H3C命令

第一阶段：匹配流量（ACL）

acl advanced 3000

rule 5 permit ip source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255

第二阶段：ike策略协商

ike proposal 1 （IKE策略1）

encryption-algorithm 3des-cbc /*对称密钥是3DES算法*/

dh group2 /*公钥是1024位*/

authentication-algorithm md5 /*哈希算法是MD5*/

authentication-method pre-share /*身份验证采用预共享密钥方式*/

ike keychain key1 （指明两端IP地址和预共享密钥）

match local address 12.1.1.1 /*本端地址*/

pre-shared-key address 12.1.1.2 255.255.255.0 key simple 123456 /*对端地址和 预共享密钥123456*/

ike profile 1 /*用ike-profile对密钥和ike汇总*/

keychain key1 /*调用密钥 key1*/

local-identity address 12.1.1.1

match remote identity address 12.1.1.2 255.255.255.0

proposal 1 /*调用ike proposal 1*/

第三阶段：ipsec sa协商

ipsec transform-set ipsec1 /*ipsec sa 协商加密算法和哈希算法*/

esp encryption-algorithm 3des-cbc /*ipsec sa加密算法*/

esp authentication-algorithm md5 /*ipsec sa哈希算法*/

第四阶段：ike与ipsec相互关联

ipsec policy map 1 isakmp /*用map对IKE-profile、IPsec、感兴趣流汇总*/

transform-set ipsec1 /*调用ipsec sa*/

security acl 3000 /*匹配感兴趣流*/

remote-address 12.1.1.2

ike-profile 1 /*调用ike-profile*/

第五阶段：应用到出接口

int g0/0

ipsec apply policy map /*在接口调用map*/

HUAWEI命令

第一阶段：匹配流量

acl number 3000

rule 5 permit ip source 192.168.2.0 0.0.0.255 destination 192.168.1.0 0.0.0.255

第二阶段：ike策略协商

ike proposal 1

encryption-algorithm 3des-cbc

authentication-algorithm md5

dh group2

authentication-method pre-share

ike peer 1 /*ike 默认是混合模式V1V2*/

pre-shared-key 123456

remote-address 12.1.1.1

ike-proposal 1

undo v2

第三阶段：ipsec sa协商

ipsec proposal ipsec1

encapsulation-mode tunnel

transform esp

esp authentication-algorithm md5

esp encryption-algorithm 3des

第四阶段：ike与ipsec相互关联

ipsec policy map 1 isakmp

security acl 3000

ike-peer 1

proposal ipsec1

第五阶段：应用到出接口

interface GigabitEthernet0/0/1

ipsec policy map

CISCO命令

第一阶段：匹配流量

access-list 100 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255

第二阶段：ike策略协商

crypto isakmp policy 1

encr 3des

authentication pre-share

group 5

hash md5

crypto isakmp key cisco address 23.1.1.3

第三阶段：ipsec sa协商

crypto ipsec transform-set ipsec1 esp-3des esp-sha-hmac

mode tunnel

第四阶段：ike与ipsec相互关联

crypto map map1 1 ipsec-isakmp

set peer 23.1.1.3

set transform-set ipsec1

match address 100

第五阶段：应用到出接口

interface FastEthernet1/0

crypto map map1