Как организовать защищенные соединения между подразделениями с помощью IPsec?

Question

[Scalpel7152]

есть 4 роутера, соединенные центральным роутером. нужно настроить шифрование только от всех компьютеров ко всем серверам. маршрутизация везде OSPF. Начал настраивать ipsec с помощью crypto map, но оказалось, что только одну мапу можно привязать к физическому интерфейсу,а мне получается нужно на три мапы на интерфейс. куда вообще копать, чтоб реализовать это? попрошу объяснить детальнее, так как не силен еще в этом, либо может мануал какой посоветуете?

Answer 1

[Strabbo]

В крипто меп можно засунуть мого пиров. А вообще удобнее делать без крипто меп на физическом интерфейсе. Делайте обычный гре тунель и вешай на него tunnel protection ipsec profile. Таким образом крипто меп сам будет автоматически создаваться

Comments

[Scalpel7152]

а match address тоже может быть не один?

[Strabbo]

Scalpel7152, нет, но в матч адресс записывается аксес лист, а там уже можно прописать несколько направлений. Можно сделать так, как написал Валентин ниже. Просто с криптомапами при большо количестве роутеров возникнет путаница, поэтому лучше делать тунель gre или ipip и на него вешать ipsec. Дальше уже роутить вашим оспф-ом

Answer 2

[Вадим Чопоров]

Сделайте на Router-PT по 1 крипто мапе на каждый интерфейс, смотрящий на свой офис, и на конечных роутерах по 1 крипто мапе на интерфейс смотрящий на Router-PT. Дальше маршруты все через этот центральный роутер должны построится, да и все.
Поправьте меня сетевики, если я не прав.)

Answer 3

[Валентин]

Ну так вы нарисуйте, какие между какими узлами ipsecи хотите. А так хоть криптомапы и пишутся одна на интерфейс, но поддерживает синтаксис с несколькими записями, где можно связывать ACL с трансформ-сетами, по аналогии с полиси-мапами или аксес листами, через циферки.

Comments

[Scalpel7152]

получается между всеми роутерами:
Router1-Router2
Router1-Router3
Router1-Router4
и
Router2-Router1
Router2-Router3
Router2-Router4

[Валентин]

Scalpel7152,
Вот пример
Обратите внимание на 20
crypto map outsidemap 20 ipsec-isakmp