Синтаксис

set peer {ipv4-address|hostname} [tcp-encapsulation on]

no set peer {ipv4-address|hostname} [tcp-encapsulation on]

set peer any

no set peer any

ipv4-address

IPv4-адрес партнера по защищенному соединению

hostname

DNS-имя партнера по защищенному соединению (указывается без кавычек).

any

any - любой адресс парнера.

Может использоваться только в динамической криптокарте (см crypto dynamic-map). Необязательная команда.

•      Если в динамической криптокарте peer не задан, то считается, что у партнера может быть только IPv4 адрес.

•      Для разрешения создания соединения только с IPv6 адресами необходимо задать команду:

set peer ipv6 any

•      Для разрешения создания соединения с IPv4 и с IPv6 адресами необходимо задать команды:

set peer any

set peer ipv6 any

•      В динамической криптокарте допускается сочетание команд (set peer any и set peer ipv6 ipv6-address) или (set peer ipv6 any и set peer ip-address).

Например:

set peer any

set peer ipv6 1:2::3

set peer ipv6 10:20::33

 или

set peer ipv6 any

set peer 102.34.6.89

•      В динамической криптокарте запрещается сочетание команд set peer [ipv6] any и set peer [ipv6] ip-address.

Например:

set peer any

set peer ipv6 1:2::3

set peer ipv6 any //Ошибочная команда!

tcp-encapsulation on

используется для включения режима заворачивания IPsec пакетов в TCP для инициатора. Для исполнений ПК «С-Терра Шлюз DP ST» эта команда не используется.

Если требуется, чтобы инициатор сначала пробовал создать соединение без инкапсуляции, и только в случае неудачи применял инкапсуляцию, необходимо задать две команды для одного партнера:

set peer 100.0.0.1

set peer 100.0.0.1 tcp-encapsulation on

Режимы команды

Crypto map configuration

Значение по

умолчанию

отсутствует

Рекомендации по

использованию

•      Данная команда используется для указания партнера по защищенному взаимодействию в криптографической карте.

•      Эта команда требуется для всех статических криптографических карт. Для динамических карт эта команда не обязательна и, в большинстве случаев, не используется (потому что в основном партнер неизвестен).

•      Можно назначить несколько партнеров путем повторения выполнения команды. Попытка создать SA будет предпринята с партнером, заданным первым. Если попытка не удается для первого партнера, IKE пробует обратиться к следующему партнеру из списка криптографической карты.

Примечание

при использовании set peer hostname присутствуют серьезные ограничения.

В этом случае допускаются только конфигурации, при конвертации которых получаются LSP с одной единственной IKERule:

•      одна единственная crypto map с одним единственным set peer;

•      одна единственная crypto map с несколькими set peer, у которых полностью совпадают параметры аутентификации: сертификат и/или один и тот же preshared key.

•      Если эти условия не соблюдаются, выдается сообщение об ошибке

MSG_ID_CSCONV_PEER_HOSTNAME_COMPLEX_CONF:
[MSG_ID_CSCONV_PEER_HOSTNAME_COMPLEX_CONF]

!!! Присутствует команда set peer с hostname. При этом конфигурация сложная !!! и потенциально неоднозначная.

SEVERITY= ERR

INDEX   = 0x00733A09

TMPL    = There is a "set peer" command with a hostname. But configuration is too complex and potentially ambiguous

Пример

Ниже приведен пример с минимальными требованиями настройки параметров криптографической карты с использованием IKE для создания SA.

Router(config)#crypto map mymap 10 ipsec-isakmp

Router(config-crypto-map)#match address 101

 Router(config-crypto-map)#set transform-set my_t_set1

 Router(config-crypto-map)#set peer 10.0.0.1