set peer ipv6 (crypto map)

Синтаксис

set peer ipv6 {ipv6-address|hostname} [tcp-encapsulation on]

no set peer ipv6 {ipv6-address|hostname} [tcp-encapsulation on]

set peer ipv6 any

no set peer ipv6 any

ipv6-address

IPv6-адрес партнера по защищенному соединению

hostname

DNS-имя партнера по защищенному соединению (указывается без кавычек).

any

any - любой адресс парнера.

Может использоваться только в динамической криптокарте (см crypto dynamic-map). Необязательная команда.

• Если в динамической криптокарте peer не задан, то считается, что у партнера может быть только IPv4 адрес.

• Для разрешения создания соединения только с IPv6 адресами необходимо задать команду:

set peer ipv6 any

• Для разрешения создания соединения с IPv4 и с IPv6 адресами необходимо задать команды:

set peer any

set peer ipv6 any

• В динамической криптокарте допускается сочетание команд (set peer any и set peer ipv6 ipv6-address) или (set peer ipv6 any и set peer ip-address).

Например:

set peer any

set peer ipv6 1:2::3

set peer ipv6 10:20::33

или

set peer ipv6 any

set peer 102.34.6.89

• В динамической криптокарте запрещается сочетание команд set peer [ipv6] any и set peer [ipv6] ip-address.

Например:

set peer any

set peer ipv6 1:2::3

set peer ipv6 any //Ошибочная команда!

tcp-encapsulation on

используется для включения режима заворачивания IPsec пакетов в TCP для инициатора. Для исполнений ПК «С-Терра Шлюз DP ST» эта команда не используется.

Если требуется, чтобы инициатор сначала пробовал создать соединение без инкапсуляции, и только в случае неудачи применял инкапсуляцию, необходимо задать две команды для одного партнера:

set peer 10::1

set peer 10::1 tcp-encapsulation on

Режимы команды

Crypto map configuration

Значение по

умолчанию

отсутствует

Рекомендации по

использованию

• Данная команда используется для указания партнера по защищенному взаимодействию в криптографической карте.

• Эта команда требуется для всех статических криптографических карт. Для динамических карт эта команда не обязательна и, в большинстве случаев, не используется (потому что в основном партнер неизвестен).

• Можно назначить несколько партнеров путем повторения выполнения команды. Попытка создать SA будет предпринята с партнером, заданным первым. Если попытка не удается для первого партнера, IKE пробует обратиться к следующему партнеру из списка криптографической карты.

Примечание

при использовании set peer ipv6 hostname присутствуют серьезные ограничения.

В этом случае допускаются только конфигурации, при конвертации которых получаются LSP с одной единственной IKERule:

• одна единственная crypto map с одним единственным set peer;

• одна единственная crypto map с несколькими set peer, у которых полностью совпадают параметры аутентификации: сертификат и/или один и тот же preshared key.

• Если эти условия не соблюдаются, выдается сообщение об ошибке

MSG_ID_CSCONV_PEER_HOSTNAME_COMPLEX_CONF:
[MSG_ID_CSCONV_PEER_HOSTNAME_COMPLEX_CONF]

!!! Присутствует команда set peer с hostname. При этом конфигурация сложная !!! и потенциально неоднозначная.

SEVERITY= ERR

INDEX = 0x00733A09

TMPL = There is a "set peer" command with a hostname. But configuration is too complex and potentially ambiguous

Пример

Ниже приведен пример с минимальными требованиями настройки параметров криптографической карты с использованием IKE для создания SA.

Router(config)#crypto map mymap 10 ipsec-isakmp

Router(config-crypto-map)#match address 101

Router(config-crypto-map)#set transform-set my_t_set1

Router(config-crypto-map)#set peer ipv6 1:2::3