筆記by①ipv4②③：virtualprivatenetwork虛擬網站點到站點(sitetosite)(L2LS2Slantolan、sitetoIPse、GRE、 (pointtosite):主機與網 IKE：Internetkeyexchange互聯網密鑰交換ISAKMP：InternetSecurityAssociationKeyManagementProtocol階段①disike resetike階段②disipsec resetipsecdisipsecstatistics查看經過ipsec如果找到匹配的安全策略，會查找相應的安全。如果安全還沒有建立，則觸發IKE進行協商。IKE首先建立第一階段的安全，即IKESA。在第一階段安全的保護下協商第二階段的安全聯盟，即IPSecSA。 隧道模式隧道模式二：ipsec前提：接口區域公網地址可達IPsec（aclnumberrule5permitipsource192.168.3.00.0.0.255destination192.168.1.0rule10permitipsource192.168.3.00.0.0.255destination192.168.2.0ikeproposaldhgroup2authentication-algorithmsha2-256authentication-methodpre-shareintegrity-algorithmhmac-sha2-256prfhmac-sha2-256ikepeerpre-shared-keyike-proposalremote-addressipsecproposalespauthentication-algorithmsha2-256espencryption-algorithmaes-256ipsecaa10isakmpsecurityacl3000proposal10interfaceipaddress202.1.3.1ipsecaa-10：針對分支1 aa-20針對分支2其中安全策略全其中aa-aclnumberrule10permitipsource192.168.1.00.0.0.255destination192.168.2.05aclnumberrule5permitipsource192.168.1.00.0.0.255destination192.168.3.00.0.0.255ikeproposal10ikepeerpre-shared-keyike-proposalremote-addressikepeerpre-shared-keyike-proposalremote-addressipsecproposalipsecaa10isakmpsecurityacl3000proposal10ipsecaa20isakmpsecurityacl3001proposal10interfaceipaddress202.1.1.1ipsec分支2總部總部分支發到總部后源地址192.168.2.x---->192.168.3.x不滿足總部acl感流量，因此中斷aclnumberrule10permitipsource192.168.1.00.0.0.255destination192.168.2.0rule15peripsou192.168.3.00.0.0.255desti192.168.2.0aclnumberrule5permitipsource192.168.1.00.0.0.255destination192.168.3.0rule10peripsou192.168.2.00.0.0.255desti192.168.3.0 intgiipsecaaauto-neg分支自動和總部建立隧道方便后續通信即使沒有流量觸發也會建立ipsec隧道注：模擬器bug，不支持auto-neg（適用分支）四：IPsec四：IPsec點到多點即模板配置。適用于對端PPPOE撥號地址不確ikepeer pre-shared-key123local-idipsec-temtetpl303181314157securityacl3000ike-peerike303181314157aliasaaipsecipsec 10000isakmptemtetpl303181314157interfaceipaddress202.1.1.1ipsec注意：由于模擬器bug（auto-（雖不通但用于在總部建立分支1--->分支2的 隧道）然后分支2--->分支1（ok），真機則無此現象。因此分