सिस्को IOS का उपयोग करते हुए IKEv2 और फ्लेक्स वीपीएन। वाक्य रचना और कार्य का तर्क

इस लेख में, मैंने सबसे सुलभ और संक्षिप्त तरीके से यह वर्णन करने की कोशिश की कि IKEv2, FlexVPN क्या है और यह सिस्को IOS रूटर्स में कैसे लागू किया जाता है। सामग्री की बेहतर समझ के लिए, यह आवश्यक है कि पाठक, नीचे दिए गए पाठ से परिचित होने के समय, वीपीएन, IPSec, ISAKMP, ISAKMP प्रोफाइल आदि जैसे शब्दों से न डरें। इसके अलावा, सिस्को उपकरण पर VTI इंटरफेस (या GRE IPSec) का उपयोग करके विभिन्न प्रकार के वीपीएन को कैसे कॉन्फ़िगर किया जाता है, इसकी अच्छी समझ रखना उचित है, क्योंकि लेख इन मुद्दों के ज्ञान पर बहुत निर्भर करता है।

प्रस्तावना

आपको तुरंत इस बात पर जोर देने की आवश्यकता है कि आपको यह नहीं सोचना है कि IKEv2 पूरी तरह से नया है, समझने में मुश्किल है और वीपीएन नेटवर्क के निर्माण की पूरी अवधारणा को पूरी तरह से बदल देता है। IKE (1 और 2 दोनों) केवल ESP प्रदान करने के लिए डिज़ाइन किए गए हैं (अच्छी तरह से या AH, अगर किसी को इसकी आवश्यकता है) प्रत्यक्ष डेटा सुरक्षा के लिए निर्दिष्ट प्रोटोकॉल द्वारा आवश्यक आवश्यक जानकारी के साथ। ईएसपी ही, इसके ऑपरेटिंग मोड (सुरंग / परिवहन) और सभी संबंधित अवधारणाएं नहीं बदलती हैं।

संक्षेप में अपने पूर्ववर्ती से IKEv2 की मुख्य विशेषताओं और मतभेदों के बारे में

मैं अपनी राय में सबसे महत्वपूर्ण बातों का सारांश दूंगा:

1. दोनों प्रोटोकॉल UDP / 500 (NAT-T के मामले में 4500) पर काम करते हैं, लेकिन एक दूसरे के साथ असंगत हैं, अर्थात। यह काम नहीं करता है कि IKEv1 सुरंग के एक छोर पर है और IKEv2 दूसरे पर है। एक ही समय में, एक ही राउटर IKEv2 और IKEv1 दोनों सुरंगों को एक साथ समाप्त कर सकता है। IKEv1 और 2 हेडर में पर्याप्त अंतर हैं ताकि राउटर यह निर्धारित कर सके कि एक ही पोर्ट के बावजूद यह क्या व्यवहार कर रहा है।

2. IKEv2 में अब ऐसी अवधारणाएं आक्रामक / मुख्य मोड के रूप में नहीं हैं, जो कि उन पहलुओं में से एक है जो प्रोटोकॉल को समझना आसान बनाते हैं।

3. IKEv2 में, शब्द चरण 1 को IKE_SA_INIT (एन्क्रिप्शन / हैश प्रोटोकॉल बातचीत और डीएच प्रमुख पीढ़ी को सुनिश्चित करने वाले दो संदेश) द्वारा प्रतिस्थापित किया जाता है, और चरण 2 को IKE_AUTH (यह भी दो संदेशों को सीधे ईएसपी के लिए सहकर्मी प्रमाणीकरण और प्रमुख पीढ़ी को लागू करता है) द्वारा प्रतिस्थापित किया जाता है। IKE_AUTH में संचार हमेशा IKE_SA_INIT द्वारा उत्पन्न SAs का उपयोग करके एन्क्रिप्ट किया जाता है। इसकम्प एसए को अब ikev2 sa, और ipsec sa को चाइल्ड SA कहा जाता है।

