В формируемой политике необходимо указать:
• список доступа для трафика, который нужно защищать;
• адрес партнера по IPsec;
• используемую IKE политику;
• используемый набор преобразований протокола ESP.
В cisco-like конфигурации
В интерфейсе командной строки создание политики IPsec выполняется с помощью команды crypto map, которая осуществляет переход в режим настройки криптографических карт.
Создание набора динамических криптографических карт в интерфейсе командной строки осуществляется командой crypto dynamic map.
Например:
crypto map VPN 1 ipsec-isakmp
match address IPV4_LIST
match ipv6 address IPV6_LIST
set peer 172.16.100.2
set peer ipv6 2023:1234:5678:2b::2
set transform-set SOME_IPSEC-V1_PROPOSAL
set isakmp-profile SOME_ISAKMP_PROFILE
В LSP-конфигурации
В LSP конфигурации возможно задание параметров для ISAKMP SA версии 1 и 2.
Для IPsec SA версии 1:
В конфигурационном файле структура IPsecAction определяет режим использования IPsec и список предлагаемых наборов преобразований IPsec.
IPsecAction IPsecAction:VPN:1 (
TunnelingParameters = TunnelEntry(
PeerAddress = 172.16.100.2
),
IPv6TunnelEntry(
PeerAddress = 2023:1234:5678:2b::2
)
ContainedProposals = ( SOME_IPSEC-V1_PROPOSAL:ESP )
DFHandling = COPY
IKERule = IKERule:VPN:1
)
Для IPsec SA версии 2:
В конфигурационном файле структура IPsecAction2 определяет режим использования IPsec и список предлагаемых наборов преобразований IPsec.
IPsecAction2 IPsecAction:VPN:2 (
TunnelingParameters = TunnelEntry(
PeerAddress = 172.16.100.2
),
IPv6TunnelEntry(
PeerAddress = 2023:1234:5678:2b::2
)
ContainedProposals = SOME_IPSEC-V2_PROPOSAL:ESP
IKERule = IKERule:VPN:2
)
Завершающим этапом настройки является привязка сконфигурированной политики IPsec к интерфейсу. Описание настроек можно посмотреть в разделе «Настройка сетевых интерфейсов».