ipsec-vpn高可用性链路冗余备份实例
链路备份高可用VPN
R1(config)#interface f0/0R1(config-if)#ip add 200.1.1.1 255.255.255.0R1(config-if)#no shutdownR1(config)#interface loopback 0R1(config-if)#ip add 1.1.1.1 255.255.255.0R1(config-if)#R1(config)#ip route 0.0.0.0 0.0.0.0 200.1.1.2R2R2#conf tR2(config)#interface f0/0R2(config-if)#ip add 200.1.1.2 255.255.255.0R2(config-if)#no shutdownR2(config-if)#interface f0/1R2(config-if)#ip add 200.1.2.2 255.255.255.0R2(config-if)#no shutdownR2(config-if)#interface f1/0R2(config-if)#ip add 200.1.3.2 255.255.255.0R2(config-if)#no shutdownR3R3#R3#conf tEnter configuration commands, one per line. End with CNTL/Z. R3(config)#inR3(config)#interface f0/0R3(config-if)#ip add 200.1.2.3 255.255.255.0R3(config-if)#no shutdownR3(config-if)#ip add 200.1.2.3 255.255.255.0R3(config-if)#interface f0/1R3(config-if)#ip add 10.1.1.10 255.255.255.0R3(config-if)#no shutdownR3(config-if)#exitR3(config)#ip route 0.0.0.0 0.0.0.0 200.1.2.2R3(config)#router ospf 1R3(config-router)#network 10.1.1.0 0.0.0.255 area 0 R3(config-router)#R4R4#R4#conf tR4(config)#interface f0/0R4(config-if)#ip add 200.1.3.4 255.255.255.0R4(config-if)#no shutdownR4(config-if)#interface f0/1R4(config-if)#ip add 10.1.1.20 255.255.255.0R4(config-if)#no shutdownR4(config-if)#exitR4(config)#ip route 0.0.0.0 0.0.0.0 200.1.3.2R4(config)#router ospf 1R4(config-router)#network 10.1.1.0 0.0.0.255 area 0R5R5#conf tR5(config)#interface loopback 1R5(config-if)#ip add 2.2.2.2 255.255.255.0R5(config-if)#exitR5(config)#interface f0/0R5(config-if)#ip add 10.1.1.1 255.255.255.0R5(config-if)#no shutdownR5(config-if)#exitR5(config)#router ospf 1R5(config-router)#network 10.1.1.0 0.0.0.255 area 0 R5(config-router)#network 2.2.2.0 0.0.0.255 area 0 R5(config-router)#fengongsi#fengongsi#conf tfengongsi(config)#fengongsi(config)#crypto isakmp policy 10fengongsi(config-isakmp)#authentication pre-share fengongsi(config-isakmp)#exitfengongsi(config)#crypto isakmp key 0 cisco address 200.1.2.3 fengongsi(config)#crypto isakmp key 0 cisco address 200.1.3.4fengongsi(config)#crypto isakmp keepalive 10 periodicfengongsi(config)#ip access-list extended vpnfengongsi(config-ext-nacl)#permit ip 1.1.1.0 0.0.0.255 2.2.2.0 0.0.0.255 fengongsi(config-ext-nacl)#exitfengongsi(config)#crypto ipsec transform-set cisco esp-des esp-md5-hmac fengongsi(cfg-crypto-trans)#exitfengongsi(config)#crypto map cisco 10 ipsec-isakmpfengongsi(config-crypto-map)#match address vpnfengongsi(config-crypto-map)#set transform-set ciscofengongsi(config-crypto-map)#set peer 200.1.2.3fengongsi(config-crypto-map)#set peer 200.1.3.4fengongsi(config-crypto-map)#exitfengongsi(config)#interface f0/0fengongsi(config-if)#crypto map ciscofengongsi(config-if)#*Mar 1 00:34:04.787: %CRYPTO-6-ISAKMP_ON_OFF: ISAKMP is ONR3#cryR3#conf tR3(config)#crypto isakmp policy 10R3(config-isakmp)#authentication pre-shareR3(config-isakmp)#exiR3(config-isakmp)#exitR3(config)#crypto isakmp key 0 cisco address 200.1.1.1R3(config)#crypto isakmp keepalive 10 periodicR3(config)#ip access-list extended vpnR3(config-ext-nacl)#permit ip 2.2.2.0 0.0.0.255 1.1.1.0 0.0.0.255R3(config-ext-nacl)#exitR3(config)#crypto ipsec transform-set cisco esp-des esp-md5-hmacR3(cfg-crypto-trans)#exitR3(config)#crypto map cisco 10 ipsec-isakmpR3(config-crypto-map)#match address vpnR3(config-crypto-map)#set transform-set ciscoR3(config-crypto-map)#set peer 200.1.1.1R3(config-crypto-map)#reverse-routeR3(config-crypto-map)#set reverse-route tag 10R3(config-crypto-map)#exitR3(config)#interface f0/0R3(config-if)#crypto map ciscoR3(config-if)#exitR3(config)#route-map RtofR3(config-route-map)#match tag 10R3(config-route-map)#exitR3(config)#router ospf 1R3(config-router)#redistribute static route-map Rtof subnetsR4#cryR4#conf tR4(config)#crypto isakmp policy 10R4(config-isakmp)#authentication pre-shareR4(config-isakmp)#exiR4(config-isakmp)#exitR4(config)#crypto isakmp key 0 cisco address 200.1.1.1R4(config)#crypto isakmp keepalive 10 periodicR4(config)#ip access-list extended vpnR4(config-ext-nacl)#permit ip 2.2.2.0 0.0.0.255 1.1.1.0 0.0.0.255R4(config-ext-nacl)#exitR4(config)#crypto ipsec transform-set cisco esp-des esp-md5-hmac R4(cfg-crypto-trans)#exitR4(config)#crypto map cisco 10 ipsec-isakmpR4(config-crypto-map)#match address vpnR4(config-crypto-map)#set transform-set ciscoR4(config-crypto-map)#set peer 200.1.1.1R4(config-crypto-map)#reverse-routeR4(config-crypto-map)#set reverse-route tag 10R4(config-crypto-map)#exitR4(config)#interface f0/0R4(config-if)#crypto map ciscoR4(config-if)#exitR4(config)#route-map RtofR4(config-route-map)#match tag 10R4(config-route-map)#exitR4(config)#router ospf 1R4(config-router)#redistribute static route-map Rtof subnets流量可以看到走R3手工制造故障在R2连接R3的接口后，有丢包现象，但是很快链路正常，说明链路进行了自动切换。
