Ipsec 远程访问 ×××     思科客户端。
 
 
说明： client 没有固定 ip ， server 分配一个内部 ip 给 client 。
两种 IKE 配置模式协商。
1 ：网关主动发起
2 ：客户端主动发起
三个步骤配置 IKE 模式。
1 ：定义一个 ip 地址池。
                                           Ip local pool test 192.168.1.100-192.168.1.200
2：在IKE配置中关联ip地址池
isakmp client configuration address-pool local test outside
3: 在加密图设置中，定义加密图和客户端协商 IKE 模式配置，是否客户端和网关发起这个过程。
                                           Crypto map mymap client configuration addreess initiate
 
扩展认证
认证在阶段 1 后阶段 2 前发生，没有 xauth ， IKE 仅能够认证一个设备
 
 
tunnel group: 为一组用户提供相同的策略。
ASA7.2 提供了四个缺省的 tunnel group  一个 LAN-TO-LAN 通道组（ DefaultL 2L ），一个远程访问通道组 (DefaultRAgroup) ，一个 WEB××× 通道组 (DefaultWEB×××Group) ，一个缺省的组策略。
 
 
远程访问 Ipsec×××  pix 配置
 
 
hostname(config)# interface ethernet0
hostname(config-if)# ip address 10.10.4 .200 255.255.0.0
hostname(config-if)# nameif outside
hostname(config)# no shutdown
hostname(config)# isakmp policy 1 authentication pre-share
hostname(config)# isakmp policy 1 encryption 3des
hostname(config)# isakmp policy 1 hash sha
hostname(config)# isakmp policy 1 group 2
hostname(config)# isakmp policy 1 lifetime 43200
hostname(config)# isakmp enable outside
hostname(config)# ip local pool testpool 192.168.0.10-192.168.0.15
hostname(config)# username testuser password 12345678
hostname(config)# crypto ipsec transform set FirstSet esp-3des esp-md5-hmac
hostname(config)# tunnel-group testgroup type ipsec-ra
hostname(config)# tunnel-group testgroup general-attributes
hostname(config-general)# address-pool testpool
hostname(config)# tunnel-group testgroup ipsec-attributes
hostname(config - ipsec)# pre-shared-key 44kkaol59636jnfx
hostname(config)# crypto dynamic-map dyn1 1 set transform-set FirstSet
 
hostname(config)# crypto dynamic-map dyn1 1 set reverse-route
hostname(config)# crypto map mymap 1 ipsec-isakmp dynamic dyn1
hostname(config)# crypto map mymap interface outside
hostname(config)# write memory