ví dụ:

Device(config)# interface FastEthernet 0/0

Ví dụ:

Device(config-if)# crypto map mymap

Ví dụ:

Device(config-if)# exit

Ví dụ:

Device(config)# crypto map mymap local-address loopback0

Ví dụ:

Device(config)# exit

Ví dụ:

Device# show crypto map