关于IPSEC-VPN-实验详解
关于IPSEC VPN 实验详解文章来源：不详作者：佚名该文章讲述了关于IPSEC VPN 实验详解.由于Internet宽带接入的普及，它的带宽与价格非常的便宜（相对于专线而言）.８Ｍ的ADSL价位不到两千元／年.越来越多的企业开始发掘基于宽带接入的增值应用.由于VPN技术的成熟，如对数据的加密技术与VPN Qos技术的发展，使得基于Internet接入的VPN应用日趋增多.VPN技术可用于远程用户的接入（用于取代传统拨号接入技术）访问，用于对主线路的备份作为备份链路，甚至可以取代传统的专线地位用于企业各分支机构的专有网络互联.用于取代专线或备份线路接入的Site-to-Site VPN接入技术，用于远程终端用户接入访问的Remote-VPN(也叫Easy VPN，取代传统拨号接入).基于WEB页面访问的WEB VPN技术.又叫SSL VPN.１．Site-to-site vpn(三种类型)站点间的VPN技术.IKE使用UDP端口500,Ipsec ESP和AH使用协议号50和51.因此如果要实现VPN穿越，必须在相应接口上配置访问列表以允许VPN流量通过。
Site-to-Site VPN的配置通常可分为四个步骤：1.传统路由及需互访的流量定义定义路由设置感兴趣的流量（即定义互访的内网主机流量以触发VPN参数协商）2.定义IKE参数（IKE第一阶段安全关联协商）定义ISAKMP策略定义ISAKMP对等体和验证密钥3.定义Ipsec参数（IKE第二阶段安全关联协商）定义Ipsec的转换集Transform定义Ipsec的加密映射（crypto map）。
4.将加密映射应用到相应接口。
当路由器收到一个数据包时，它将检查安全策略（即所定义的感兴趣的流量）以决定是否为此数据包提供保护。
如果匹配访问列表所定义的流量，则路由器决定采用何种安全服务，并决定IPSEC端点所使用的地址，并检查是否存在一个安全关联（security association）.如果没有安全关联，则路由器将与对等体协商建立。
打造史上最强ipsec+vpn实例教程
打造史上最强ipsec vpn实例教程以下为路由器A的配置，路由器B只需对相应配置做更改即可1：配置IKErouter(config)# crypto isakmp enable #启用IKE(默认是启动的)router(config)# crypto isakmp policy 100 #建立IKE策略,优先级为100router(config-isakmp)# authentication pre-share #使用预共享的密码进行身份验证router(config-isakmp)# encryption des #使用des加密方式router(config-isakmp)# group 1 #指定密钥位数，group 2安全性更高，但更耗cpu router(config-isakmp)# hash md5 #指定hash算法为MD5(其他方式：sha，rsa) router(config-isakmp)# lifetime 86400 #指定SA有效期时间。
默认86400秒，两端要一致以上配置可通过show crypto isakmp policy显示。
VPN两端路由器的上述配置要完全一样。
2：配置Keysrouter(config)# crypto isakmp key cisco1122 address 10.0.0.2--(设置要使用的预共享密钥和指定vpn另一端路由器的IP地址)3：配置IPSECrouter(config)# crypto ipsec transform-set abc esp-des esp-md5-hmac配置IPSec交换集abc这个名字可以随便取，两端的名字也可不一样，但其他参数要一致。
router(config)# crypto ipsec security-association lifetime 86400ipsec安全关联存活期，也可不配置，在下面的map里指定即可router(config)# access-list 110 permit tcp 172.16.1.0 0.0.0.255 172.16.2.0 0.0.0.25 5router(config)# access-list 110 permit tcp 172.16.2.0 0.0.0.255 172.16.1.0 0.0.0.25 54.配置IPSEC加密映射router(config)# crypto map mymap 100 ipsec-isakmp 创建加密图router(config-crypto-map)# match address 110 用ACL来定义加密的通信router(config-crypto-map)# set peer 10.0.0.2 标识对方路由器IP地址router(config-crypto-map)# set transform-set abc 指定加密图使用的IPSEC交换集router(config-crypto-map)# set security-association lifetime 86400router(config-crypto-map)# set pfs group 15.应用加密图到接口router(config)# interface ethernet0/1router(config-if)# crypto m ap m amap相关知识点：对称加密或私有密钥加密：加密解密使用相同的私钥DES--数据加密标准 data encryption standard3DES--3倍数据加密标准 triple data encryption standardAES--高级加密标准 advanced encryption standard一些技术提供验证：MAC--消息验证码 message authentication codeHMAC--散列消息验证码 hash-based message authentication codeMD5和SHA是提供验证的散列函数对称加密被用于大容量数据，因为非对称加密站用大量cpu资源非对称或公共密钥加密：RSA rivest-shamir-adelman用公钥加密，私钥解密。
VPN中的IP地址冗余与高可用性配置
VPN中的IP地址冗余与高可用性配置在VPN中，IP地址冗余与高可用性配置是非常重要的。
IP地址冗余可以避免单点故障，提高网络的可用性和稳定性。
本文将探讨VPN 中IP地址冗余与高可用性配置的相关内容。
一、IP地址冗余的概念及意义在VPN网络中，IP地址冗余是指为了提供更高的可用性和冗余容错能力，使用多个IP地址。
当一个IP地址不可用时，可以及时切换到其他可用的IP地址。
这样可以避免单点故障对网络的影响，保证网络的连通性和稳定性。
IP地址冗余的配置可以使VPN网络更加可靠。
当某个IP地址出现故障或者网络中断时，其他可用的IP地址可以接替服务，避免网络的中断以及用户访问的延迟。
同时，IP地址冗余还可以提高网络的负载均衡能力，使得网络流量可以平均分布到各个IP地址上，减轻单个节点的压力。
二、IP地址冗余的配置方法在VPN中实现IP地址冗余可以采取以下几种方法：1. 高可用性路由协议通过使用高可用性路由协议，可以动态地检测网络中的故障，及时调整路由路径，使数据能够选择可用的路径传输。
常见的高可用性路由协议有VRRP（虚拟冗余路由协议）和HSRP（热备份路由协议）。
这些协议可以实现IP地址的冗余和故障自动切换。
2. IP负载均衡利用IP负载均衡技术可以将网络流量均匀地分发到多个IP地址上，实现负载均衡和冗余。
常见的负载均衡技术有基于DNS的负载均衡和基于硬件设备的负载均衡。
通过配置合适的负载均衡策略和算法，可以实现IP地址冗余和流量分配。
3. 双机热备双机热备是指在VPN网络中配置两台完全相同的设备，其中一台为主设备，一台为备设备。
当主设备发生故障时，备设备可以迅速接管服务，实现无缝切换，确保网络正常运行。
这种方式可以实现IP地址冗余和高可用性。
三、高可用性配置的注意事项1. 设备选择在进行IP地址冗余和高可用性配置时，需要选择具备高可靠性和冗余功能的设备。
只有选择合适的设备，才能更好地实现IP地址的冗余和故障切换。
ipsec-vpn高可用性链路冗余备份实例
