-.z.標(biāo)題：ipsecvpn的高可用性目的：實(shí)現(xiàn)vpn鏈路的冗余備份拓?fù)洌翰襟E：按照拓?fù)浣o路由器的接口分配地址Ip地址規(guī)劃Branch上branch(config)*intf0/0branch(config-if)*noshbranch(config-if)*intlo0isp上isp(config)*intf0/1isp(config-if)*noshisp(config-if)*intf0/0isp(config-if)*noshisp(config-if)*intf1/0isp(config-if)*noshactive上active(config)*intf0/1active(config-if)*noshactive(config-if)*intf0/0active(config-if)*noshstandby上standby(config)*intf0/1standby(config-if)*noshstandby(config-if)*intf0/0standby(config-if)*noshinside上inside(config)*intf0/1inside(config-if)*noshinside(config-if)*intlo0測(cè)試直連路由是否可達(dá)Center中運(yùn)行動(dòng)態(tài)路由企業(yè)部網(wǎng)絡(luò)都會(huì)運(yùn)行一種動(dòng)態(tài)路由協(xié)議，保障網(wǎng)用戶底層可達(dá)Active上active(config)*routerospf1active(config-router)*network10.1.1.00.0.0.255area0standby上standby(config)*routerospf1standby(config-router)*network10.1.1.00.0.0.255area0inside上inside(config)*routerospf1inside(config-router)*network10.1.1.00.0.0.255area0inside(config-router)*network2.2.2.00.0.0.255a0建立vpn企業(yè)網(wǎng)絡(luò)的邊界路由一般使用缺省路由指向互聯(lián)網(wǎng)首先解決路由問題Branch上Active上Standby上測(cè)試連通性然后定義第一階段的協(xié)商策略和認(rèn)證定義協(xié)商策略和認(rèn)證：認(rèn)證方式為預(yù)共享密鑰；配置預(yù)共享的key，vpn兩端必須一致；為了實(shí)現(xiàn)vpn鏈路的冗余備份，因此需要分支指向中心不同的邊界網(wǎng)關(guān)，預(yù)共享key可以相同，也可以不同Branch上branch(config)*cryptoisakmppolicy10branch(config-isakmp)*authenticationpre-share定義協(xié)商策略和認(rèn)證：認(rèn)證方式為預(yù)共享密鑰；配置預(yù)共享的key，vpn兩端必須一致active上active(config)*cryptoisakmppolicy10active(config-isakmp)*authenticationpre-sharestandby上standby(config)*cryptoisakmppolicy10standby(config-isakmp)*authenticationpre-share在branch、active和standby上開啟DPD開啟DPD，即死亡鄰居檢測(cè)。以周期性（每10秒）的發(fā)送keepalive報(bào)文探測(cè)vpn鏈路或者vpn設(shè)備是否工作正常，以實(shí)現(xiàn)一個(gè)快速的切換定義第二階段的加密策略定義加密策略：配置感興趣流，配置轉(zhuǎn)換集（des加密，MD5認(rèn)證，隧道模式）Branch上branch(config)*ipaccess-liste*tendedvpnbranch(config-e*t-nacl)*permitip1.1.1.00.0.0.2552.2.2.00.0.0.255branch(config)*cryptoipsectransform-settransesp-desesp-md5-hmacbranch(cfg-crypto-trans)*modetunnelactive上active(config)*ipaccess-liste*tendedvpnactive(config)*cryptoipsectransform-settransesp-desesp-md5-hmacactive(cfg-crypto-trans)*modetunnelstandby上standby(config)*ipaccess-liste*tendedvpnstandby(config)*cryptoipsectransform-settransesp-desesp-md5-hmacstandby(cfg-crypto-trans)*modetunnel定義加密圖定義加密圖：匹配感興趣流，轉(zhuǎn)換集，配置peer（為實(shí)現(xiàn)冗余備份，分支需要與中心的