配置Internet密钥交换版本2（IKEv2）和FlexVPN站点到站点
下载本章
配置Internet密钥交换版本2（IKEv2）和FlexVPN站点到站点配置Internet密钥交换版本2（IKEv2）和FlexVPN站点到站点
反馈

目录

配置Internet密钥交换版本2和FlexVPN站点到站点

上次更新日期：2012年9月26日

本模块包含有关配置基本和高级Internet密钥交换版本2（IKEv2）以及FlexVPN站点到站点的信息和说明。本模块中IKEv2的任务和配置示例划分如下：

  • 基本IKEv2——提供有关基本IKEv2命令、IKEv2-smart-defaults、基本IKEv配置文件和IKEv2-密钥环的信息。
  • 高级IKEv2-提供有关全局IKEv2命令以及如何覆盖IKEv2-smart-defaults的信息。

注释
安全威胁以及有助于防范安全威胁的加密技术都在不断变化。有关最新Cisco加密建议的更多信息，请参阅新一代加密（NGE）白皮书。

查找功能信息

您的软件版本可能不支持本模块中记录的所有功能。有关最新的注意事项和功能信息，请参阅Bug搜索工具以及您的平台和软件版本的发行说明。要查找有关本模块中记录的功能的信息，并查看支持每个功能的版本列表，请参阅本模块末尾的功能信息表。

使用Cisco Feature Navigator查找有关平台支持和Cisco软件映像支持的信息。要访问Cisco功能导航器，请转到网址：www.cisco.com/go/cfn。不需要Cisco.com上的帐户。

配置Internet密钥交换版本2的前提条件

您应该熟悉“使用IPsec配置VPN的安全性”模块中描述的概念和任务。

配置Internet密钥交换版本2的限制

您无法配置特定平台上不支持的选项。例如，在安全协议中，硬件加密引擎的功能很重要，您不能在不可导出的图像中指定三重数据加密标准（3DES）或高级加密标准（AES）类型的加密转换，也不能指定加密引擎不支持的加密算法。

关于Internet密钥交换版本2的信息

IKEv2支持的标准

Cisco实施用于Internet密钥交换版本2（IKEv2）的IP安全（IPsec）协议标准。


注释
思科不再建议使用DES或MD5（包括HMAC变体）；相反，您应该使用AES和SHA-256。有关最新Cisco加密建议的更多信息，请参阅下一代加密（NGE）白皮书。

IKEv2中实现的组件技术如下：

  • AES-CBC——高级加密标准——密码块链
  • SHA（HMAC变体）——安全散列算法
  • Diffie-Hellman——一种公钥密码协议
  • DES—数据加密标准（不再推荐）
  • MD5（HMAC[Hash-based Message Authentication Code]变体）--消息摘要算法5（不再推荐）

有关支持的标准和组件技术的更多信息，请参阅《Internet Key Exchange for IPsec VPNs配置指南》.

IKEv2的优点

死点检测与网络地址转换

Internet Key Exchange Version 2（IKEv2）提供了对Dead Peer Detection（DPD）和Network Address Translation-Traversal（NAT-T）的内置支持。

证书URL

证书可以通过URL和散列引用，而不是在IKEv2数据包中发送，以避免碎片化。

拒绝服务攻击弹性

IKEv2在确定请求者之前不会处理请求，这在一定程度上解决了IKEv1中的拒绝服务（DoS）问题，这些问题可能会被欺骗到从错误位置执行大量加密（昂贵）处理。

EAP支持

IKEv2允许使用可扩展身份验证协议（EAP）进行身份验证。

多个加密引擎

如果您的网络同时具有IPv4和IPv6流量，并且您有多个加密引擎，请选择以下配置选项之一：

  • 一个引擎处理IPv4流量，而另一个引擎则处理IPv6流量。
  • 一个引擎同时处理IPv4和IPv6流量。

可靠性和状态管理（窗口）

IKEv2使用序列号和确认来提供可靠性，并要求一些错误处理后勤和共享状态管理。

Internet密钥交换版本2 CLI构造

IKEv2提案

Internet密钥交换版本2（IKEv2）建议是一个转换集合，用于协商作为IKE_SA_INIT交换一部分的Internet密钥交换（IKE）安全关联（SA）。协商中使用的转换类型如下：

  • 加密算法
  • 完整性算法
  • 伪随机函数（PRF）算法
  • Diffie-Hellman（DH）组

有关默认IKEv2方案的信息，请参阅“IKEv2-Smart-Defaults”部分。有关如何覆盖默认IKEv2方案和定义新方案的信息，请参阅“配置高级IKEv2 CLI构造”部分。

IKEv2策略

IKEv2策略包含用于协商IKE_SA_INIT交换中的加密、完整性、PRF算法和DH组的建议。它可以有匹配语句，这些语句用作在协商期间选择策略的选择标准。

有关默认IKEv2策略的信息，请参阅“IKEv2-Smart-Defaults”部分。有关如何覆盖默认IKEv2策略和定义新策略的信息，请参阅“配置高级IKEv2CLI构造”部分。

IKEv2配置文件

IKEv2配置文件是IKE SA的不可协商参数的存储库，例如本地或远程身份以及可用于与配置文件匹配的已验证对等方的身份验证方法和服务。IKEv2配置文件必须附加到启动器上的加密映射或IPSec配置文件。IKEv2配置文件在响应程序上不是必需的。

IKEv2钥匙圈

IKEv2密钥环是对称和非对称预共享密钥的存储库，独立于IKEv1密钥环。IKEv二密钥环与IKEv3配置文件关联，因此支持与IKEv配置文件匹配的一组对等方。IKEv2密钥环从关联的IKEv1配置文件获取其VPN路由和转发（VRF）上下文。