标题：ipsec vpn的高可用性目的：实现vpn链路的冗余备份拓扑：步骤：1.按照拓扑给路由器的接口分配地址Ip地址规划Branch上branch(config)#int f0/0branch(config-if)#ip add 202.100.1.1 255.255.255.0branch(config-if)#no shbranch(config-if)#int lo 0branch(config-if)#ip add 1.1.1.1 255.255.255.0 isp上isp(config)#int f0/1isp(config-if)#ip add 202.100.1.10 255.255.255.0isp(config-if)#no shisp(config-if)#int f0/0isp(config-if)#ip add 61.128.1.10 255.255.255.0 isp(config-if)#no shisp(config-if)#int f1/0isp(config-if)#ip add 137.78.5.10 255.255.255.0 isp(config-if)#no shactive上active(config)#int f0/1active(config-if)#ip add 61.128.1.1 255.255.255.0active(config-if)#no shactive(config-if)#int f0/0active(config-if)#ip add 10.1.1.10 255.255.255.0active(config-if)#no shstandby上standby(config)#int f0/1standby(config-if)#ip add 137.78.5.1 255.255.255.0standby(config-if)#no shstandby(config-if)#int f0/0standby(config-if)#ip add 10.1.1.20 255.255.255.0standby(config-if)#no shinside上inside(config)#int f0/1inside(config-if)#ip add 10.1.1.1 255.255.255.0 inside(config-if)#no shinside(config-if)#int lo 0inside(config-if)#ip add 2.2.2.2 255.255.255.0 测试直连路由是否可达2.Center中运行动态路由企业部网络都会运行一种动态路由协议，保障网用户底层可达Active上active(config)#router ospf 1active(config-router)#network 10.1.1.00.0.0.255 area 0standby上standby(config)#router ospf 1standby(config-router)#network 10.1.1.0 0.0.0.255 area 0inside上inside(config)#router ospf 1inside(config-router)#network 10.1.1.0 0.0.0.255 area 0inside(config-router)#network 2.2.2.0 0.0.0.255a 03.建立vpn企业网络的边界路由一般使用缺省路由指向互联网首先解决路由问题Branch上Active上测试连通性然后定义第一阶段的协商策略和认证定义协商策略和认证：认证方式为预共享密钥；配置预共享的key，vpn两端必须一致；为了实现vpn链路的冗余备份，因此需要分支指向中心不同的边界网关，预共享key可以相同，也可以不同Branch上branch(config)#crypto isakmp policy 10branch(config-isakmp)#authentication pre-sharebranch(config)#crypto isakmp key 0 cisco address61.128.1.1branch(config)#crypto isakmp key 0 h3c address 137.78.5.1定义协商策略和认证：认证方式为预共享密钥；配置预共享的key，vpn两端必须一致active上active(config)#crypto isakmp policy 10active(config-isakmp)#authentication pre-shareactive(config)#crypto isakmp key 0 cisco address 202.100.1.1standby(config)#crypto isakmp policy 10standby(config-isakmp)#authentication pre-sharestandby(config)#crypto isakmp key 0 h3c address 202.100.1.1在branch、active和standby上开启DPD开启DPD，即死亡邻居检测。
飞塔防火墙OSPFoverIPSec及路由及冗余
飞塔防火墙OSPFoverIPSec及路由及冗余OSPF over IPSec及路由冗余目录1.目的 (3)2.环境介绍 (3)3.IPSec VPN配置 (4)4.OSPF配置 (5)4.1 GateA配置 (5)4.2 GateB配置 (6)4.3 配置完成后各FortiGate路由表 (7)4.4 通过命令查看OSPF状态 (8)5.冗余路由的验证 (8)6.参考 (10)1.目的OSPF使用组播协议路由,由于IPSec VPN不能支持组播和广播,因此不能运行动态路由协议,此时需要使用GRE协议封装OSPF后经过IPSec进行数据交互。
所以常用的多为OSPF over GRE。
Route-based方式的IPSec VPN极大的方便了OSPF over IPSec 的配置,无需再将数据先用GRE封装然后在运行在IPSec链路上。
本文档针对FortiGate的OSPF over IPSec的冗余路由进行说明。
2.环境介绍本文使用2台FortiGate进行说明, GateA与GateB建立2条IPSec VPN,在IPSec VPN链路上运行OSPF协议并同处于Area 0区域,以期达到任意主VPN隧道中断后,备份VPN隧道仍然继续工作,实现OSPF over IPSec及路由冗余的目的,本文使用的系统版本为FortiOS v4.0MR2 Patch8。
Router Port7 IP Port8 IP VPN1 IP VPN2 IP Loopback IPGateA 1.1.1.1 2.1.1.1 5.1.1.1 6.1.1.1 10.1.1.1GateB 1.1.1.2 2.1.1.2 5.1.1.2 6.1.1.2 10.2.2.1 3.IPSec VPN配置配置route-based模式(即接口模式) IPSec VPN的具体方法请参考站到站IPSec VPN设置4.2配置完成后在VPN-IPSec-监视器可以查看VPN状态。
IPSECVPN冗余总结
IPSECVPN冗余总结IPSec是一种广泛使用的VPN（Virtual Private Network）协议，它提供了安全的加密通信通道，用于在公共网络上建立私人网络连接。
为了提高网络的可靠性和可用性，可以通过实现IPSec VPN的冗余性来保证网络的连续性和稳定性。
本文将讨论IPSec VPN冗余的概念、实现方法和优势。
概念介绍：冗余是指在系统中增加冗余设备或服务，以提高系统对故障的容错能力和可靠性。
在IPSec VPN中，冗余是指通过使用多个VPN设备或服务来建立冗余的VPN连接，以确保即使其中一个设备或服务发生故障，仍然能够保持VPN连接。
实现方法：1.设备冗余：可以使用多个VPN设备来建立冗余的VPN连接。
这些设备可以配置为主/备份模式，其中一个设备充当主设备，负责处理VPN连接，而另一个设备充当备份设备，只有在主设备故障时才接管VPN连接。
通过使用设备冗余，可以最大程度地减少VPN连接中断的可能性。
2.服务冗余：可以使用多个VPN服务提供商来建立冗余的VPN连接。
这些服务提供商可以提供相同或不同的VPN服务，以确保即使其中一个服务提供商发生故障，仍然能够维持VPN连接。
通过使用服务冗余，可以获得更高的VPN可用性和容错能力。
优势：1. 提高网络可靠性：通过实现IPSec VPN冗余，可以确保即使其中一个设备或服务发生故障，仍然能够建立和维持VPN连接。
这可以提高整个网络的可靠性和稳定性，减少因设备或服务故障而导致的网络中断。
2.增加系统容错能力：冗余VPN连接可以确保即使一个VPN设备或服务发生故障，仍然能够通过备份设备或服务进行通信。
这可以提高系统的容错能力，减少单点故障的风险。
3.改善网络性能：通过使用多个VPN设备或服务，可以将网络负载分散到多个设备或服务上，从而改善网络性能。
如果一个设备或服务负载过重，其他设备或服务可以接管一部分负载，保持整个网络的稳定性和性能。
4. 提高可用性：通过实现IPSec VPN冗余，可以获得更高的VPN可用性。
IPsec VPN 对等体冗余之SLB 负载均衡实验配置
IPsec VPN 对等体冗余之SLB 负载均衡实验配置SPOKE1路由器和SPOKE2路由器loopback0接口模拟remote端内部网络，VPNHUB1路由器和VPNHUB2路由器模拟VPN gateway，SLB-server路由器模拟SLB服务器，Internal-client 路由器loopback0接口模拟内部服务器,Internet路由器模拟internet。
为了简化配置本实验IPSEC VPN为EZVPN，VPNHUB间的IPSEC VPN配置一定要相同，因为他们无法预知将会端接哪个remote。
为了防止VPNHUB内部网络路由出现非对称路由，VPNHUB内部网络运行动态路由选择协议（OSPF）并且需要将HUBVPN 内的VPN reverse-route redistribute到动态路由选择协议(OSPF)中，这样就可以避免此网络拓扑可能出现的非对称路由。