4. IKEv2 में, साथियों के बीच प्रमाणीकरण विधि अब स्वचालित रूप से बातचीत नहीं है और किसी भी IKEv2 नीतियों से बंधी नहीं है। यानी यदि पहले IKEv1 में प्रत्येक isakmp नीति में एक प्रमाणीकरण रेखा होती थी, जो यह बताती थी कि किस प्रकार का प्रमाणीकरण होगा, यदि इस नीति को चुना गया था, तो अब प्रमाणीकरण विधि मैन्युअल रूप से सेट की गई है और यह स्पष्ट रूप से निर्धारित किया जाता है कि प्रमाणीकरण इस सहकर्मी के साथ किया जाएगा, लेकिन साथ यह पूर्व-साझा कुंजी द्वारा है। इसके अलावा, IKEv2 में असममित प्रमाणीकरण संभव हो गया है। यानी आप प्रमाण पत्र के साथ समापन बिंदु A प्रमाणीकृत समापन बिंदु B बना सकते हैं, जबकि B A को पूर्व-साझा कुंजी के साथ प्रमाणित करेगा। या, A पूर्व-साझा की 1 का उपयोग करके B को प्रमाणित करता है, जबकि B पूर्व-साझा की 2 का उपयोग करके A को प्रमाणित करता है। सहित अन्य विकल्प संभव हैं विभिन्न ईएपी विधियों का उपयोग करके प्रमाणीकरण।

5. मोड कॉन्फिगरेशन (जिसे ikev1 फेज 1.5 कहा जाता है और इसका उपयोग रिमोट RAVPN / EasyVPN कनेक्शन को कॉन्फ़िगर करने के लिए किया जाता है), NAT-T और कीपेलिव्स अब सीधे प्रोटोकॉल विनिर्देश में वर्णित हैं और इसका एक अभिन्न अंग हैं। पहले, इन चीजों को विक्रेताओं द्वारा आवश्यकतानुसार लागू किया गया था।

6. IKEv2 ने DoS के हमलों से नियंत्रण-विमान (सेवा विमान) की सुरक्षा के लिए एक अतिरिक्त तंत्र जोड़ा। इसका सार यह है कि सुरक्षित कनेक्शन (IKE_SA_INIT) स्थापित करने के लिए प्रत्येक अनुरोध का जवाब देने से पहले, IKEv2 वीपीएन प्रवेश द्वार अनुरोध अनुरोध के स्रोत के लिए एक कुकी भेजता है और उसी तरह से जवाब देने के लिए इंतजार करता है। यदि स्रोत ने उत्तर दिया - उत्कृष्ट, आप इसके साथ डीएच पीढ़ी शुरू कर सकते हैं। यदि स्रोत प्रतिक्रिया नहीं करता है (DoS हमले के मामले में ऐसा होता है - यह अनिवार्य रूप से टीसीपी SYN बाढ़ हमले के लिए तुलनीय है), तो वीपीएन गेटवे इसके बारे में भूल जाता है। इस तंत्र के बिना, किसी से भी हर IKE_SA_INIT IKEv2 अनुरोध के साथ, वीपीएन गेटवे एक डीएच कुंजी (जो, जैसा कि आप जानते हैं, एक बहुत ही संसाधन-गहन प्रक्रिया है) उत्पन्न करने की कोशिश करेंगे और जल्द ही एक मारे गए (यद्यपि अस्थायी रूप से) नियंत्रण-विमान के साथ छोड़ दिया जाएगा।

FlexVPN क्या है?

FlexVPN एक ढांचा है जो सिस्को IOS रूटर्स पर IKEv2 को लागू करता है। यानी यह IOS कमांड सिंटैक्स में IKEv2 + IPSec है। इससे ज्यादा नहीं।

मुख्य विशेषता, फ्लेक्सवीपीएन (फ्लेक्स कीवर्ड फ्लेक्सिबल), जो सिस्को फ्लेक्सवीपीएन की एक विशिष्ट विशेषता के रूप में है, यह है कि एक ही वीपीएन गेटवे कॉन्फ़िगरेशन विभिन्न प्रकार की सुरंगों को इसकी श्रृंखला की अनुमति देता है - रिमोट एक्सेस, साइट-टू-साइट, आदि। । यद्यपि, मेरी राय में, पारंपरिक IKEv1 कॉन्फ़िगरेशन में समान (अच्छी तरह से या लगभग समान) लचीलापन प्राप्त किया जा सकता है, यदि आप VTI इंटरफेस का उपयोग करते हैं। अच्छा, ठीक है, यह सब मेरा IMHO है।

इसके बाद, हम अब विश्लेषण करते हैं कि FlexVPN सिंटैक्स कैसा दिखता है, जो इसका उपयोग करता है, जो उनका मतलब है, वे इसके लिए क्या हैं, वे IKEv1 में समान कमांड से कैसे संबंधित हैं।

