Red de Respuestas Legales - Consulta de información - Comandos básicos de Cisco IPSec

Comandos básicos de Cisco IPSec

Resumen de los comandos básicos de Cisco IPSec

La seguridad del protocolo de Internet (IPSec) es un marco estándar abierto que utiliza servicios de seguridad cifrados para garantizar que el protocolo de Internet (IP) sea confidencial y seguro. comunicaciones a través de Internet. Entonces, ¿cómo configura Cisco IPSec? ¿Qué pasa con los comandos de configuración? ¡Echemos un vistazo conmigo!

1. Algunos comandos básicos de IPSec.

R1(config)#crypto ?

mapa dinámico Especificar una plantilla de mapa criptográfico dinámico

//Crear o modificar una plantilla de mapa criptográfico dinámico

ipsec Configurar política IPSEC

//Crear política de seguridad IPSec

isakmp Configurar política ISAKMP

//Crear política IKE

Clave Operaciones de clave a largo plazo

//Generar claves de cifrado para la sesión cifrada SSH del enrutador. Seguido de un valor, es el tamaño del módulo de clave, la unidad es bit

Mapa Ingresar un mapa criptográfico

//Crear o modificar una tabla de mapas de cifrado común

Router( config)#cryptodynamic-map ?

WORD Etiqueta de plantilla de mapa criptográfico dinámico

//WORD es el nombre de la tabla de mapas criptográficos dinámicos

Router(config)#crypto ipsec?

security-association Parámetros de asociación de seguridad

// duración de la asociación de seguridad ipsec, o no configurada, solo especifíquela en el mapa

transform-set Definir transformación y configuración

//Definir un conjunto de transformación ipsec (una combinación factible de protocolos y algoritmos de seguridad)

Router(config)#crypto isakmp

client Establecer política de configuración del cliente

//Crear un grupo de direcciones

enable Habilitar ISAKMP

//Habilitar política IKE, que está habilitada de forma predeterminada

Clave Establecer clave precompartida para un par remoto

//Establecer la clave

política Establecer política para un conjunto de protección ISAKMP

//Establecer la política IKE Prioridad

Router(config)#crypto key

generar Generar nuevas claves

//Generar nuevas claves

zeroize Quitar claves

//Quitar claves

Router(config)#crypto map

WORD Etiqueta de mapa criptográfico

// WORD es el nombre de la tabla del mapa

2. Algunos comandos importantes.

Política de router(config)#crypto isakmp

<1-10000> Prioridad del conjunto de protección

//Establezca la política IKE, política seguida de 1 - 10.000 números, estos números representan la prioridad de la política.

Router(config)#crypto isakmp Policy 100//Ingrese al modo de configuración de políticas IKE para realizar la siguiente configuración

Router(config-isakmp)#encryption ?//Establezca allí el adoptado Hay tres métodos de cifrado

3des Triple DES de tres claves

aes AES - Estándar de cifrado avanzado

des DES - Estándar de cifrado de datos (claves de 56 bits)

p>

Router(config-isakmp)#hash ? //El algoritmo hash utilizado, MD5 es de 160 bits y sha es de 128 bits.

md5 Message Digest 5

sha Secure Hash Standard

Router(config-isakmp)#authentication pre-share//Usar método de autenticación de clave precompartida

Router(config-isakmp)#group ?//Especifique el número de dígitos en la clave. Cuanto menor sea el número, mayor será la seguridad, pero más lenta será la velocidad de cifrado.

1 Diffie-Hellman grupo 1

2 Diffie-Hellman grupo 2

5 Diffie-Hellman grupo 5

Router(config-isakmp)#lifetime ? Especifique la duración de la asociación de seguridad, 60-86400 segundos

<60-86400> duración en segundos

Router(config)#crypto clave isakmp *** dirección XXX.XXX.XXX.XXX

//Establezca la clave para el intercambio IKE, *** indica la composición de la clave, XXX.XXX.XXX.XXX indica la dirección IP de la otra parte

Router(config)#crypto ipsec transform-set zx ?

// Configure el conjunto de intercambio IPsec, establezca el método de cifrado y el método de autenticación. zx es el nombre del conjunto de intercambio, que usted mismo también puede configurar. ser diferentes, pero otros parámetros deben ser consistentes.

transformación ah-md5-hmac AH-HMAC-MD5

transformación ah-sha-hmac AH-HMAC-SHA

transformación esp-3des ESP usando 3DES (EDE) cifrado (168 bits)

transformación esp-aes ESP usando cifrado AES

transformación esp-des ESP usando cifrado DES (56 bits)

esp -md5-hmac Transformación ESP usando autenticación HMAC-MD5

Transformación esp-sha-hmac ESP usando autenticación HMAC-SHA

Ejemplo: Router(config)#crypto ipsec transform-set zx esp-des esp-md5-hmac

Router(config)#crypto map map_zx 100 ipsec-isakmp

//Crea una tabla de mapeo de cifrado, zx es el nombre de la tabla, puedes defínalo usted mismo, 100 es la prioridad (rango opcional 1-65535). Si hay varias tablas, cuanto menor sea el número, mayor será la prioridad.