SPOKE1 configurationSPOKE1#sh runBuilding configuration...Current configuration : 1243 bytes!version 12.4service timestamps debug datetime msecservice timestamps log datetime msecno service password-encryption!hostname SPOKE1!boot-start-markerboot-end-marker!!no aaa new-modelmemory-size iomem 5!!ip cef!!!!!!!crypto ipsec client ezvpn xinjialove connect manualgroup xinjialove key xinjialovemode network-extensionpeer 172.16.2.1xauth userid mode interactive!!!!interface Loopback0ip address 1.1.1.1 255.255.255.255 crypto ipsec client ezvpn xinjialove inside !interface FastEthernet0/0no ip addressshutdownduplex autospeed auto!interface Serial1/0no ip addressshutdownserial restart-delay 0!interface Serial1/1ip address 172.16.1.1 255.255.255.0 serial restart-delay 0crypto ipsec client ezvpn xinjialove!interface Serial1/2no ip addressshutdownserial restart-delay 0!interface Serial1/3no ip addressshutdownserial restart-delay 0!interface FastEthernet2/0no ip addressduplex autospeed auto!no ip http serverno ip http secure-server!ip route 0.0.0.0 0.0.0.0 Serial1/1!!!!control-plane!!!!!!!!!!line con 0logging synchronousline aux 0line vty 0 4!!EndSopke2 configurationSPOKE2#sh runBuilding configuration...Current configuration : 1084 bytes!version 12.4service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption!hostname SPOKE2!boot-start-markerboot-end-marker!!no aaa new-modelip cefno ip domain lookup!!!!!!!crypto ipsec client ezvpn xinjialove connect manualgroup xinjialove key xinjialovemode network-extensionpeer 172.16.2.1xauth userid mode interactive!!!!interface Loopback0ip address 2.2.2.2 255.255.255.255 crypto ipsec client ezvpn xinjialove inside !interface Serial1/0ip address 172.16.3.1 255.255.255.0 serial restart-delay 0crypto ipsec client ezvpn xinjialove!interface Serial1/1no ip addressshutdownserial restart-delay 0!interface Serial1/2no ip addressshutdownserial restart-delay 0!interface Serial1/3no ip addressshutdownserial restart-delay 0!ip http serverno ip http secure-server!ip route 0.0.0.0 0.0.0.0 Serial1/0!control-plane!!!!!!!!!!line con 0logging synchronousline aux 0line vty 0 4!!EndVPNHUB1 configurationVPNHUB1#sh runBuilding configuration...Current configuration : 1723 bytes!version 12.4service timestamps debug datetime msec service timestamps log datetime msecno service password-encryption!hostname VPNHUB1!boot-start-markerboot-end-marker!!aaa new-model!!aaa authentication login xinjialove local aaa authorization network xinjialove local !aaa session-id commonmemory-size iomem 5!ip cefno ip domain lookup!!!!!!!!username cisco password 0 cisco!!!crypto isakmp policy 10hash md5authentication pre-sharegroup 2!crypto isakmp client configuration group xinjialovekey xinjialove!!crypto ipsec transform-set xinjialove esp-des esp-md5-hmac !crypto dynamic-map xinjialove 10set transform-set xinjialovereverse-route!!crypto map xinjialove client authentication list xinjialove crypto map xinjialove isakmp authorization list xinjialove crypto map xinjialove 10 ipsec-isakmp dynamic xinjialove !!!!interface FastEthernet0/0ip address 192.168.3.1 255.255.255.0duplex autospeed auto!interface Serial1/0ip address 192.168.1.2 255.255.255.0serial restart-delay 0crypto map xinjialove!interface Serial1/1no ip addressserial restart-delay 0!interface Serial1/2no ip addressshutdownserial restart-delay 0!interface Serial1/3no ip addressshutdownserial restart-delay 0!interface FastEthernet2/0no ip addressshutdownduplex autospeed auto!router ospf 1log-adjacency-changes redistribute static subnetsnetwork 192.168.1.0 0.0.0.255 area 0 network 192.168.3.0 0.0.0.255 area 0 !ip http serverno ip http secure-server!ip route 0.0.0.0 0.0.0.0 Serial1/0!!!!control-plane!!!!!!!!!!line con 0logging synchronousline aux 0line vty 0 4!!SPOKE 2 configurationHUBVPN2#sh runBuilding configuration...Current configuration : 1686 bytes!version 12.4service timestamps debug datetime msecservice timestamps log datetime msecno service password-encryption!hostname HUBVPN2!boot-start-markerboot-end-marker!!aaa new-model!!aaa authentication login xinjialove localaaa authorization network xinjialove local!aaa session-id common!resource policy!ip cef!!!!no ip domain lookup!!!!username cisco password 0 cisco!!!crypto isakmp policy 10hash md5authentication pre-sharegroup 2!crypto isakmp client configuration group xinjialove!crypto ipsec transform-set xinjialove esp-des esp-md5-hmac !crypto dynamic-map