IKEv2 कॉन्फ़िगरेशन के लिए FlexVPN सिंटैक्स

तो, सिस्को IOS में IKEv2 के मुख्य (और, IMHO, सभी) घटक हैं:

1. प्रस्ताव
2. नीति
3. कीरिंग
4. प्रोफाइल

अगला, प्रत्येक क्रम में।

प्रस्ताव

IKEv2 प्रस्ताव सीमाएं जो IKE_SA_INIT चरण की स्थापना / सुरक्षा करने के लिए उपयोग की जाती हैं, जो एल्गोरिदम का उपयोग करेगी। इसके मूल में, यह IKEv1 में क्रिप्टो isakmp नीति का एक एनालॉग है, हालांकि पूरी तरह से नहीं।
यह इस तरह दिखता है:

 क्रिप्टोकरंसी 2 प्रस्ताव PROP_1
	 एन्क्रिप्शन aes-cbc-256 aes-cbc-128 3des
	 समूह १४ ५ २
	 अखंडता श 256 256 m1 md5 

Isakmp नीति से पहला अंतर यह है कि आप एक बार में एक प्रस्ताव में कई एल्गोरिदम / एन्क्रिप्शन कुंजी लंबाई / डीएच / हैश डाल सकते हैं। दूसरा अंतर जो पहले उल्लेख किया गया था कि कोई प्रमाणीकरण लाइन नहीं है, क्योंकि अब प्रमाणीकरण एक अलग मुद्दा है। तीसरा अंतर यह है कि प्रस्ताव विन्यास का एक स्वतंत्र हिस्सा नहीं है और इसे नीति में रखा जाना चाहिए।

नीति

IKEv2 नीति प्रस्ताव के लिए एक कंटेनर है, और अधिक। यहाँ एक उदाहरण पहले है, और फिर मैं समझाऊंगा:

 क्रिप्टोकरंसी 2 नीति POLICY_1
	 मैच vrf VRF1
	 मैच का पता स्थानीय 203.0.113.10
	 प्रस्ताव PROP_1

जैसा कि आप देख सकते हैं, नीति प्रस्ताव को संदर्भित करती है। लेकिन, इसके अलावा, यह 1 के आधार पर एक या किसी अन्य प्रस्ताव को चुनने की क्षमता को जोड़ता है) जिसमें वीआरएफ इंटरफ़ेस स्थित है, जिससे दूरस्थ सहकर्मी जुड़ा हुआ है; 2) जिस स्थानीय पते से रिमोट पीयर जुड़ा हुआ है। यदि आप IKEv1 में इस क्रिप्टो isakmp नीति की तुलना करते हैं, तो वहाँ क्रिप्टो isakmp नीति सभी कनेक्शनों के लिए वैश्विक थी। सिद्धांत रूप में, इसे बनाने का कोई तरीका नहीं था ताकि साथियों के हिस्से के लिए, केवल नीति 1,2,3 का उपयोग किया जा सके, और दूसरे भाग के लिए 4.5.6। ऐसा एक अवसर है, हालांकि मुझे यकीन नहीं है कि इसमें बहुत व्यावहारिक लाभ है। लेकिन फिर भी ...

इस प्रकार, मैं एक बार फिर जोर देता हूं:
IKEv2 में Crypto ikev2 नीति + crypto ikev2 प्रस्ताव IKEv1 में crypto isakmp नीति के समान भूमिका है।

कीरिंग

IKEv2 कीरिंग एक भंडार है जो पूर्व-साझा कुंजी संग्रहीत करता है। जाहिर है, कीरिंग का उपयोग किया जाता है और केवल तभी समझ में आता है जब पूर्व-साझा कुंजी के लिए प्रमाणीकरण विधि का चयन किया जाता है। यदि PKI का उपयोग प्रमाणीकरण के लिए किया जाता है, तो आपको कीरिंग नहीं, बल्कि ट्रस्ट पॉइंट को कॉन्फ़िगर करना होगा। यदि हम IKEv1 के साथ एक सादृश्य आकर्षित करते हैं, तो सरलतम मामले में पूर्व-साझा कुंजियों को निर्दिष्ट करने के लिए निम्नलिखित निर्माण का उपयोग किया गया था:

  क्रिप्टो isakmp कुंजी सिस्को पता xxxx 255.255.255.0 

यानी पूर्व-साझा कीज़ अलग कॉन्फ़िगरेशन आइटम थीं, प्रत्येक अपने आप ही। IKEv2 में, एक प्रकार का कंटेनर दिखाई दिया, कीरिंग, जिसके कारण कॉन्फ़िगरेशन अधिक संरचित दिखता है, + कुछ अतिरिक्त विशेषताएं जोड़ी जाती हैं।
मुख्यालय में स्थापित वीपीएन गेटवे की कीरिंग कैसे हो सकती है, इसका एक उदाहरण दो दूरस्थ साइटों (html में ड्राइंग टेबल में गहरे कौशल की अनुपस्थिति में, मैंने इसे एक चित्र के रूप में डाला) के साथ बातचीत करने के लिए लग सकता है:



प्रोफ़ाइल

IKEv2 प्रोफाइल FlexVPN की आधारशिला है और इसका मुख्य घटक है। यह वीपीएन गेटवे के रिमोट एक्सेस के लिए "नीति" को परिभाषित करता है। यदि आप ASA को याद करते हैं, तो इसके उद्देश्य से, IKEv2 प्रोफाइल पूरी तरह से सिस्को IOS या सुरंग-समूह (कनेक्शन प्रोफाइल) में IKEv1 isakmp प्रोफाइल के अनुरूप है, लेकिन इसमें अधिक विशेषताएं हैं और यह कॉन्फ़िगरेशन में अधिक लचीला है। यह एक प्रकार का पैरामीटर है जो वीपीएन इंटरैक्शन के प्रतिभागियों द्वारा स्वचालित रूप से बातचीत नहीं की जाती है, लेकिन सांख्यिकीय रूप से निर्धारित की जाती है। वह क्या कार्य करता है? वीपीएन कनेक्शन स्थापित करने की प्रक्रिया में, और विशेष रूप से IKE_INIT_SA में, वीपीएन गेटवे को जानना होगा (कोष्ठक में संख्याएं प्रयुक्त साहित्य की सूची के लिंक नहीं हैं, लेकिन नीचे दिखाए गए कॉन्फ़िगरेशन लाइनों के लिंक हैं):

1. कनेक्ट करने वाले सहकर्मी (PKI? पूर्व-साझा कुंजी?) को कैसे प्रमाणित किया जाए। IKEv2 में, प्रमाणीकरण प्रकार, जैसा कि मैंने पहले उल्लेख किया है, बातचीत नहीं है, और स्पष्ट रूप से परिभाषित किया जाना चाहिए। FlexVPN इसके लिए ikev2 प्रोफाइल (1) का उपयोग करता है।

2. डेड-पीयर डिटेक्शन (DPD) पैरामीटर क्या होना चाहिए। IKEv2 में, DPD टाइमर से स्वचालित रूप से बातचीत नहीं की जाती है, लेकिन ikev2 प्रोफ़ाइल (2) सेटिंग्स में मैन्युअल रूप से सेट की जाती हैं (हालांकि उन्हें विश्व स्तर पर परिभाषित किया जा सकता है)।

3. पूर्व-साझा कुंजी का उपयोग करके प्रमाणीकरण के मामले में एक दूरस्थ सहकर्मी को प्रमाणित करने के लिए किस कीरिंग का उपयोग किया जाना चाहिए, यह एक ikev2 प्रोफ़ाइल (3) पैरामीटर भी है।

4. पीकेआई प्रमाणीकरण के मामले में, जो दूरस्थ सहकर्मी प्रमाणीकरण के लिए उपयोग करने के लिए भरोसेमंद है, वह भी ikev2 प्रोफ़ाइल (4) पैरामीटर है।

5. अपने आप को एक दूरस्थ दावत में कैसे पेश करें, अपने खुद के IKEv2_ID के रूप में क्या चुनना है, यह एक ikev2 प्रोफ़ाइल (5) पैरामीटर भी है।

6. जिसमें iVRF - ट्रैफ़िक डाल दिया जाता है, इसे डिक्रिप्ट होने के बाद (वीआरएफ-अवगत IPSec) - ikev2 प्रोफाइल (6) पैरामीटर।

उदाहरण IKEv2 प्रोफ़ाइल:

