Я был смущен этим в прошлом, поэтому я попытался рассказать об этом ниже.
Фаза I Срок службы:
Время жизни фазы I на маршрутизаторах Cisco IOS управляется глобальной политикой ISAKMP. Однако это не обязательное поле, если вы не введете значение, по умолчанию маршрутизатор будет использовать 86400 секунд.
crypto isakmp policy 1
lifetime <value>
Чтобы проверить срок действия конкретной политики, вы можете выполнить команду show crypto isakmp policy
:
TEST-1861#show crypto isakmp policy
Global IKE policy
Protection suite of priority 1
encryption algorithm: AES - Advanced Encryption Standard (256 bit keys).
hash algorithm: Secure Hash Standard
authentication method: Pre-Shared Key
Diffie-Hellman group: #5 (1536 bit)
lifetime: 86400 seconds, no volume limit
В соответствии с Cisco в отношении этой команды show (это только для времени жизни isakmp): «Обратите внимание, что хотя выходные данные показывают« без ограничения громкости »для времени жизни, вы можете настроить только время жизни (например, 86 400 секунд); объем -лимиты времени не настраиваются ".
Фаза II Срок службы:
Время жизни фазы II может управляться на маршрутизаторе Cisco IOS двумя способами: глобально или локально на самой криптографической карте. Как и в случае времени жизни ISAKMP, ни одно из этих полей не является обязательным. Если вы не настроите их, маршрутизатор по умолчанию использует время жизни IPSec до 4608000 килобайт / 3600 секунд.
Глобальная конфигурация:
crypto ipsec security-association lifetime [seconds|kilobytes] <value>
Это изменяет настройку для всех IPSec SA на этом маршрутизаторе.
Чтобы проверить глобальное время жизни IPSec, введите show crypto ipsec security-association lifetime
команду:
TEST-1861#show crypto ipsec security-association lifetime
Security association lifetime: 4608000 kilobytes/3600 seconds
Конфигурация криптокарты:
Если вам нужно изменить время жизни IPSec для одного соединения, но не для всех других на маршрутизаторе, вы можете настроить время жизни в записи Crypto Map:
crypto map <map-name> <sequence-number> ipsec-isakmp
set security-association lifetime [seconds|kilobytes] <value>
Чтобы проверить это индивидуальное значение времени жизни Crypto Map, используйте show cyrpto map
команду (выходные данные приведены для ясности):
TEST-1861#show crypto map
Crypto Map "test-map" 1 ipsec-isakmp
Peer = 67.221.X.X
Extended IP access list Crypto-list
access-list Crypto-list permit ip 172.20.0.0 0.0.0.255 10.0.0.0 0.255.255.255
access-list Crypto-list permit ip 172.20.0.0 0.0.0.255 192.168.0.0 0.0.255.255
Current peer: 67.221.X.X
Security association lifetime: 4608000 kilobytes/3600 seconds
(Если вам нужна дополнительная информация, в Руководстве по настройке безопасности Cisco IOS , в частности в разделах « Настройка сетевой безопасности IPSec и настройка протокола безопасности обмена ключами в Интернете» , более подробно рассматриваются соответствующие команды.)