cisco asa l2tp over ipsec 配置詳解

                            Cisco  ASA L2TP over IPSEC 配置詳解

1 創建×××地址池

   ciscoasa(config)# ip local pool ***pool 192.168.151.11-192.168.151.15 mask 255.255.255.0

2 配置Ipsec 加密算法為3DES和SHA

  ciscoasa(config)# crypto ipsec transform-set TRANS_ESP_3DES_SHA esp-3des esp-sha-hmac

3 配置IPSec傳輸模式為transport，默認為tunnel 模式(L2TP 只支持transport)

  Ciscoasa（config）#crypto ipsec transform-set TRANS_ESP_3DES_SHA mode transport

4 使用傳輸組定義動態加密策略

  Ciscoasa(config)# crypto dynamic-map outside_dyn_map 10 set transform-set TRANS_ESP_3DES_SHA

5 定義加密映射并應用到外網接口上(outside)

    #crypto map outside_map 10 ipsec-isakmp dynamic outside_dyn_map

#crypto map outside_map interface outside

 6 外網接口上開啟isakmp策略支持

Ciscoasa(config) crypto isakmp enable outside

 7  定義isakmp 策略

     Ciscoasa(config)# crypto  isakmp   policy   10

     ciscoasa(config-isakmp-policy)# authentication  pre-share

     ciscoasa(config-isakmp-policy)# encryption  3des 

     ciscoasa(config-isakmp-policy)# hash sha

     ciscoasa(config-isakmp-policy)# group  2

     ciscoasa(config-isakmp-policy)# lifetime 86400

     ciscoasa(config-isakmp-policy)# exit

  8 設置nat 穿越

     ciscoasa(config)# crypto  isakmp   nat-traversal  10

  9 配置默認內部組策略

     ciscoasa(config)# group-policy   DefaultRAGroup  internal

  10 配置默認內部組策略屬性

     ciscoasa(config)# group-policy DefaultRAGroup attributes

     ciscoasa(config-group-policy)# ***-tunnel-protocol   IPSec   l2tp-ipsec

     ciscoasa(config-group-policy)# default-domain  value  cisco.com

     ciscoasa(config-group-policy)# dns-server  value 202.96.209.133

注：配置L2TP over IPsec為***隧道的協議，必須要加IPSec，只有l2tp-ipsec，***是撥不通的

  11創建本地用戶，及為用戶配置密碼，并指明加密算法

ciscoasa(config)# username  frank password   frank  mschap 

  12 創建默認的隧道組，一定要使用defaultRAGroup，L2TP不支持其他組，并定義認證方式為本地。

ciscoasa(config)# tunnel-group  DefaultRAGroup general-attributes

ciscoasa(config-tunnel-general)# authentication-server-group   LOCAL

ciscoasa(config-tunnel-general)# default-group-policy  DefaultRAGroup

ciscoasa(config-tunnel-general)#address-pool ***pool

ciscoasa(config-tunnel-general)#exit

13 制定用戶所在的組策略

ciscoasa(config-tunnel-general)#username frank attributes

ciscoasa(config-username)# ***-group-policy DefaultRAGroup

ciscoasa(config-username)# ***-tunnel-protocol  IPSec l2tp-ipsec

ciscoasa(config-username)# exit

14  配置默認隧道組的ipsec屬性,并配置默認隧道組認證方式為ms-chap-v2

     ciscoasa(config)# tunnel-group   DefaultRAGroup  ppp-attributes

     ciscoasa(config-ppp)#  authentication   ms-chap-v2

     ciscoasa(config-ppp)#exit

15  客戶端設置

     Win 7 需要修改注冊表

      [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgent]

"AssumeUDPEncapsulationContextOnSendRule"=dword:00000002

16 在客戶端上創建連接到工作區域××× 連接，并設置*** 的屬性