xinjialove 10set transform-set xinjialovereverse-route!!crypto map xinjialove client authentication list xinjialove crypto map xinjialove isakmp authorization list xinjialove crypto map xinjialove 10 ipsec-isakmp dynamic xinjialove !!!!interface FastEthernet0/0ip address 192.168.3.2 255.255.255.0duplex half!interface Serial1/0ip address 192.168.2.2 255.255.255.0serial restart-delay 0crypto map xinjialove!interface Serial1/1no ip addressshutdownserial restart-delay 0!interface Serial1/2no ip addressshutdownserial restart-delay 0!interface Serial1/3no ip addressshutdownserial restart-delay 0!interface FastEthernet2/0no ip addressshutdownduplex half!router ospf 1log-adjacency-changesredistribute static subnetsnetwork 192.168.0.0 0.0.255.255 area 0ip route 0.0.0.0 0.0.0.0 Serial1/0no ip http serverno ip http secure-server!!!logging alarm informational!!!!!control-plane!!line con 0logging synchronousstopbits 1line aux 0stopbits 1line vty 0 4!!EndSLB-server configurationSLB-server#sh runBuilding configuration...Current configuration : 1331 bytes!version 12.4service timestamps debug datetime msec service timestamps log datetime msecno service password-encryption!hostname SLB-server!boot-start-markerboot-end-marker!!no aaa new-model!resource policy!ip cefip slb serverfarm IPSECVPNreal 192.168.1.2weight 1maxconns 100inservicereal 192.168.2.2weight 1maxconns 100inservice!ip slb vserver IPSEC-ESPvirtual 172.16.2.1 udp 4500serverfarm IPSECVPNsticky 100 group 1 #sticky 配置用来避免同一个remote的IKE和IPSEC 路径不对称，而将他stick在一起inservice!ip slb vserver IPSEC-ISAKMPvirtual 172.16.2.1 udp 500serverfarm IPSECVPNsticky 100 group 1inservice!!!!!no ip domain lookup!!!!!!!!!!interface FastEthernet0/0no ip addressshutdownduplex half!interface Serial1/0ip address 172.16.2.1 255.255.255.0serial restart-delay 0!interface Serial1/1ip address 192.168.2.1 255.255.255.0serial restart-delay 0!interface Serial1/2ip address 192.168.1.1 255.255.255.0 serial restart-delay 0!interface Serial1/3no ip addressshutdownserial restart-delay 0!interface FastEthernet2/0no ip addressshutdownduplex half!ip route 0.0.0.0 0.0.0.0 Serial1/0no ip http serverno ip http secure-server!!!logging alarm informational!!!!!control-plane!!line con 0logging synchronousstopbits 1line aux 0stopbits 1line vty 0 4!!EndInternet configurationInternet#sh runBuilding configuration...Current configuration : 921 bytes!version 12.4service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption!hostname Internet!boot-start-markerboot-end-marker!!no aaa new-model!resource policy!ip cef!!!!no ip domain lookup!!!!!!!interface FastEthernet0/0no ip addressshutdownduplex half!interface Serial1/0ip address 172.16.1.2 255.255.255.0 serial restart-delay 0!interface Serial1/1ip address 172.16.2.2 255.255.255.0 serial restart-delay 0!interface Serial1/2ip address 172.16.3.2 255.255.255.0 serial restart-delay 0!interface Serial1/3no ip addressshutdownserial restart-delay 0!interface FastEthernet2/0no ip addressshutdownduplex half!no ip http serverno ip http secure-server!!!logging alarm informational!!!!!control-plane!!line con 0logging synchronousstopbits 1line aux 0stopbits 1line vty 0 4!!End测试1Spoke1 发起对VPNHUB的EZVPN连接SPOKE1#crypto ipsec client ezvpn connect xinjialoveSPOKE1#*Mar 1 00:02:38.235: EZVPN(xinjialove): Pending XAuth Request, Please enter thefollowing command:*Mar 1 00:02:38.239: EZVPN: crypto ipsec client ezvpn xauthSPOKE1#crypto ipsec client ezvpn xauthUsername: ciscoPassword:SPOKE1#*Mar 1 00:02:50.587: %CRYPTO-6-EZVPN_CONNECTION_UP: (Client) User= Group=xinj ialove Client_public_addr=172.16.1.1 Server_public_addr=172.16.2.1 NEM_Remote_Subnets=1.1.1.1/255.255.255.255SPOKE1#sh crypto isakmp sadst src state conn-id slot status172.16.2.1 172.16.1.1 QM_IDLE 1 0 ACTIVESLB-server#sh ip slb connsvserver prot client real state nat-------------------------------------------------------------------------------IPSEC-ESP UDP 172.16.1.1:4500 192.168.1.2 ESTAB S IPSEC-ISAKMP UDP 172.16.1.1:500 192.168.1.2 ESTAB S SLB-server#VPNHUB1#sh crypto isakmp sadst src state conn-id slot status192.168.1.2 172.16.1.1 QM_IDLE 1 0 ACTIVE连通性测试SPOKE1#ping 3.3.3.3 source loop 0Type escape sequence to abort.Sending 5, 100-byte ICMP Echos to 3.3.3.3, timeout is 2 seconds:Packet sent with a source address of 