Ip sec

1era fase isakmap policy 10

esta fase tambien comparte su llave
para mandar clave a router vecino
paa activar licencia enrouter
license boot module c1900 technology-package securityk9

Vpn usa obligatoriamente ACL extendido

-------------------------
1era fase
config)license boot module c1900 technology-package securityk9
config)yes
config)wr
config)reload
config)crypto isakmp policy 30
(config-isakmp)hash sha
(config-isakmp)encryption aes
(config-isakmp)authentication pre-share
(config-isakmp)group 5
(config-isakmp)exit
config)crypto isakmp key VPNCCNA4 address 200.29.27.18

2da fase
(config)#crypto ipsec transform-set Zamora esp-aes esp-sha-sh
(config)#crypto ipsec transform-set Zamora esp-aes esp-sha-hmac
(config)#ip access-list extended ACLZAMORA
(config-ext-nacl)#permit ip 172.18.20.0 0.0.0.255 192.168.20.0 0.0.0.15

-----------------fase dos--------------------------------------------
(config)# crypto map VPNSANTIAGO 20 ipsec-isakmap
(config-crypto-map)#match address ACLZAMORA
(config-crypto-map)#set transform-set Zamora
(config-crypto-map)#set peer 200.29.27.18
(config-crypto-map)#exit
(config)#int gi 0/0 -----para activar vpn Siempre interface que va hacia internet
(config-if)#crypto map VPNSANTIAGO----- para activar vpn

cry
difi helmat 1 , 2 o 5 en fase 2

(config-crypto-map)#set pfs "1 , 2 o 5 segun el grupo"

(config-crypto-map)#set security-association lifetime "segundos"

--------------------------------------------------------------
Router sanbernardo

SANTIAGO#debug crypto isakmp

SANTIAGO#debug crypto ipsec
--------------------------------------------------------------
Para verificar establecimiento de fase 2
#show crypto ipsec sa
#show crypto isakmap sa
--------------------------------------------------------------
Que puerto Utiliza una VPN
utiliza el puerto 500 tcp/udp
--------------------------------------------------------------
Todos los paquetes de vpn ipsec
Viajan encryptados y requiere de un ACL para conocer sus redes
Vecinas y no de una ruta.
---------------------------------------------------------------
Tunnel gree va ruteado por iproute
y no es seguro ya que no es cifrado el trafico de datos.
---------------------------------------------------------------
ACL permitir redes lan denegar sumarizacion de redes
-----
(config)#ip access-list ex NAVEGACION
(config)#permit ip 10.10.10.0
La prioridad del router siempre sera nat luego vpn