IKEv2智能默认值

IKEv2 Smart Defaults功能通过覆盖大多数用例来最小化FlexVPN配置。IKEv2智能默认值可以针对特定用例进行自定义，但不建议这样做。

有关如何修改默认IKEv2构造的信息，请参阅“配置高级IKEv2CLI构造”部分。

以下规则适用于IKEv2智能默认值功能：

  1. 默认配置显示在相应的显示命令违约作为关键字，没有参数。例如显示加密ikev2方案默认值命令显示默认的IKEv2方案和显示加密ikev2提案命令显示默认的IKEv2建议以及任何用户配置的建议。
  2. 默认配置显示在显示running-config all命令；它不显示在显示运行配置命令。
  3. 您可以修改默认配置，该配置显示在显示running-config all命令。
  4. 可以使用不命令的形式；例如，无加密ikev2方案默认值。协商中不使用禁用的默认配置，但该配置显示在显示运行配置命令。禁用的默认配置将丢失所有用户修改并恢复系统配置的值。
  5. 可以使用命令的默认形式重新启用默认配置，恢复系统配置值；例如，默认加密ikev2方案.
  6. 默认变换集的默认模式是传输；所有其他变换集的默认模式是隧道。

注释
思科不再建议使用MD5（包括HMAC变体）和Diffie-Hellman（DH）组1、2和5；相反，您应该使用SHA-256和DH Groups 14或更高版本。有关最新Cisco加密建议的更多信息，请参阅新一代加密（NGE）白皮书。

下表列出了使用IKEv2智能默认功能启用的命令以及默认值。

表1IKEv2命令默认值

命令名称

默认值

加密ikev2授权策略 

设备#显示加密ikev2授权策略默认值IKEv2授权策略：默认路由集接口路线接受任何标签：1距离：2

加密ikev2提案 

设备#显示加密ikev2方案默认值IKEv2方案：默认加密：AES-CBC-256 AES-CBC-192 AES-BC-128完整性：SHA512 SHA384 SHA256 SHA96 MD596PRF:SHA512 SHA384 SHA256 SHA1 MD5DH组：DH_Group_1536_MODP/第5组DH_GREUP_1024_MODP/2组。

加密ikev2策略 

设备#显示加密ikev2策略默认值IKEv2策略：默认匹配fvrf:any匹配本地地址：任意建议：默认

加密ipsec配置文件 

设备#显示加密ipsec配置文件默认值IPSEC配置文件默认值安全关联生存期：4608000千字节/3600秒仅响应程序（是/否）：否PFS（是/否）：否变换集={默认值：{esp-aes esp-sha-hmac}，}

加密ipsec变换集 

设备#显示加密ipsec变换集默认值转换集默认值：{esp-aes-esp-sha-hmac}将协商={隧道，}，

注释
在可以使用默认IPsec配置文件之前，请显式指定加密ipsec配置文件在隧道接口上使用隧道保护ipsec配置文件默认值命令。

IKEv2 Suite-B支持

Suite-B是国家安全局作为其密码现代化计划的一部分发布的一组密码算法。RFC 4869中定义了用于Internet密钥交换（IKE）和IPsec的Suite-B。Suite-B组件如下：

  • IKEv2方案中配置的高级加密标准（AES）128位和256位密钥。对于数据通信，AES应在IPsec转换集中配置的Galois计数器模式（GCM）中使用。
  • IKEv2配置文件中配置的椭圆曲线数字签名算法（ECDSA）。
  • IKEv2建议和IPsec转换集中配置的安全哈希算法2（SHA-256和SHA-384）。

套件B要求包括四个用于IKE和IPsec的用户界面加密算法套件。每个套件都由加密算法、数字签名算法、密钥协议算法和散列或消息摘要算法组成。有关Cisco Suite-B支持的详细信息，请参阅“使用IPsec配置VPN的安全性”功能模块。

如何配置Internet密钥交换版本2

配置基本Internet密钥交换版本2 CLI构造

要在加密接口上启用IKEv2，请将Internet密钥交换版本2（IKEv1）配置文件附加到应用于该接口的加密映射或IPsec配置文件。此步骤在IKEv2响应程序上是可选的。


注释
IKEv1和IKEv2之间的区别在于，您不需要在单个接口上启用IKEv1.因为IKEv1-在设备上的所有接口上都是全局启用的。

执行以下任务以手动配置基本IKEv2构造：

配置IKEv2密钥环

如果本地或远程身份验证方法是预共享密钥，请执行此任务以配置IKEv2密钥环。

必须在定义对等子块的对等配置子模式中配置IKEv2密钥环密钥。一个IKEv2密钥环可以有多个对等子块。对等子块包含由主机名、标识和IP地址的任意组合标识的对等或对等组的单个对称或非对称密钥对。

IKEv2密钥环独立于IKEv1密钥环。主要区别如下：

  • IKEv2密钥环支持对称和非对称预共享密钥。
  • IKEv2密钥环不支持Rivest、Shamir和Adleman（RSA）公钥。
  • 与IKEv1不同，IKEv2密钥环是在IKEv3配置文件中指定的，不进行查找，IKEv在收到MM1时查找密钥以协商预共享密钥身份验证方法。IKEv2中未协商身份验证方法。
  • 在配置期间，IKEv2密钥环与VPN路由和转发（VRF）没有关联。IKEv2密钥环的VRF是指密钥环的IKEv1配置文件的VRF。
  • 与可以指定多个密钥环的IKEv1配置文件不同，可以在IKEv2配置文件中指定单个密钥环。
  • 如果相同的密钥在匹配不同配置文件的对等方之间共享，则可以在多个IKEv2配置文件中指定单个密钥环。
  • IKEv2密钥环被构造为一个或多个对等子块。

在IKEv2启动器上，按顺序使用对等方的主机名或地址执行IKEv2-密钥环密钥查找。在IKEv2响应程序上，密钥查找是使用对等方的IKEv2identity或地址按此顺序执行的。


注释
不能在多个对等中配置同一标识。
总结步骤

1    使可能

2    全局配置模式

三。    加密ikev2密钥环 钥匙圈名称

4    同龄人 名称

5    描述 描述行

6    主机名 名称

7    地址{ipv4地址[面具] |ipv6地址前缀}

8    身份{地址{ipv4地址 | ipv6地址}| fqdn公司 名称| 电子邮件 电子邮件id| 钥匙id 钥匙id}

9    预共享密钥{地方的|遥远的} [0|6]线 十六进制 十六进制字符串

10    结束


详细步骤
 命令或操作目的
第1步
使可能


例子：

设备>启用

 

启用特权EXEC模式。

  • 如果出现提示，请输入密码。
 
第2步
全局配置模式


例子：

设备#配置终端

 

进入全局配置模式。

 
步骤3
加密ikev2密钥环 钥匙圈名称


例子：

设备（配置）#crypto ikev2 keyring kyr1

 