多個(gè)邊界建立vpn，先匹配的先建立vpn，然后依次建立【default：不加時(shí)，當(dāng)活動(dòng)鏈路down掉后，從首到尾依次檢查；加上時(shí)，以“圓”的形式檢查）Branch上branch(config)*cryptomapcisco10ipsec-isakmpbranch(config-crypto-map)*matchaddressvpnbranch(config-crypto-map)*settransform-settransbranch(config-crypto-map)*setpeer61.128.1.1default定義加密圖：匹配感興趣流，轉(zhuǎn)換集，配置peer，啟用反向路由注入，并給RRI動(dòng)態(tài)產(chǎn)生的路由打上tag10，解決鏈路備份的回包問題。active上active(config)*cryptomapcisco10ipsec-isakmpactive(config-crypto-map)*matchaddressvpnactive(config-crypto-map)*settransform-settransactive(config-crypto-map)*reverse-routeactive(config-crypto-map)*setreverse-routetag10standby上standby(config)*cryptomapcisco10ipsec-isakmpstandby(config-crypto-map)*matchaddressvpnstandby(config-crypto-map)*settransform-settransstandby(config-crypto-map)*reverse-routestandby(config-crypto-map)*setreverse-routetag10接口調(diào)用接口調(diào)用加密圖，當(dāng)網(wǎng)的通信點(diǎn)與vpn對(duì)端的通信點(diǎn)進(jìn)行通信，會(huì)觸發(fā)連接internet的接口（加密點(diǎn)），對(duì)數(shù)據(jù)加密，以保障數(shù)據(jù)在internet網(wǎng)絡(luò)中傳輸時(shí)的安全，vpn對(duì)端接口則會(huì)解密、驗(yàn)證，如果認(rèn)證通過，數(shù)據(jù)傳輸；不通過，直接丟棄Branch上branch(config)*intf0/0branch(config-if)*cryptomapciscoactive上active(config)*intf0/1active(config-if)*cryptomapciscostandby上standby(config)*intf0/1standby(config-if)*cryptomapcisco在active和standby上配置route-map利用route-map來匹配上tag10的路由active(config)*route-maps2opermit10active(config-route-map)*matchtag10standby(config)*route-maps2opermit10standby(config-route-map)*matchtag10在active和standby上將route-map在OSPF告將route-map重發(fā)布進(jìn)ospf，通告所有網(wǎng)用戶active(config)*routerospf1active(config-router)*redistributestaticroute-maps2osubnetsstandby(config)*routerospf1standby(config-router)*redistributestaticroute-maps2osubnets測(cè)試鏈路是否建立成功首先在active上查看加解密包的個(gè)數(shù)再查看靜態(tài)路由RRI，反向路由注入，即指那一臺(tái)路由器上有ipsecsa，做了啟用的反向路由注入，就會(huì)在本地路由器上自動(dòng)產(chǎn)生一條目標(biāo)是對(duì)端通信點(diǎn)，下一跳為對(duì)端加密點(diǎn)的靜態(tài)路由。只有有ipsecsa才會(huì)產(chǎn)生，因?yàn)闆]有觸發(fā)，所以沒有加解密的包和產(chǎn)生路由在branch上發(fā)起ping命令發(fā)起ping命名，觸發(fā)vpn策略在active上查看加解密包的個(gè)數(shù)和靜態(tài)路由加解密包產(chǎn)生，觸發(fā)了ipsecsa，產(chǎn)生靜態(tài)路由在inside上查看路由部網(wǎng)絡(luò)收到靜態(tài)路由，且下一跳為，即說明分支與中心的active建立vpn在standby上查看加解密包的個(gè)數(shù)和靜態(tài)路由Standby設(shè)備上沒有加解密的包和產(chǎn)生路由，也說明分支與中心的active建立vpn再在branch上發(fā)起ping命令在isp上將f0/0接口shutdownisp(config)*intf0/0isp(config-if)*shutdown將isp的f0/0口down掉，模擬v