思科路由器路由器IPSEC配置

Question

我有以下的配置，

R1：

crypto keyring KR
  pre-shared-key address 1.1.1.2 key cisco
!
crypto isakmp policy 10
 encr 3des
 authentication pre-share
 group 2
crypto isakmp profile PROFILE
   keyring KR
   match identity address 1.1.1.2 255.255.255.255
!
!
crypto ipsec transform-set TRANSFORM_SET esp-3des esp-sha-hmac
!
crypto map MAP 10 ipsec-isakmp
 set peer 1.1.1.2
 set transform-set TRANSFORM_SET
 set isakmp-profile PROFILE
 match address IPSEC_ACL
!    
ip access-list extended IPSEC_ACL
 permit ip host 1.1.1.1 host 1.1.1.2
!
int e0/0
ip address 1.1.1.1 255.255.255.0
crypto map MAP

和R2：

crypto keyring KR
  pre-shared-key address 1.1.1.1 key cisco
!
crypto isakmp policy 10
 encr 3des
 authentication pre-share
 group 2
crypto isakmp profile PROFILE
   keyring KR
   match identity address 1.1.1.1 255.255.255.255
!
!
crypto ipsec transform-set TRANSFORM_SET esp-3des esp-sha-hmac
!
crypto map MAP 10 ipsec-isakmp
 set peer 1.1.1.1
 set transform-set TRANSFORM_SET
 set isakmp-profile PROFILE
 match address IPSEC_ACL
!    
ip access-list extended IPSEC_ACL
 permit ip host 1.1.1.2 host 1.1.1.1
!
int e0/0
ip address 1.1.1.2 255.255.255.0
crypto map MAP

IPSEC隧道不知道为什么吗？

Answer 1

匹配地址ACL应该是将通过链路的IP范围，而不是密码映射所在的IP。

例如，如果IP范围192.168.1.0/24在R1上，192.168.2.0/24在R2上，而192.168.1.0/24上的主机希望通过隧道与192.168.2.0/24通信，则需要将ACL设置为以下内容。

R1

ip access-list extended IPSEC_ACL
 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255

R2

ip access-list extended IPSEC_ACL
 permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255

当流量从192.168.1.0/24到192.168.2.0/24或192.168.2.0/24到192.168.1.0/24之间时，路由器将尝试打开隧道。

您可以尝试使用以下方法查看调试输出，以查看隧道在什么地方出现故障

debug crypto isakmp
debug crypto ipsec

若要禁用调试，请使用

undebug all

或

no debug all 

如果看不到任何调试输出，则可能需要启用终端监视器。

terminal monitor