定义一个IKEv2密钥环并进入IKEv2密钥环配置模式。

 
第4步
同龄人 名称


例子：

设备（config-ikev2-keyring）#peer peer1

 

定义对等或对等组并进入IKEv2密钥环对等配置模式。

 
第5步
描述 描述行


例子：

设备（config-ikev2-keyring-peer）#描述这是第一个对等

 

（可选）描述对等或对等组。

 
第6步
主机名 名称


例子：

设备（config-ikev2-keyring-peer）#主机名host1

 

使用主机名指定对等方。

 
步骤7
地址{ipv4地址[面具] |ipv6地址前缀}


例子：

设备（config-ikev2-keyring-peer）#地址10.0.0.1 255.255.255.0

 

指定对等方的IPv4或IPv6地址或范围。

注释此IP地址是IKE端点地址，与标识地址无关。
 
第8步
身份{地址{ipv4地址 | ipv6地址}| fqdn公司 名称| 电子邮件 电子邮件id| 钥匙id 钥匙id}


例子：

设备（config-ikev2-keyring-peer）#标识地址10.0.0.5

 

通过以下标识标识IKEv2对等方：

  • 电子邮件
  • 完全限定域名（FQDN）
  • IPv4或IPv6地址
  • 密钥ID
注释该标识仅可用于IKEv2响应程序上的密钥查找。
 
第9步
预共享密钥{地方的|遥远的} [0|6]线 十六进制 十六进制字符串


例子：

设备（config-ikev2-keyring-peer）#预共享密钥本地密钥1

 

指定对等方的预共享密钥。

 
步骤10
结束


例子：

设备（config-ikev2-keyring-peer）#end

 

退出IKEv2密钥环对等配置模式并返回特权EXEC模式。

 
下一步要做什么

配置IKEv2密钥环后，配置IKEv2配置文件。有关更多信息，请参阅“配置IKEv2配置文件（基本）”部分。

配置IKEv2配置文件（基本）

执行此任务以配置IKEv2配置文件的强制命令。

IKEv2配置文件是IKE安全关联（SA）的不可协商参数（例如本地或远程身份和身份验证方法）以及可用于与配置文件匹配的已验证对等方的服务的存储库。必须配置IKEv2配置文件，并将其与IKEv1启动器上的加密映射或IPsec配置文件关联。使用设置ikev2-profile 配置文件名称命令将配置文件与加密映射或IPsec配置文件关联。要解除配置文件的关联，请使用不命令的形式。

以下规则适用于匹配语句：

  • IKEv2配置文件必须包含匹配标识或匹配证书语句；否则，配置文件被认为是不完整的，不会被使用。IKEv2配置文件可以有多个匹配标识或匹配证书语句。
  • IKEv2配置文件必须具有单个匹配的前门VPN路由和转发（FVRF）语句。
  • 选择配置文件时，同一类型的多个匹配语句将进行逻辑“或”运算，不同类型的多条匹配语句将执行逻辑“与”运算。
  • 匹配标识和匹配证书语句被认为是相同类型的语句，并且是ORed语句。
  • 重叠外形的配置被视为配置错误。在多个配置文件匹配的情况下，不会选择任何配置文件。

使用显示加密ikev2配置文件 配置文件名称命令以显示IKEv2配置文件。

总结步骤

1    使可能

2    全局配置模式

三。    加密ikev2配置文件 配置文件名称

4    描述 描述行

5    原子吸收光谱 会计{普斯卡|证书|eap公司}列表-名称

6    身份验证{地方的{rsa-sig|预共享|ecdsa-sig|eap公司} |遥远的{eap公司[查询标识|超时 秒] |rsa-sig|预共享|ecdsa-sig}}

7    dpd（动态预测数据） 间隔 重试间隔{按需|周期性的}

8    身份 地方的 {地址 {ipv4地址|ipv6地址} |dn（数字网络）|电子邮件 电子邮件字符串|fqdn公司 fqdn存储| 钥匙id 不透明密封}

9   初始控制[力]

10    静脉射频 名称

11    钥匙圈{地方的 钥匙圈名称|原子吸收光谱 列表-名称 姓名调查员 马槽名称}

12    一生 秒

13    比赛 {地址 地方的{ipv4地址|ipv6地址| 接口 名称} | 证明书 证书映射| fvrf公司{fvrf名称|任何} |身份 遥远的{地址{ipv4地址[面具] |ipv6地址 前缀} |{电子邮件|fqdn公司}[领域]一串|钥匙id 不透明密封}}

14    自然状态 保持活力 秒

15    pki信任点 信任点标签[签名|验证]

16    重定向网关身份验证

17    虚拟模板 数

18    结束


详细步骤
 命令或操作目的
第1步
使可能


例子：

设备>启用

 

启用特权EXEC模式。

  • 如果出现提示，请输入密码。
 
第2步
全局配置模式


例子：

设备#配置终端

 

进入全局配置模式。

 
步骤3
加密ikev2配置文件 配置文件名称


例子：

设备（配置）#crypto ikev2配置文件配置文件1

 

定义IKEv2配置文件并进入IKEv1配置文件配置模式。

 
第4步
描述 描述行


例子：

设备（config-ikev2-profile）#description这是一个ikev2配置文件

 

（可选）描述配置文件。

 
第5步
原子吸收光谱 会计{普斯卡|证书|eap公司}列表-名称


例子：

设备（config-ikev2-profile）#aaa记帐eap列表1

 

（可选）为IPsec会话启用身份验证、授权和记帐（AAA）记帐方法列表。

注释如果普斯卡,证书，或 eap公司未指定关键字，则使用AAA记帐方法列表，而不考虑对等身份验证方法。
 
第6步
身份验证{地方的{rsa-sig|预共享|ecdsa-sig|eap公司} |遥远的{eap公司[查询标识|超时 秒] |rsa-sig|预共享|ecdsa-sig}}


例子：

设备（config-ikev2-profile）#身份验证本地ecdsa-sig

 

指定本地或远程身份验证方法。

注释您只能指定一种本地身份验证方法，但可以指定多个远程身份验证方法。
 
步骤7
dpd（动态预测数据） 间隔 重试间隔{按需|周期性的}


例子：

设备（config-ikev2-profile）#dpd 1000 250定期

 