क्रिप्टो ikev2 प्रोफाइल profile_name
मैच स्थानीय_ड्रेस | प्रमाणपत्र मानचित्र | FVRF | IKEv2_ID दूरस्थ सहकर्मी
प्रमाणीकरण {स्थानीय | दूरस्थ {rsa-sig | पूर्व-शेयर | ecdsa-sig}} (1)
dpd अंतराल रिट्री-अंतराल {ऑन-डिमांड | आवधिक} (2)
पहचान स्थानीय {पता | dn | ईमेल | fqdn | की-आईडी} (5)
कीरिंग नाम (3)
ivrf नाम (6)
pki ट्रस्टपॉइंट लेबल [साइन | सत्यापित करें] (4)
वर्चुअल-टेम्प्लेट संख्या

यानी एक IKEv2 प्रोफाइल कई वीपीएन कनेक्शन सेटिंग्स को परिभाषित करता है। और कॉन्फ़िगरेशन में ऐसे कई प्रोफाइल हो सकते हैं, और प्रत्येक पैरामीटर के एक अलग सेट को परिभाषित कर सकता है, जो कि गेटवे से जुड़ा हुआ है (या जो गेटवे जुड़ा है) के आधार पर। और यह "निर्भर" मैच निर्देश द्वारा निर्धारित किया जाता है (एक प्रोफ़ाइल में मैच निर्देश कई हो सकते हैं)।

उदाहरण के लिए, हमारे पास दो प्रोफ़ाइल हैं:

  क्रिप्टो ikev2 प्रोफाइल PROFILE1
	 मैच पहचान रिमोट पता 1.1.1.1
	 निम्नलिखित PROFILE1 प्रोफ़ाइल मापदंडों का एक सेट है

 क्रिप्टो ikev2 प्रोफाइल PROFILE2
	 मैच की पहचान दूरस्थ fqdn remotepeer2.someorg.com
	 निम्नलिखित PROFILE2 प्रोफ़ाइल मापदंडों का एक सेट है 

इस सेटिंग के साथ, जब Src IP = 1.1.1.1 के साथ एक दूरस्थ सहकर्मी स्थानीय गेटवे से कनेक्ट होता है, तो PROFILE1 में वर्णित पैरामीटर इसे (सहकर्मी) पर लागू किया जाएगा। जब fqdn = remotepeer2.someorg.com के साथ एक सहकर्मी स्थानीय गेटवे से जुड़ा होता है, तो PROFILE2 में वर्णित मापदंडों को इसके लिए लागू किया जाएगा।

यहां एक अदृश्य रेखा खींचना आवश्यक है, यह कहना अनिवार्य है कि इस बिंदु पर वह सब कुछ है जिसे आईओएस साधन के साथ प्रोटोकॉल स्थापित करने के संदर्भ में IKEv2 कहा जाता है और कुछ भी नया नहीं होगा। और, आप पंक्ति को दृश्यमान बना सकते हैं। यहाँ यह है:

---

आगे क्या है?

तो, इन चार निर्माणों ने ऊपर प्रदर्शन किया (नीति, प्रस्ताव, कीरिंग, प्रोफाइल) IKEv1 में चरण 1 को क्या कहा गया था, इसका कॉन्फ़िगरेशन निर्धारित करता है। IKEv2 में, यह IKE_SA_INIT है, लेकिन सार बिल्कुल समान है।
IKE_SA_INIT कॉन्फ़िगर होने के बाद क्या करना है? यह सही है। आपको IPSec प्रोफ़ाइल को कॉन्फ़िगर करने की आवश्यकता है, यह निर्धारित करें कि यातायात सुरंग (प्रॉक्सी-एसीएल या सुरंग इंटरफ़ेस - वीटीआई, जहां रूटिंग इसके लिए जिम्मेदार है) के माध्यम से जाएगा, अर्थात। प्रदर्शन करें कि IKEv1 ने दूसरे चरण की सेटिंग को क्या कहा। IKEv1 और IKEv2 में सेटिंग्स का यह हिस्सा बिल्कुल समान है। संपूर्ण कॉन्फ़िगरेशन कैसा दिखता है, मैं एक साधारण उदाहरण नीचे दूंगा।