1.1.1.1!!!!!Success rate is 100 percent (5/5), round-trip min/avg/max = 216/251/288 msVPNHUB1#sh ip routeCodes: C - connected, S - static, R - RIP, M - mobile, B - BGPD - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter areaN1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2E1 - OSPF external type 1, E2 - OSPF external type 2i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2ia - IS-IS inter area, * - candidate default, U - per-user static routeo - ODR, P - periodic downloaded static routeGateway of last resort is 0.0.0.0 to network 0.0.0.01.0.0.0/32 is subnetted, 1 subnetsS 1.1.1.1 [1/0] via 172.16.1.1 #r HUBVPN1 reverse-route3.0.0.0/32 is subnetted, 1 subnetsO 3.3.3.3 [110/2] via 192.168.3.3, 00:21:59, FastEthernet0/0C 192.168.1.0/24 is directly connected, Serial1/0O 192.168.2.0/24 [110/65] via 192.168.3.2, 00:21:59, FastEthernet0/0C 192.168.3.0/24 is directly connected, FastEthernet0/0S* 0.0.0.0/0 is directly connected, Serial1/0VPNHUB1#Internal-clinet#sh ip routeCodes: C - connected, S - static, R - RIP, M - mobile, B - BGPD - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter areaN1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2E1 - OSPF external type 1, E2 - OSPF external type 2i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2ia - IS-IS inter area, * - candidate default, U - per-user static routeo - ODR, P - periodic downloaded static routeGateway of last resort is not set1.0.0.0/32 is subnetted, 1 subnetsO E2 1.1.1.1 [110/20] via 192.168.3.1, 00:21:37, FastEthernet0/0 #redistribute进OSPF 的HUBVPN1 reverse-route3.0.0.0/32 is subnetted, 1 subnetsC 3.3.3.3 is directly connected, Loopback0O 192.168.1.0/24 [110/65] via 192.168.3.1, 00:22:26, FastEthernet0/0O 192.168.2.0/24 [110/65] via 192.168.3.2, 00:22:26, FastEthernet0/0C 192.168.3.0/24 is directly connected, FastEthernet0/0Internal-clinet#测试二SPOKE2发起对VPNHUB的EZVPN连接SPOKE2#crypto ipsec client ezvpn connect xinjialoveSPOKE2#*Mar 1 00:26:16.363: EZVPN(xinjialove): Pending XAuth Request, Please enter thefollowing command:*Mar 1 00:26:16.367: EZVPN: crypto ipsec client ezvpn xauthSPOKE2#crypto ipsec client ezvpn xauthUsername: ciscoPassword:SPOKE2#*Mar 1 00:26:36.827: %CRYPTO-6-EZVPN_CONNECTION_UP: (Client) User= Group=xinjialove Client_public_addr=172.16.3.1 Server_public_addr=172.16.2.1 NEM_Remote_Subnets=2.2.2.2/255.255.255.255SPOKE2#SPOKE2#sh crypto isakmp sadst src state conn-id slot status172.16.2.1 172.16.3.1 QM_IDLE 1 0 ACTIVESPOKE2#SLB-server#sh ip slb connsvserver prot client real state nat-------------------------------------------------------------------------------IPSEC-ESP UDP 172.16.1.1:4500 192.168.1.2 ESTAB SIPSEC-ESP UDP 172.16.3.1:4500 192.168.2.2 ESTAB SIPSEC-ISAKMP UDP 172.16.1.1:500 192.168.1.2 ESTAB SIPSEC-ISAKMP UDP 172.16.3.1:500 192.168.2.2 ESTAB SSLB-server#HUBVPN2#sh crypto isakmp saIPv4 Crypto ISAKMP SAdst src state conn-id slot status192.168.2.2 172.16.3.1 QM_IDLE 1001 0 ACTIVEIPv6 Crypto ISAKMP SAHUBVPN2#连通性测试SPOKE2#ping 3.3.3.3 so loop 0Type escape sequence to abort.Sending 5, 100-byte ICMP Echos to 3.3.3.3, timeout is 2 seconds:Packet sent with a source address of 2.2.2.2!!!!!Success rate is 100 percent (5/5), round-trip min/avg/max = 336/1065/1604 msSPOKE2#HUBVPN2#sh ip routeCodes: C - connected, S - static, R - RIP, M - mobile, B - BGPD - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter areaN1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2E1 - OSPF external type 1, E2 - OSPF external type 2i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2ia - IS-IS inter area, * - candidate default, U - per-user static routeo - ODR, P - periodic downloaded static routeGateway of last resort is 0.0.0.0 to network 0.0.0.01.0.0.0/32 is subnetted, 1 subnetsO E2 1.1.1.1 [110/20] via 192.168.3.1, 00:28:45, FastEthernet0/0 #redistribute进OSPF 的HUBVPN1 reverse-route2.0.0.0/32 is subnetted, 1 subnetsS 2.2.2.2 [1/0] via 172.16.3.1 # HUBVPN2 reverse-route3.0.0.0/32 is subnetted, 1 subnetsO 3.3.3.3 [110/2] via 192.168.3.3, 00:29:24, FastEthernet0/0O 192.168.1.0/24 [110/65] via 192.168.3.1, 00:29:24, FastEthernet0/0C 192.168.2.0/24 is directly connected, Serial1/0C 192.168.3.0/24 is directly connected, FastEthernet0/0S* 0.0.0.0/0 is directly connected, Serial1/0Internal-clinet#sh ip routeCodes: C - connected, S - static, R - RIP, M - mobile, B - BGPD - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter areaN1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2E1 - OSPF external type 1, E2 - OSPF external type 2i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2ia - IS-IS inter area, * - candidate default, U - per-user static routeo - ODR, P - periodic downloaded static routeGateway of last resort is not set1.0.0.0/32 is subnetted, 1 subnetsO E2 1.1.1.1 [110/20] via 192.168.3.1, 00:29:07, FastEthernet0/0 #redistribute进OSPF 的HUBVPN1 reverse-route2.0.0.0/32 is subnetted, 1 subnetsO E2 2.2.2.2 [110/20] via 192.168.3.2, 00:04:50, FastEthernet0/0 #redistribute进OSPF 的HUBVPN2 reverse-route3.0.0.0/32 is subnetted, 1 subnetsC 3.3.3.3 is directly connected, Loopback0O 192.168.1.0/24 [110/65] via 192.168.3.1, 00:29:56, FastEthernet0/0O 192.168.2.0/24 [110/65] via 192.168.3.2, 00:29:56, FastEthernet0/0 C 192.168.3.0/24 is directly connected, FastEthernet0/0Internal-clinet#。
VPN中的IP地址冗余备份方案
VPN中的IP地址冗余备份方案IP地址冗余备份方案是为了提高VPN（虚拟专用网络）的稳定性和可靠性而设计的。
通过使用IP地址冗余备份方案，可以保证在主IP地址故障或不可用时，能够快速、自动地切换到备用IP地址，从而实现对VPN服务的持续和可靠的访问。
本文将介绍VPN中的IP地址冗余备份方案的原理、实施方法和应用场景。
一、IP地址冗余备份方案的原理IP地址冗余备份方案基于主备（或多备）IP地址的设定和管理。
主IP地址作为VPN服务的主要访问入口，而备用IP地址则作为冗余备份，当主IP地址发生故障时会自动接管服务，确保用户的连通性。
该方案重点在于快速、无缝地切换IP地址，以确保VPN服务不中断。
二、IP地址冗余备份方案的实施方法1. 设置主备IP地址：首先，需要在VPN服务器端设置主备IP地址。
主IP地址为VPN服务的正常访问入口，而备用IP地址则是用于主IP故障时的切换。
在设置时，需遵循一定的规则，如主备IP地址需在同一子网中，且具有相同的子网掩码。
2. 配置路由与转发：其次，需要在网络设备上配置相应的路由和转发规则，以确保数据包在主IP故障时能够自动切换到备用IP。
配置路由规则时，需要指定备用IP地址作为下一跳地址，以将流量引导至备用IP。
3. 实施IP地址切换机制：为了实现IP地址的快速切换，可以采用心跳机制或VRRP（虚拟路由冗余协议）等技术。
心跳机制通过周期性发送心跳信号，检测主IP的可用性，并在故障发生时触发IP地址切换。
而VRRP技术则通过设定虚拟路由器ID和优先级的方式，实现了备用IP地址的自动接管。
三、IP地址冗余备份方案的应用场景1. 企业VPN网络：在企业内部建立VPN网络时，为了确保员工能够稳定、可靠地访问内部资源，可采用IP地址冗余备份方案。
这样即使主IP地址发生故障，仍能保持VPN服务的连通性，提高员工工作效率。
2. 数据中心网络：在数据中心网络中，各种应用和服务往往对网络的稳定性有较高要求。
VPN中IP地址的高可用性和故障恢复策略
VPN中IP地址的高可用性和故障恢复策略在网络通信领域，虚拟专用网络（VPN）扮演着至关重要的角色。
VPN通过建立安全的隧道，使得远距离的网络可以连接在一起，并且保证数据的安全性和私密性。
然而，在VPN的运行过程中，IP地址的高可用性和故障恢复策略是一个至关重要的问题。
本文将探讨VPN中IP地址的高可用性和故障恢复策略，并提供一些解决方案。
一、高可用性的概念与重要性高可用性是指系统或服务在面对特殊情况或故障时，依然能够保持正常运行的能力。
在VPN中，IP地址的高可用性是指即使在发生IP地址故障时，VPN服务依然能够持续提供稳定的连接。
保持高可用性可以帮助用户避免因为IP地址故障造成的连接中断，从而保证了用户的正常使用。
二、IP地址故障的原因在VPN中，IP地址故障主要有以下几个原因：1. 硬件故障：硬件设备故障是导致IP地址不可用的主要原因之一。
例如，路由器、交换机等设备出现故障将导致IP地址无法正常使用。
2. 软件故障：软件故障也是导致IP地址不可用的重要因素。
例如，操作系统出现问题、配置错误等情况都可能导致IP地址故障。
3. 网络故障：网络故障可能导致IP地址的不可用性。
例如，网络链路中断、拥堵等情况都可能导致IP地址无法正常工作。
三、提高IP地址的可用性的策略为了提高IP地址的可用性，VPN中可以采取以下几个策略：1. 备份机制：使用备份机制是提高IP地址可用性的常见手段。
通过备份机制，当主IP地址发生故障时，立即切换到备用IP地址，以保证VPN服务的持续性。
2. 加强硬件设备的冗余性：采用冗余设备可以大大提高IP地址的可用性。
例如，使用双机热备份的方式，当一台设备发生故障时，另一台设备会立即接管IP地址的分配和管理。
这样可以实现快速切换，并避免用户连接中断。
3. 使用负载均衡技术：负载均衡技术能够将用户请求均匀地分配到多个服务器上，从而减轻单一服务器的压力，提高整体的可用性。
在VPN中，采用负载均衡技术可以均衡分配用户的连接请求，降低单个服务器的负载，从而提高IP地址的可用性。
VPN中的IP地址冗余备份方式探讨
VPN中的IP地址冗余备份方式探讨随着互联网的发展和全球化的趋势，虚拟私人网络（VPN）的应用越来越普遍。
VPN通过加密通信与安全隧道来实现在公共网络上的数据传输，以保证用户数据的安全性和隐私。
在VPN中，IP地址冗余备份是一种常用的策略，旨在提高网络的可用性和容错性。
本文将探讨在VPN中常见的IP地址冗余备份方式及其优缺点。
一、主从备份方式主从备份方式是VPN中常用的一种IP地址冗余备份方式。
主设备担任正常的数据传输角色，而从设备则作为备份设备准备接管主设备的任务。
当主设备发生故障或无法正常工作时，从设备会立即接管主设备的工作，并继续提供服务。
主从备份方式的优点是简单易用、部署成本低，能够在主设备故障时快速切换，确保VPN服务的连续性。
然而，主从备份方式也存在一定的局限性，如在主设备故障后的切换过程中可能会出现数据丢失、服务中断等问题。
二、冗余备份方式冗余备份方式是另一种常见的IP地址冗余备份方式。
它通过在不同的设备上配置相同的IP地址，使得当某个设备发生故障或无法正常工作时，其他设备可以立即接管并继续提供服务。
冗余备份方式的优点是可以实现无感知的切换，用户不会察觉到服务的中断，因为IP地址保持不变。
然而，冗余备份方式也存在一些问题，如配置复杂、带宽浪费等。
此外，当多个设备同时发生故障时，冗余备份方式无法提供有效的解决方案。
三、链路备份方式链路备份方式是VPN中的另一种IP地址冗余备份方式。
它通过在不同的链路或接口上配置多个虚拟IP地址，实现链路级别的冗余。
当某个链路故障或不可用时，VPN会自动切换到另一个可用的链路，并使用相应的虚拟IP地址进行通信。
链路备份方式的优点是可以充分利用多个链路的带宽，提高VPN的性能和可靠性。
但是，链路备份方式也存在一些缺点，如配置复杂、网络负载不均衡等。
四、自适应备份方式自适应备份方式是一种更高级的IP地址冗余备份方式，在VPN中得到了广泛应用。
它通过智能算法和监测机制来实现备份设备的动态选择和自动切换。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