（可选）全局配置与配置文件匹配的对等方的死对等检测（DPD）。

注释默认情况下禁用DPD。
 
第8步
身份 地方的 {地址 {ipv4地址|ipv6地址} |dn（数字网络）|电子邮件 电子邮件字符串|fqdn公司 fqdn存储| 钥匙id 不透明密封}


例子：

设备（config-ikev2-profile）#标识本地电子邮件abc@example.com

 

（可选）指定本地IKEv2标识类型。

注释如果本地身份验证方法是预共享密钥，则默认的本地标识是IP地址。如果本地身份验证方法是Rivest、Shamir和Adleman（RSA）签名，则默认的本地标识是Distinguished Name。
 
第9步
初始控制[力]


例子：

设备（config-ikev2-profile）#初始控制力

 

如果在IKE_AUTH交换中未收到初始联系人通知，则强制执行初始联系人处理。

 
步骤10
静脉射频 名称


例子：

设备（config-ikev2-profile）#ivrf vrf1

 

（可选）如果IKEv2配置文件附加到加密映射，则指定用户定义的VPN路由和转发（VRF）或全局VRF。

  • 如果IKEv2配置文件用于隧道保护，则应在隧道接口上配置隧道接口的内部VRF（IVRF）。
注释IVRF指定明文数据包的VRF。IVRF的默认值为FVRF。
 
第11步
钥匙圈{地方的 钥匙圈名称|原子吸收光谱 列表-名称 姓名调查员 马槽名称}


例子：

设备（config-ikev2-profile）#keyring aaa-keyring1 name-mangler mangler1

 

指定必须与本地和远程预共享密钥身份验证方法一起使用的本地或基于AAA的密钥环。

注释只能指定一个密钥环。基于AAA的预共享密钥不支持本地AAA。
注释根据您的版本地方的关键字和姓名调查员 马槽名称应使用关键字-参数对。
 
步骤12
一生 秒


例子：

设备（config-ikev2-profile）#lifetime 1000

 

指定IKEv2 SA的生存期（秒）。

 
步骤13
比赛 {地址 地方的{ipv4地址|ipv6地址| 接口 名称} | 证明书 证书地图| fvrf公司{fvrf名称|任何} |身份 遥远的{地址{ipv4地址[面具] |ipv6地址 前缀} |{电子邮件|fqdn公司}[领域]一串|钥匙id 不透明密封}}


例子：

设备（config-ikev2-profile）#match address本地接口以太网2/0

 

使用match语句为对等方选择IKEv2配置文件。

 
步骤14
自然状态 保持活力 秒


例子：

设备（config-ikev2-profile）#nat keepalive 500

 

（可选）启用NAT keepalive并指定持续时间（秒）。

  • 默认情况下，NAT被禁用。
 
步骤15
pki信任点 信任点标签[签名|验证]


例子：

设备（config-ikev2-profile）#pki信任点tsp1签名

 

指定用于RSA签名身份验证方法的公钥基础结构（PKI）信任点。

注释如果签名或验证未指定关键字，信任点用于签名和验证。
注释与IKEv1不同，必须在IKEv2配置文件中配置信任点，才能成功进行基于证书的身份验证。如果配置中不存在此命令，则全局配置的信任点没有回退。信任点配置适用于IKEv2发起程序和响应程序。
 
步骤16
重定向网关身份验证


例子：

设备（config-ikev2-profile）#重定向网关身份验证

 

在SA身份验证时启用网关上的重定向机制。

注释重定向机制特定于IKEv2配置文件。
 
步骤17
虚拟模板 数


例子：

设备（config-ikev2-profile）#virtual-template 125

 

（可选）指定用于克隆虚拟访问接口（VAI）的虚拟模板。

注释对于IPsec动态虚拟隧道接口（DVTI），必须在IKEv2配置文件中指定虚拟模板，如果没有该模板，则不会启动IKEv1会话。
 
第18步
结束


例子：

设备（config-ikev2-profile）#end

 

退出IKEv2配置文件配置模式并返回特权EXEC模式。

 

配置高级Internet密钥交换版本2 CLI构造

本节介绍全局IKEv2 CLI构造以及如何覆盖IKEv1默认CLI构造。IKEv2智能默认值支持大多数用例，因此，我们建议您仅在默认值未涵盖的特定用例需要时覆盖默认值。

执行以下任务以配置高级IKEv2 CLI构造：

配置全局IKEv2选项

执行此任务以配置独立于对等方的全局IKEv2选项。

总结步骤

1    使可能

2    全局配置模式

三。    加密ikev2证书缓存 证书数量

4    加密ikev2 cookie-challenge 数

5    crypto-ikev2诊断错误 数

6    加密ikev2 dpd 间隔 重试间隔{按需|周期性的}

7    加密ikev2 http-url证书

8    加密ikev2极限{最大协商sa 限制|最大sa 限制}

9    加密ikev2 nat保持活动 间隔

10    加密ikev2窗口 大小

11    加密日志ikev2

12    结束


详细步骤
 命令或操作目的
第1步
使可能


例子：

设备>启用

 

启用特权EXEC模式。

  • 如果出现提示，请输入密码。
 
第2步
全局配置模式


例子：

设备#配置终端

 

进入全局配置模式。

 
步骤3
加密ikev2证书缓存 证书数量


例子：

设备（配置）#crypto ikev2 certificate-cache 750

 

定义用于存储从HTTP URL获取的证书的缓存大小。

 
第4步
加密ikev2 cookie-challenge 数


例子：

设备（配置）#crypto ikev2 cookie-challenge 450

 

仅当半开放安全关联（SA）的数量超过配置的数量时，才启用IKEv2 cookie质询。

  • 默认情况下禁用Cookie质询。
 
第5步
crypto-ikev2诊断错误 数


例子：

设备（配置）#crypto ikev2诊断错误500

 

启用IKEv2错误诊断并定义退出路径数据库中的条目数。

  • 默认情况下，IKEv2错误诊断被禁用。
 
第6步
加密ikev2 dpd 间隔 重试间隔{按需|周期性的}


例子：

设备（配置）#crypto ikev2 dpd 500 50按需

 