बिलकुल नहीं सोचना है

यह उल्लेख किया जाना चाहिए कि IOS में FlexVPN को इस तरह से डिफ़ॉल्ट किया गया था कि उसे वीपीएन को जल्दी से कॉन्फ़िगर करने के लिए प्रशासक की ओर से न्यूनतम कार्यों की आवश्यकता होती है, अगर व्यवस्थापक वास्तव में नहीं चाहता / यह समझने में आलसी नहीं है कि यह कैसे काम करता है और एक प्रकार की स्मार्ट सेटिंग्स करता है। इसके लिए, तथाकथित स्मार्ट-डिफॉल्ट का इरादा है। स्मार्ट-डिफॉल्ट पूर्व-निर्धारित डिफ़ॉल्ट ikev2 प्रस्ताव / नीति / प्रोफ़ाइल, ipsec प्रोफ़ाइल, आदि हैं। वस्तुनिष्ठ रूप से, स्मार्ट-डिफॉल्ट बहुत उपयोगी हो सकते हैं और अस्तित्व का अधिकार रखते हैं। यदि वे पहले से ही कॉन्फ़िगरेशन में हैं, तो लगातार एक ही सेटिंग क्यों चलाते हैं? आप सभी को रन रन देकर देख सकते हैं | क्रिप्टो। कमांड का आउटपुट कुछ इस तरह होगा (आउटपुट का हिस्सा अनावश्यक रूप से छोड़ा गया है):

 क्रिप्टो ikev2 प्रस्ताव डिफ़ॉल्ट
 एन्क्रिप्शन aes-cbc-256 aes-cbc-192 aes-cbc-128
 अखंडता sha512 sha384 sha256 sha1 md5
 समूह ५ २

 क्रिप्टो ikev2 नीति डिफ़ॉल्ट
 किसी भी तरह से मेल खाना
 प्रस्ताव डिफ़ॉल्ट

 क्रिप्टो ikev2 natkeepalive 0
 क्रिप्टो ikev2 त्रुटि 50 का निदान करता है
 क्रिप्टो ikev2 dpd 0 0 आवधिक
 क्रिप्टो ikev2 सीमा अधिकतम-में-बातचीत-सा 40
 क्रिप्टो ikev2 सीमा अधिकतम-सा 0
 क्रिप्टो ikev2 विंडो 5
 क्रिप्टो ikev2 विखंडन mtu 576

 क्रिप्टो ipsec ट्रांसफ़ॉर्म-सेट डिफ़ॉल्ट एस्प-ऐस esp-sha-hmac
  मोड परिवहन

 क्रिप्टो ipsec प्रोफ़ाइल डिफ़ॉल्ट
  सुरक्षा-संघ जीवनकाल किलोबाइट 4608000 सेट करें
  सुरक्षा-संघ आजीवन सेकंड 3600 सेट करें
  कोई सेट सुरक्षा-संघ बेकार-समय नहीं
  कोई सेट सुरक्षा-एसोसिएशन रीप्ले विंडो-आकार नहीं

यानी यह देखा जा सकता है कि IKEv2 प्रस्ताव और IKEv2 नीति, और IPSec ट्रांसफ़ॉर्म-सेट और IPSec प्रोफ़ाइल दोनों को डिफ़ॉल्ट रूप से कॉन्फ़िगर किया गया है। इसके अलावा, उन्हें कॉन्फ़िगर किया गया है ताकि सबसे गंभीर एल्गोरिदम की सर्वोच्च प्राथमिकता हो, जो हमें पूरी तरह से सूट करता है। स्वाभाविक रूप से, वीपीएन की उच्चतम भविष्यवाणी केवल सभी मापदंडों के मैनुअल कॉन्फ़िगरेशन द्वारा प्रदान की जाएगी, लेकिन अंतिम उपाय के रूप में, डिफ़ॉल्ट का उपयोग किया जा सकता है।

उदाहरण

अगला, पूर्व-साझा प्रमाणीकरण के साथ साइट-टू-साइट वीपीएन का एक काफी सरल उदाहरण पर विचार करें। टोपोलॉजी इस तरह दिखता है:



साइट 1 राउटर और साइट 2 राउटर राउटर के बीच एक IPSec / IKEv2 सुरंग को कॉन्फ़िगर करना और डायनेमिक रूटिंग प्रोटोकॉल का उपयोग करके सुरंग के माध्यम से प्रत्येक राउटर के लूपबैक की पारस्परिक पहुंच सुनिश्चित करना आवश्यक है।
इस मामले में प्रत्येक राउटर का विन्यास इस तरह होगा:



इस उदाहरण में, IKEv2 और IPSec को कॉन्फ़िगर करने से संबंधित कॉन्फ़िगरेशन को हाइलाइट किया गया है। उदाहरण समान स्मार्ट-डिफॉल्ट का उपयोग करता है (ऊपर दिए गए सभी रन को देखें - यानी, आप बस प्रत्येक राउटर के कॉन्फिग में इन सेटिंग्स को ले सकते हैं और मानसिक रूप से जोड़ सकते हैं), जो IKEv2 नीति / प्रस्ताव, IPS ट्रांसफॉर्म-सेट के लिए डिफ़ॉल्ट पैरामीटर सेट करते हैं। । IPSec प्रोफ़ाइल का उपयोग डिफ़ॉल्ट रूप से भी किया जाता है। कॉन्फ़िगरेशन में, यह ikev2 प्रोफ़ाइल को संदर्भित करता है और इसे बचाने के लिए सुरंग इंटरफ़ेस पर लटका हुआ है। नतीजतन, विन्यास काफी कॉम्पैक्ट और पढ़ने में आसान है। जैसा कि आप उदाहरण से देख सकते हैं, IKEv1 में चरण 2 से संबंधित सभी चीजों का विन्यास IKEv1 में समान है। यानी समान क्रिप्टो ipsec ट्रांसफ़ॉर्म सेट बनाया गया है (डिफ़ॉल्ट एक यहाँ लिया गया है), यह ट्रांसफ़ॉर्म-सेट ikev2 प्रोफ़ाइल के साथ ipsec प्रोफ़ाइल से जुड़ा हुआ है, ipsec प्रोफ़ाइल ipsec ipv4 (VTI) मोड में काम करने वाले इंटरफ़ेस पर लटका दिया गया है।

कुछ आदेश दिखाते हैं

सुरंग सफलतापूर्वक स्थापित होने के बाद, आइए कुछ कमांड का आउटपुट देखें:

Site1Router # श क्रिप्टो ipsec सा

 इंटरफ़ेस: सुरंग 0
     क्रिप्टो मानचित्र टैग: टनल0-सिर -0, स्थानीय Addr 10.1.12.1

    संरक्षित vrf: (कोई नहीं)
    स्थानीय पहचान (अतिरिक्त / मुखौटा / विरोध / बंदरगाह): (0.0.0.0/0.0.0.0/0/0)
    दूरस्थ पहचान (अतिरिक्त / मुखौटा / विरोध / पोर्ट): (0.0.0.0/0.0.0.0/0/0)
    current_peer 10.1.23.3 पोर्ट 500
      PERMIT, झंडे = {Origin_is_acl,}
     # पीके एनकैप्स: 1680, # पीकेएस एनक्रिप्ट: 1680, # पीट्स डाइजेस्ट: 1680
     #pkts डिकैप्स: 1678, # पीके डिक्रिप्ट: 1678, # पीकेएसटी वेरिफिकेशन: 1678
     #pkts संपीड़ित: 0, #pkts विघटित: 0
     #pkts संपीड़ित नहीं: 0, # पीके होते हैं।  विफल: 0
     #pkts विघटित नहीं: 0, #pkts डीकंप्रेस विफल: 0
     #send त्रुटियाँ 0, #recv त्रुटियाँ 0

      स्थानीय क्रिप्टो एंडेप्ट।: 10.1.12.1, रिमोट क्रिप्टो एंडेप्ट।: 10.1.23.3
      पथ mtu 1500, ip mtu 1500, ip mtu idb FastE ईथरनेट1 / 0
      वर्तमान आउटबाउंड स्पि: 0x31A6B95A (833010010)
      PFS (Y / N): N, DH समूह: कोई नहीं

      आवक एस्प sas:
       स्पि: 0xE6E9033F (3874030399)
         रूपांतर: एस्प-ऐस esp-sha-hmac,
         उपयोग सेटिंग्स में = {सुरंग,}
         con id: 11, flow_id: 11, sibling_flags 80000040, क्रिप्टो मैप: टनल0-हेड-0
         सा समय: शेष प्रमुख जीवनकाल (के / सेकंड): (4268866/1723)
         IV आकार: 16 बाइट्स
         रीप्ले डिटेक्शन सपोर्ट: Y
         स्थिति: सक्रिय (सक्रिय)
      आवक आह sas:

      इनबाउंड पीसीपी एसएएस:

      आउटबाउंड esp sas:
       स्पि: 0x31A6B95A (833010010)
         रूपांतर: एस्प-ऐस esp-sha-hmac,
         उपयोग सेटिंग्स में = {सुरंग,}
         con id: 12, flow_id: 12, sibling_flags 80000040, क्रिप्टो मैप: टनल0-हेड-0
         सा समय: शेष प्रमुख जीवनकाल (के / सेकंड): (4268866/1723)
         IV आकार: 16 बाइट्स
         रीप्ले डिटेक्शन सपोर्ट: Y
         स्थिति: सक्रिय (सक्रिय)

Sh crypto ipsec sa का आउटपुट वैसा ही है जैसे हम पारंपरिक Ikev1 की स्थापना कर रहे थे, क्योंकि ESP को इस बात की परवाह नहीं है कि कौन इसके लिए महत्वपूर्ण जानकारी तैयार करता है - IKEv2 या IKEv1। अगला:

Site1Router # श क्रिप्टो ikev2 सा विस्तृत

 
 IPv4 क्रिप्टो IKEv2 SA

 टनल-आईडी लोकल रिमोट fvrf / ivrf स्टेटस
 1 10.1.12.1/500 10.1.23.3/500 कोई नहीं / कोई भी नहीं
       एनईसीआर: एईएस-सीबीसी, चाबियाँ: 256, हैश: SHA512, DH Grp: 5, प्रामाणिक संकेत: PSK, प्रामाणिक सत्यापित: PSK
       जीवन / सक्रिय समय: 86400/12375 सेकंड
       सीई आईडी: 1003, सत्र-आईडी: 2
       स्थिति विवरण: बातचीत की गई
       स्थानीय spi: 1625F2D9751CC54F रिमोट स्पाइ: B9C9990767BC0006
       स्थानीय आईडी: 10.1.12.1
       रिमोट आईडी: 10.1.23.3
       स्थानीय req msg आईडी: 2 रिमोट req msg आईडी: 6
       स्थानीय अगला संदेश आईडी: 2 रिमोट अगला संदेश आईडी: 6
       स्थानीय req पंक्तिबद्ध: 2 दूरस्थ req पंक्तिबद्ध: 6
       स्थानीय विंडो: 5 रिमोट विंडो: 5
       DPD 0 सेकंड के लिए कॉन्फ़िगर किया गया, 0 से पुनः प्रयास करें
       NAT-T का पता नहीं चला है
       सिस्को ट्रस्ट सिक्योरिटी SGT अक्षम है
       पहल के SA: नहीं

यहां हम पहले से ही IKEv2 के लिए विशिष्ट जानकारी देखते हैं - प्रयुक्त एन्क्रिप्शन / हैशिंग एल्गोरिदम / डीएच समूह। यह भी देखा जा सकता है कि IKEv2 प्रोफाइल को विशिष्ट वीआरएफ (क्योंकि स्मार्ट-डिफॉल्ट का इस्तेमाल किया गया था) से जोड़ा नहीं गया था। यह देखा जा सकता है कि कनेक्शन का आरंभकर्ता साइट 2 राउटर था।

अगला:

Site1Router # श क्रिप्टो इंजन कनेक्शन सक्रिय

 क्रिप्टो इंजन कनेक्शन

    आईडी प्रकार एल्गोरिथ्म एन्क्रिप्ट डिक्रिप्ट LastSeqN आईपी-पता
    11 IPsec AES + SHA 0 223 223 10.1.12.1
    12 IPsec AES + SHA 222 0 0 10.1.12.1
  1003 IKEv2 SHA512 + AES256 0 0 0 10.1.12.1

यहाँ फिर से, कुछ भी नया नहीं है। हमारे पास दो यूनिडायरेक्शनल IPSec SA (11 और 12 के साथ शुरू होने वाली लाइनें) और एक द्विदिश IKEv2 SA है।

श क्रिप्टो isakmp sa का आउटपुट, जैसा कि अपेक्षित है, कुछ नहीं दिखाता है:

Site1Router # श क्रिप्टो isakmp सा

 IPv4 क्रिप्टो ISAKMP SA
 dst src राज्य कोन-आईडी स्थिति

खैर, ऐसा ही कुछ। मुझे उम्मीद है कि यह पूरा पाठ बहुत भ्रामक या बहुत सतही नहीं है, और किसी के लिए उपयोगी होगा।