ipsec-vpn高可用性链路冗余备份实例标题：ipsec vpn的高可用性目的：实现vpn链路的冗余备份拓扑：步骤：1.按照拓扑给路由器的接口分配地址Ip地址规划Branch上branch(config)#int f0/0branch(config-if)#ip add 202.100.1.1 255.255.255.0branch(config-if)#no shbranch(config-if)#int lo 0branch(config-if)#ip add 1.1.1.1255.255.255.0isp上isp(config)#int f0/1isp(config-if)#ip add 202.100.1.10 255.255.255.0isp(config-if)#no shisp(config-if)#int f0/0isp(config-if)#ip add 61.128.1.10 255.255.255.0isp(config-if)#no shisp(config-if)#int f1/0isp(config-if)#ip add 137.78.5.10 255.255.255.0isp(config-if)#no shactive上active(config)#int f0/1active(config-if)#ip add 61.128.1.1 255.255.255.0active(config-if)#int f0/0active(config-if)#ip add 10.1.1.10 255.255.255.0active(config-if)#no shstandby上standby(config)#int f0/1standby(config-if)#ip add 137.78.5.1 255.255.255.0standby(config-if)#no shstandby(config-if)#int f0/0standby(config-if)#ip add 10.1.1.20 255.255.255.0standby(config-if)#no shinside上inside(config)#int f0/1inside(config-if)#ip add 10.1.1.1 255.255.255.0inside(config-if)#int lo 0inside(config-if)#ip add 2.2.2.2 255.255.255.0测试直连路由是否可达2.Center中运行动态路由企业内部网络都会运行一种动态路由协议，保障内网用户底层可达Active上active(config)#router ospf 1active(config-router)#network 10.1.1.00.0.0.255 area 0standby上standby(config)#router ospf 1standby(config-router)#network 10.1.1.0 0.0.0.255 area 0inside上inside(config)#router ospf 1inside(config-router)#network 10.1.1.0 0.0.0.255 area 0inside(config-router)#network 2.2.2.0 0.0.0.255 a 03.建立vpn企业网络的边界路由一般使用缺省路由指向互联网首先解决路由问题Branch上Active上Standby上测试连通性然后定义第一阶段的协商策略和认证定义协商策略和认证：认证方式为预共享密钥；配置预共享的key，vpn两端必须一致；为了实现vpn链路的冗余备份，因此需要分支指向中心不同的边界网关，预共享key可以相同，也可以不同Branch上branch(config)#crypto isakmp policy 10branch(config-isakmp)#authentication pre-sharebranch(config)#crypto isakmp key 0 cisco address 61.128.1.1branch(config)#crypto isakmp key 0 h3c address 137.78.5.1定义协商策略和认证：认证方式为预共享密钥；配置预共享的key，vpn两端必须一致active上active(config)#crypto isakmp policy 10active(config-isakmp)#authentication pre-shareactive(config)#crypto isakmp key 0 cisco address 202.100.1.1standby上standby(config)#crypto isakmp policy 10standby(config-isakmp)#authentication pre-sharestandby(config)#crypto isakmp key 0 h3c address 202.100.1.1在branch、active和standby上开启DPD开启DPD，即死亡邻居检测。
以周期性（每10秒）的发送keepalive 报文探测vpn链路或者vpn设备是否工作正常，以实现一个快速的切换定义第二阶段的加密策略定义加密策略：配置感兴趣流，配置转换集（des 加密，MD5认证，隧道模式）Branch上branch(config)#ip access-list extended vpnbranch(config-ext-nacl)#permit ip 1.1.1.00.0.0.255 2.2.2.0 0.0.0.255branch(config)#crypto ipsec transform-set trans esp-des esp-md5-hmacbranch(cfg-crypto-trans)#mode tunnel active上active(config)#ip access-list extended vpnactive(config-ext-nacl)#permit ip 2.2.2.00.0.0.255 1.1.1.0 0.0.0.255active(config)#crypto ipsec transform-set trans esp-des esp-md5-hmacactive(cfg-crypto-trans)#mode tunnel standby上standby(config)#ip access-list extended vpnstandby(config-ext-nacl)#permit ip 2.2.2.00.0.0.255 1.1.1.0 0.0.0.255standby(config)#crypto ipsec transform-set trans esp-des esp-md5-hmacstandby(cfg-crypto-trans)#mode tunnel 定义加密图定义加密图：匹配感兴趣流，转换集，配置peer （为实现冗余备份，分支需要与中心的多个边界建立vpn，先匹配的先建立vpn，然后依次建立【default：不加时，当活动链路down掉后，从首到尾依次检查；加上时，以“圆”的形式检查）Branch上branch(config)#crypto map cisco 10 ipsec-isakmp branch(config-crypto-map)#match address vpnbranch(config-crypto-map)#set transform-set transbranch(config-crypto-map)#set peer 61.128.1.1 defaultbranch(config-crypto-map)#set peer 137.78.5.1定义加密图：匹配感兴趣流，转换集，配置peer，启用反向路由注入，并给RRI动态产生的路由打上tag 10，解决链路备份的回包问题。
active上active(config)#crypto map cisco 10 ipsec-isakmp active(config-crypto-map)#match address vpnactive(config-crypto-map)#set transform-set transactive(config-crypto-map)#set peer 202.100.1.1 active(config-crypto-map)#reverse-routeactive(config-crypto-map)#set reverse-route tag 10standby上standby(config)#crypto map cisco 10 ipsec-isakmpstandby(config-crypto-map)#match address vpnstandby(config-crypto-map)#set transform-set transstandby(config-crypto-map)#set peer 202.100.1.1standby(config-crypto-map)#reverse-route standby(config-crypto-map)#setreverse-route tag 10接口调用接口调用加密图，当内网的通信点与vpn对端的通信点进行通信，会触发连接internet的接口（加密点），对数据加密，以保障数据在internet网络中传输时的安全，vpn对端接口则会解密、验证，如果认证通过，数据传输；不通过，直接丢弃Branch上branch(config)#int f0/0branch(config-if)#crypto map cisco active上active(config)#int f0/1active(config-if)#crypto map cisco standby上standby(config)#int f0/1standby(config-if)#crypto map cisco 在active和standby上配置route-map利用route-map来匹配上tag 10的路由active(config)#route-map s2o permit 10 active(config-route-map)#match tag 10standby(config)#route-map s2o permit 10 standby(config-route-map)#match tag 10在active和standby上将route-map在OSPF中通告将route-map重发布进ospf，通告所有内网用户active(config)#router ospf 1active(config-router)#redistribute static route-map s2o subnetsstandby(config)#router ospf 1standby(config-router)#redistribute static route-map s2o subnets4.测试链路是否建立成功首先在active上查看加解密包的个数再查看静态路由RRI，反向路由注入，即指那一台路由器上有ipsec sa，做了启用的反向路由注入，就会在本地路由器上自动产生一条目标是对端通信点，下一跳为对端加密点的静态路由。