允许对对等方进行实时检查，如下所示：

  • 死对等检测（DPD）在默认情况下被禁用。
 
步骤7
加密ikev2 http-url证书


例子：

设备（配置）#crypto ikev2 http-url证书

 

启用HTTP CERT支持。

  • 默认情况下禁用HTTP CERT。
 
第8步
加密ikev2极限{最大协商sa 限制|最大sa 限制}


例子：

设备（配置）#crypto ikev2 limit max-in-negotiation-sa 5000

 

启用连接允许控制（CAC）。

  • 默认情况下禁用连接允许控制。
 
第9步
加密ikev2 nat keepalive 间隔


例子：

设备（配置）#crypto ikev2 nat keepalive 500

 

启用网络地址转换（NAT）保持活动，以防止在Internet密钥交换（IKE）对等端之间存在NAT时，在没有任何流量的情况下删除NAT条目。

  • 默认情况下禁用NAT keepalive。
 
步骤10
加密ikev2窗口 大小


例子：

设备（配置）#crypto ikev2窗口15

 

允许传输多个IKEv2请求-响应对。

  • 默认窗口大小为5。

 
第11步
加密日志ikev2


例子：

设备（配置）#加密日志记录ikev2

 

启用IKEv2系统日志消息。

  • 默认情况下，IKEv2系统日志消息被禁用。
 
步骤12
结束


例子：

设备（配置）#end

 

退出全局配置模式并返回特权EXEC模式。

 

配置IKEv2碎片

执行此任务以启用大型IKEv2数据包的自动分段。

总结步骤

1    使可能

2    全局配置模式

三。    加密ikev2碎片[mtu公司 mtu尺寸]

4    结束


详细步骤
 命令或操作目的
第1步
使可能


例子：

设备>启用

 

启用特权EXEC模式。

  • 如果出现提示，请输入密码。
 
第2步
全局配置模式


例子：

设备#配置终端

 

进入全局配置模式。

 
步骤3
加密ikev2碎片[mtu公司 mtu尺寸]


例子：

设备（配置）#crypto-ikev2碎片mtu 100

 

配置IKEv2碎片。

注意MTU大小是指IP或UDP封装的IKEv2数据包。
 
第4步
结束


例子：

设备（配置）#end

 

退出全局配置模式并返回特权EXEC模式。

 

配置IKEv2建议

有关默认IKEv2方案的信息，请参阅“IKEv2-Smart-Defaults”部分。

执行此任务以覆盖默认IKEv2方案，或者如果不想使用默认方案，则手动配置方案。

IKEv2建议是IKEv2SA协商中使用的一组转换，作为IKE_SA_INIT交换的一部分。只有当IKEv2方案至少配置了加密算法、完整性算法和Diffie-Hellman（DH）组时，才认为它是完整的。如果没有配置提案并将其附加到IKEv2策略，则在协商中使用默认IKEv2中的默认提案。


注释
安全威胁以及有助于防范安全威胁的加密技术都在不断变化。有关最新Cisco加密建议的更多信息，请参阅新一代加密（NGE）白皮书。

虽然IKEv2提案与加密isakmp策略命令，IKEv2建议的不同之处如下：

  • IKEv2方案允许为每种转换类型配置一个或多个转换。
  • IKEv2方案没有任何关联的优先级。
总结步骤

1    使可能

2    配置 终端

三。    加密 ikev2号机组 建议 名称

4    加密 {三重DES} {aes-cbc-128标准} {aes-cbc-192} {aes-cbc-256标准}

5    完整性 {md5型} {沙阿1} {沙阿256} {沙384} {沙阿512}

6    组 {1} {14} {15}{16} {19} {2} {20} {24} {5}

7    结束

8    显示 加密 ikev2号机组 建议 [名称| 违约]


详细步骤
 命令或操作目的
第1步
使可能


例子：

设备>启用

 

启用特权EXEC模式。

  • 如果出现提示，请输入密码。
 
第2步
配置 终端


例子：

设备#配置终端

 

进入全局配置模式。

 
步骤3
加密 ikev2号机组 建议 名称


例子：

设备（配置）#crypto ikev2提案1

 

覆盖默认的IKEv2建议，定义IKEv1建议名称，并进入IKEv3建议配置模式。

 
第4步
加密 {三重DES} {aes-cbc-128标准}{aes-cbc-192} {aes-cbc-256标准}


例子：

设备（config-ikev2-proposal）#encryption aes-cbc-128 aes-cbc-192

 

指定加密类型的一个或多个转换，如下所示：

  • 三重DES （不再推荐）
  • aes-cbc-128标准
  • aes-cbc-192
  • aes-cbc-256标准
 
第5步
完整性 {md5型} {沙阿1} {沙阿256} {沙384}{沙阿512}


例子：

设备（config-ikev2-proposal）#完整性sha1

 

指定完整性算法类型的一个或多个转换，如下所示：

  • 这个md5型关键字指定MD5（HMAC变量）作为散列算法。（不再推荐）
  • 这个 沙阿1关键字指定SHA-1（HMAC变体）作为散列算法。
  • 这个沙阿256关键字指定SHA-2系列256位（HMAC变体）作为散列算法。
  • 这个沙384关键字指定SHA-2系列384位（HMAC变体）作为散列算法。
  • 这个沙阿512关键字指定SHA-2系列512位（HMAC变体）作为散列算法。
 
第6步
组 {1} {14} {15} {16} {19} {2} {20} {24} {5}


例子：

设备（config-ikev2-proposal）#14组

 

指定Diffie-Hellman（DH）组标识符。

  • 在IKEv2方案中，默认的DH组标识符是group 2和group 5。
    • 1--768位DH（不再推荐）。
    • 2--1024位DH（不再推荐）。
    • 5--1536位DH（不再推荐）。
    • 14--指定2048位DH组。
    • 15--指定3072位DH组。
    • 16--指定4096位DH组。
    • 19--指定256位椭圆曲线DH（ECDH）组。
    • 20--指定384位ECDH组。
    • 24--指定2048位DH组。

所选组必须足够强大（具有足够的位），以在协商期间保护IPsec密钥。一项普遍接受的指南建议在2013年之后（直到2030年）使用2048位组。可以选择第14组或第24组来满足本指南。即使需要长寿命的安全方法，也建议使用椭圆曲线加密，但也可以考虑使用组15和组16。