Router(config-crypto-map)#match address ?//Usar ACL para definir la comunicación cifrada

 <100-199> Número de lista de acceso IP

 WORD Nombre de la lista de acceso

Router(config-crypto-map)#set?

peer Permitido cifrado/descifrado peer.//Identificar la dirección IP del otro enrutador

p>

 pfs Especificar configuración de pfs//Especificar la longitud de la clave definida anteriormente, es decir, grupo

 security-association Parámetros de asociación de seguridad//Especificar la vida útil de la asociación de seguridad

Transform-set Especifique la lista de conjuntos de transformación en orden de prioridad

//Especifique el conjunto de intercambio IPSEC utilizado por el mapa de cifrado

Router(config-if)# crypto map zx

/ /Ingrese la interfaz especificada del enrutador y aplique el mapa de cifrado a la interfaz, zx es el nombre del mapa de cifrado.

3. Un experimento de configuración.

Topología experimental:

1. Configuración en R1.

Router>enable

Router#config terminal

Ingrese los comandos de configuración, uno por línea. Termine con CNTL/Z. (config)#hostname R1

//Configurar la política IKE

R1(config)#crypto isakmp enable

R1(config)#crypto isakmp política 100

R1(config-isakmp)#encryption des

R1(config-isakmp)#hash md5

R1(config-isakmp)#autenticación precompartida

R1(config-isakmp)#grupo 1

R1(config-isakmp)#vida útil 86400

R1(config-isakmp)#salida

//Configurar clave IKE

R1(config)#crypto clave isakmp 123456 dirección 10.1.1.2

//Crear conjunto de intercambio IPSec

R1 ( config)#crypto ipsec transform-set zx esp-des esp-md5-hmac

//Crear mapa de cifrado de mapeo

R1(config)#crypto map zx_map 100 ipsec-isakmp

R1(config-crypto-map)#match dirección 111

R1(config-crypto-map)#set peer 10.1.1.2

R1(config - crypto-map)#set transform-set zx

R1(config-crypto-map)#set segundos de duración de la asociación de seguridad 86400

R1(config-crypto-map)# set pfs group1

R1(config-crypto-map)#exit

//Configurar ACL

R1(config)#access-list 111 permit ip 192.168 . 1.10 0.0.0.255 192.168.2.10 0.0.0.255

//Aplicar el mapa de cifrado a la interfaz

R1(config)#interface s1/0

R1 (config-if)#crypto map zx_map

 2.Configuración en R2.

La configuración es básicamente la misma que la de R1. Solo necesitas cambiar los siguientes comandos:

R1(config)#crypto isakmp key 123456 dirección 10.1.1.1

R1 (config-crypto-map)#set peer 10.1.1.1

R1(config)#access-list 111 permitir ip 192.168.2.10 0.0.0.255 192.168.1.10 0.0.0.255

3. Depuración experimental.

Utilice los siguientes comandos en R1 y R2 respectivamente para ver la información de configuración.

R1#show crypto ipsec ?

sa tabla IPSEC SA

transform-set Conjuntos de transformación criptográfica

R1#show crypto isakmp ?

policy Mostrar la política del conjunto de protección ISAKMP

sa Mostrar asociaciones de seguridad ISAKMP

4. Puntos de conocimiento relacionados.

Cifrado simétrico o cifrado de clave privada: se utiliza la misma clave privada para el cifrado y descifrado

DES--estándar de cifrado de datos estándar de cifrado de datos

3DES-- Estándar de cifrado de datos 3 veces Estándar de cifrado de datos triple

AES: estándar de cifrado avanzado

Algunas tecnologías proporcionan verificación:

MAC: código de autenticación de mensajes

HMAC: código de autenticación de mensajes basado en hash

MD5 y SHA son funciones hash que proporcionan verificación

Se utiliza cifrado simétrico para datos de gran capacidad, porque las estaciones de cifrado asimétricas utiliza muchos recursos de CPU

Cifrado de clave pública o asimétrica:

RSA rivest-shamir-adelman

Utiliza clave pública para cifrar y clave privada para descifrar. La clave pública es pública, pero sólo el propietario de la clave privada puede descifrarla

Dos algoritmos de hash comunes:

HMAC-MD5 utiliza una clave privada compartida de 128 bits

HMAC-SHA-I utiliza una clave privada de 160 bits

Protocolo ESP: se utiliza para proporcionar confidencialidad, autenticación de fuente de datos, integridad sin conexión y servicios anti-reproducción, y estos servicios dependen de las elecciones realizadas. durante el establecimiento e implementación de SA para limitar la confidencialidad del tráfico evitando el análisis del tráfico.

El cifrado se completa mediante el algoritmo DES o 3DES. La autenticación opcional y la integridad de los datos son proporcionadas por HMAC, SHA-I con clave o MD5

IKE: intercambio de claves de Internet: proporciona autenticación de pares IPSEC, negocia claves IPSEC y asociaciones de seguridad IPSEC

Componentes que implementan IKE

1: des, 3des utilizados para el cifrado

2: Protocolo de cifrado Diffie-Hellman basado en claves públicas Permite que la otra parte establezca una clave pública en un entorno no seguro canal, que se utiliza para establecer una clave de sesión en IKE. El grupo 1 representa 768 bits, el grupo 2 representa 1024 bits

 3: MD5, SHA: el algoritmo hash para verificar paquetes de datos.

Firma RAS: basada en un sistema de cifrado de clave pública;