 
步骤7
结束


例子：

设备（config-ikev2-proposal）#end

 

退出IKEv2方案配置模式并返回特权EXEC模式。

 
第8步
显示 加密 ikev2号机组 建议 [名称| 违约]


例子：

设备#show crypto ikev2提案默认值

 

（可选）显示IKEv2方案。

 
接下来要做什么

创建IKEv2提案后，将其附加到策略，以便选择该提案进行协商。有关完成此任务的信息，请参阅“配置IKEv2策略”部分。

配置IKEv2策略

有关默认IKEv2策略的信息，请参阅“IKEv2-Smart-Defaults”部分。

执行此任务以覆盖默认IKEv2策略，或者如果不想使用默认策略，则手动配置策略。

IKEv2策略必须包含至少一个被视为完整的提案，并且可以包含匹配语句，这些语句用作选择策略进行协商的选择标准。在初始交换期间，协商SA的本地地址（IPv4或IPv6）和前门VRF（FVRF）与策略匹配，并选择提案。

以下规则适用于匹配语句：

  • 没有任何匹配语句的IKEv2策略将匹配全局FVRF中的所有对等方。
  • IKEv2策略只能有一个匹配的FVRF语句。
  • IKEv2策略可以有一个或多个匹配地址本地语句。
  • 选择策略时，同一类型的多个匹配语句将进行逻辑“或”运算，不同类型的匹配语句将执行逻辑“与”运算。
  • 不同类型的匹配语句之间没有优先级。
  • 重叠策略的配置被视为配置错误。如果存在多个可能的策略匹配，则选择第一个策略。
总结步骤

1    使可能

2    配置 终端

3    加密 ikev2号机组 政策 名称

4    建议 名称

5    比赛 fvrf公司 {fvrf名称|任何}

6    比赛 地址 地方的 {ipv4地址 | ipv6地址}

7    结束

8    显示 加密 ikev2号机组 政策 [保单名称|违约]


详细步骤
 命令或操作目的
第1步
使可能


例子：

设备>启用

 

启用特权EXEC模式。

  • 如果出现提示，请输入密码。
 
第2步
配置 终端


例子：

设备#配置终端

 

进入全局配置模式。

 
步骤3
加密 ikev2号机组 政策 名称


例子：

设备（配置）#crypto-ikev2策略策略1

 

覆盖默认的IKEv2策略，定义IKEv1策略名称，并进入IKEv3策略配置模式。

 
第4步
建议 名称


例子：

设备（config-ikev2-policy）#提案1

 

指定必须与策略一起使用的方案。

  • 这些提案按清单顺序排列优先顺序。
注释您必须至少指定一个方案。您可以在单独的语句中为每个提案指定其他提案。
 
第5步
比赛 fvrf公司 {fvrf名称|任何}


例子：

设备（config-ikev2-policy）#match fvrf any

 

（可选）根据用户配置的FVRF或任何FVRF匹配策略。

  • 默认值为全局FVRF。
注释这个匹配fvrf any命令必须显式配置才能匹配任何VRF。FVRF指定协商IKEv2数据包的VRF。
 
第6步
比赛 地址 地方的 {ipv4地址 | ipv6地址}


例子：

设备（config-ikev2-policy）#match address local 10.0.0.1

 

（可选）基于本地IPv4或IPv6地址匹配策略。

  • 默认值与配置的FVRF中的所有地址相匹配。
 
步骤7
结束


例子：

设备（config-ikev2-policy）#end

 

退出IKEv2策略配置模式并返回特权EXEC模式。

 
第8步
显示 加密 ikev2号机组 政策 [保单名称|违约]


例子：

设备#显示加密ikev2策略策略1

 

（可选）显示IKEv2策略。

 

Internet密钥交换版本2的配置示例

基本Internet密钥交换版本2 CLI构造的配置示例

示例：配置IKEv2密钥环

示例：具有多个对等子块的IKEv2密钥环

以下示例显示如何配置具有多个子块的Internet密钥交换版本2（IKEv2）密钥环：

加密ikev2密钥环密钥环-1对等对等1描述对等1地址：209.165.200.225 255.255.255.224预共享密钥-1对等点2描述对等2主机名peer1.example.com预共享密钥-2对等点3描述对等点3主机名peer3.example.com身份密钥id abc地址：209.165.200.228 255.255.255.224预共享密钥-3
示例：基于IP地址的对称预共享密钥的IKEv2密钥环

以下示例显示如何使用基于IP地址的对称预共享密钥配置IKEv2密钥环。以下是启动器的密钥环：

加密ikev2密钥环密钥环-1对等对等1描述对等1地址：209.165.200.225 255.255.255.224预共享密钥1

以下是响应者的钥匙圈：

加密ikev2密钥环密钥环-1对等点2描述对等2地址：209.165.200.228 255.255.255.224预共享密钥1
示例：基于IP地址的非对称预共享密钥的IKEv2密钥环

以下示例显示如何使用基于IP地址的非对称预共享密钥配置IKEv2密钥环。以下是启动器的密钥环：

加密ikev2密钥环密钥环-1对等对等1具有非对称密钥的description peer1地址：209.165.200.225 255.255.255.224预共享密钥本地密钥1预共享密钥远程密钥2

以下是响应者的钥匙圈：

加密ikev2密钥环密钥环-1对等点2具有非对称密钥的description peer2地址：209.165.200.228 255.255.255.224预共享密钥本地密钥2预共享密钥遥控钥匙1
示例：基于主机名的非对称预共享密钥的IKEv2密钥环

下面的示例显示如何使用基于主机名的非对称预共享密钥配置IKEv2密钥环。以下是启动器的密钥环：

加密ikev2密钥环密钥环-1对等主机1示例域中的说明host1主机名host1.example.com预共享密钥本地密钥1预共享密钥遥控钥匙2

以下是应答器的钥匙圈：

加密ikev2密钥环密钥环-1对等主机2abc域中的host2描述主机名host2.example.com预共享密钥本地密钥2预共享密钥遥控钥匙1
示例：基于身份的对称预共享密钥的IKEv2密钥环

以下示例显示如何使用基于身份的对称预共享密钥配置IKEv2密钥环：

加密ikev2密钥环密钥环-4对等abc描述示例域身份fqdn example.com预共享密钥abc-key-1对等用户1示例域中的description user1身份电子邮件user1@example.com预共享密钥abc-key-2对等用户1远程description user1远程用户示例标识密钥id示例预共享密钥示例-密钥-3
示例：带有通配符密钥的IKEv2密钥环

以下示例显示如何使用通配符密钥配置IKEv2密钥环：

加密ikev2密钥环密钥环-1同行思科描述示例域地址0.0.0.0 0.0.0.0预共享密钥示例-密钥
示例：匹配钥匙圈

以下示例显示如何匹配钥匙环：

加密ikev2密钥环密钥环-1同行思科description example.com地址0.0.0.0 0.0.0.0预共享密钥xyz-key对等对等1描述abc.example.com地址10.0.0.0 255.255.0.0预共享密钥abc密钥对等主机1描述host1@abc.example.com地址10.0.0.1预共享密钥主机1示例密钥

在所示的示例中，对等方10.0.0.1的键查找首先匹配通配符键example-key，然后匹配前缀键examplet-key和主机键host1-example-key。使用了最佳匹配的host1-example-key。

加密ikev2密钥环密钥环-2对等主机1描述abc.example.com子域中的host1地址10.0.0.1预共享密钥主机1示例密钥对等主机2描述示例域地址0.0.0.0 0.0.0.0预共享密钥示例-密钥

在所示示例中，对等方10.0.0.1的密钥查找将首先匹配主机密钥host1-abc-key。因为这是一个特定的匹配，所以不会执行进一步的查找。

示例：配置配置文件

示例：远程标识上匹配的IKEv2配置文件

以下配置文件支持使用完全限定域名（FQDN）example.com标识自己并使用trustpoint-remote使用RSA签名进行身份验证的对等方。本地节点使用keyring-1使用预共享密钥对自身进行身份验证。

加密ikev2配置文件配置文件2匹配身份远程fqdn example.com身份本地电子邮件router2@example.com身份验证本地预共享身份验证远程rsa-sig钥匙圈钥匙圈-1pki信任点信任点远程验证寿命300dpd 5 10按需虚拟模板1
示例：支持两个对等方的IKEv2配置文件

以下示例显示如何配置支持使用不同身份验证方法的两个对等方的IKEv2配置文件：

加密ikev2配置文件配置文件2匹配身份远程电子邮件user1@example.com匹配身份远程电子邮件user2@example.com身份本地电子邮件router2@cisco.com身份验证本地rsa-sig身份验证远程预共享身份验证远程rsa-sig钥匙圈钥匙圈-1pki信任点信任点本地签名pki信任点信任点远程验证寿命300dpd 5 10按需虚拟模板1

示例：使用证书和IKEv2智能默认值使用动态路由配置FlexVPN站点到站点

以下示例显示了分支设备（启动器，使用静态虚拟隧道接口[sVTI]）和中央设备（响应器，使用动态虚拟隧道接口[dVTI]]）之间的站点到站点连接，以及隧道上的动态路由。该示例使用IKEv2智能默认值，并使用证书（RSA签名）执行身份验证。


注释
建议RSA模数大小为2048。

对等方使用FQDN作为他们的IKEv2身份，响应方上的IKEv 2配置文件与身份FQDN中的域匹配。

启动器（分支设备）上的配置如下：

主机名分支ip域名cisco.com!crypto-ikev2配置文件分支到中心匹配身份远程fqdn central.cisco.com身份本地fqdn branch.cisco.com身份验证本地rsa-sig身份验证远程rsa-sigpki信任点CA!加密ipsec配置文件svti将ikev2-profile分支设置为中心!接口隧道0ip地址172.16.0.101 255.255.255.0隧道源以太网0/0隧道模式ipsec ipv4隧道目的地10.0.0.100隧道保护ipsec配置文件svti!以太网接口0/0ip地址10.0.0.101 255.255.255.0!以太网接口1/0ip地址192.168.101.1 255.255.255.0!路由器撕裂版本2被动接口以太网1/0网络172.16.0.0网络192.168.101.0无自动摘要

响应器（中央路由器）上的配置如下：

主机名中心ip域名cisco.com!加密ikev2配置文件中心到分支匹配身份远程fqdn域cisco.com身份本地fqdn central.cisco.com身份验证本地rsa-sig身份验证远程rsa-sigpki信任点CA虚拟模板1!接口环回0ip地址172.16.0.100 255.255.255.0!以太网接口0/0ip地址10.0.0.100 255.255.255.0!以太网接口1/0ip地址192.168.100.1 255.255.255.0!接口Virtual-Template1型隧道ip未编号的环回0隧道源以太网0/0隧道模式ipsec ipv4隧道保护ipsec配置文件默认值!路由器撕裂版本2被动接口以太网1/0网络172.16.0.0网络192.168.100.0无自动摘要

高级Internet密钥交换版本2 CLI构造的配置示例

示例：配置方案

示例：IKEv2建议，每个转换类型有一个转换

此示例显示了如何为每种转换类型配置一个转换的IKEv2建议：

加密ikev2提案-1加密aes-cbc-128完整性sha1第14组
示例：每个转换类型具有多个转换的IKEv2建议

此示例显示如何为每个转换类型配置具有多个转换的IKEv2建议：

加密ikev2提案-2加密aes-cbc-128 aes-cbc-192完整性sha1第14组

注释
Cisco不再建议使用3DES、MD5（包括HMAC变体）和Diffie-Hellman（DH）组1、2和5；相反，您应该使用AES、SHA-256和DH Groups 14或更高版本。有关最新Cisco加密建议的更多信息，请参阅新一代加密（NGE）白皮书。

所示的IKEv2提议2转换为以下转换组合的优先级列表：

  • aes-cbc-128，sha1，14
  • aes-cbc-192，sha1，14
示例：关于发起人和响应人的IKEv2提案

以下示例显示如何在发起方和响应方上配置IKEv2建议。关于发起人的建议如下：

加密ikev2提案-1加密aes-cbc-192 aes-cbc-128完整性sha-256 sha1组14 24

响应者的建议如下：

加密ikev2提案-2加密aes-cbc-128 aes-cbc-192同龄人完整性sha1 sha-256组24 14

选定的提案如下：

加密aes-cbc-128完整性sha1第14组

在为发起者和应答者显示的提案中，发起者与应答者的偏好冲突。在这种情况下，发起者优先于响应者。

示例：配置策略

示例：在VRF和本地地址上匹配的IKEv2策略

以下示例显示了如何基于VRF和本地地址匹配IKEv2策略：

加密ikev2策略策略2匹配vrf vrf1匹配本地地址10.0.0.1提案-1
示例：具有匹配全局VRF中所有对等方的多个建议的IKEv2策略

以下示例显示了具有多个提议的IKEv2策略如何与全局VRF中的对等方匹配：

加密ikev2策略策略2提案A提案B提案B
示例：匹配任何VRF中所有对等方的IKEv2策略

以下示例显示了IKEv2策略如何匹配任何VRF中的对等方：

加密ikev2策略策略2匹配vrf任意提案-1
示例：匹配策略

不要配置重叠策略。如果存在多个可能的策略匹配，则使用最佳匹配，如下例所示：

加密ikev2策略策略1匹配fvrf fvrf1加密ikev2策略策略2匹配fvrf fvff1匹配本地地址10.0.0.1

FVRF为fvrf1，本地对等为10.0.0.1的提案与policy1和policy2匹配，但选择policy2中是因为它是最佳匹配。

下一步去哪里

配置IKEv2后，继续配置IPsec VPN。有关更多信息，请参阅“使用IPsec配置VPN的安全性”模块。

其他参考资料

相关文件

相关主题

文档标题

Cisco IOS命令

Cisco IOS主命令列表，所有版本

安全命令

IPsec配置

使用IPsec为VPN配置安全性

Suite-B ESP转换

使用IPsec为VPN配置安全性

Suite-B SHA-2系列（HMAC变体）和椭圆曲线（EC）密钥对配置

为IPsec VPN配置Internet密钥交换

Suite-B椭圆曲线Diffie-Hellman（ECDH）支持IPsec SA协商

为IPsec VPN配置Internet密钥交换

Suite-B对PKI证书注册的支持

为PKI配置证书注册

支持与IKE一起使用的标准

《Internet Key Exchange for IPsec VPNs配置指南》

推荐的加密算法

下一代加密

副本请求

副本请求

标题

RFC 4306号文件

Internet密钥交换（IKEv2）协议

副本请求4869

Suite B IPsec加密套件

副本请求5685

Internet密钥交换协议版本2（IKEv2）的重定向机制

技术援助

描述

链接

Cisco支持和文档网站提供在线资源以下载文档、软件和工具。使用这些资源来安装和配置软件，并排除和解决Cisco产品和技术的技术问题。访问Cisco支持和文档网站上的大多数工具需要Cisco.com用户ID和密码。

http://www.cisco.com/cisco/web/support/index.html

配置Internet密钥交换版本2（IKEv2）和FlexVPN站点到站点的功能信息

下表提供了有关此模块中描述的一个或多个功能的发布信息。此表仅列出了在给定软件发布系列中引入对给定功能支持的软件版本。除非另有说明，否则该软件发布系列的后续版本也支持该功能。

使用Cisco Feature Navigator查找有关平台支持和Cisco软件映像支持的信息。要访问Cisco功能导航器，请转到网址：www.cisco.com/go/cfn。不需要Cisco.com上的帐户。

表2配置Internet密钥交换版本2（IKEv2）和FlexVPN站点到站点的功能信息

功能名称

发布

功能信息

IKEv2站点到站点

15.1（1）吨

15.2（4）秒

IKEv2是IP安全（IPsec）的一个组件，用于执行相互身份验证以及建立和维护安全关联（SA）。

引入或修改了以下命令：aaa记帐（IKEv2配置文件）、地址（IKEv2密钥环）、身份验证（IKEv 2配置文件，对等方、pki信任点、预共享密钥（IKEv2密钥环）、提案、虚拟模板（IKEv 2配置文件）、清除加密IKEv2 sa、清除加密ukev2 stat、清除加密会话、清除加密akev2 sa，调试加密ikev 2、显示加密ikev1诊断错误、显示加密akev 2策略、显示加密ukev 2配置文件、显示加密okev2提案、显示加密ekev2 sa，显示crypto ikev2会话，显示crypto-ikev2状态，显示cropto会话，显示加密套接字。

IPSec和IKEv2的IPv6支持

15.1（4）百万

此功能允许将IPv6地址添加到IPSec和IKEv2协议。

引入或修改了以下命令：地址（IKEv2密钥环）、标识（IKEv2密钥环）、本地标识、匹配（IKEv2策略）和匹配（IKEv2配置文件）、显示加密IKEv2会话、显示加密IKEv2 sa、显示加密IKEv2配置文件、显示加密IKEv2策略、调试加密条件、清除加密IKEv2 sa。

IOS SW加密中的Suite-B支持

15.1（2）吨

Suite-B增加了对SHA-2系列（HMAC变体）散列算法的支持，该算法用于验证数据包数据并验证IKEv2建议配置的完整性验证机制。HMAC是一种提供额外哈希级别的变体。

Suite-B还允许将RFC 4754中定义的椭圆曲线数字签名算法（ECDSA）签名（ECDSA sig）作为IKEv2的身份验证方法。

套件B要求由四个密码算法用户界面套件组成，用于RFC 4869中描述的IKE和IPSec。每个套件都由加密算法、数字签名算法、密钥协商算法和散列或消息摘要算法组成。有关Cisco IOS Suite-B支持的更多信息，请参阅使用IPsec模块配置VPN的安全性。

引入或修改了以下命令：身份验证、组、身份（IKEv2配置文件）、完整性、匹配（IKEv2配置文件）。

思科和思科徽标是思科和/或其附属公司在美国和其他国家的商标或注册商标。要查看Cisco商标列表，请转到以下URL：www.cisco.com/go/商标.提及的第三方商标是其各自所有者的财产。合作伙伴一词的使用并不意味着思科与任何其他公司之间存在合作关系。（1110R）

本文档中使用的任何互联网协议（IP）地址和电话号码都不是实际的地址和电话。本文档中包含的任何示例、命令显示输出、网络拓扑图和其他图形仅用于说明目的。在说明性内容中使用实际IP地址或电话号码是无意的，也是巧合的。

©2012 Cisco Systems，Inc.保留所有权利。