set tcp-encapsulation (crypto map)
set tcp-encapsulation (crypto map)
Команда set tcp-encapsulation on включает режим инкапсуляции IKE и IPsec пакетов в TCP для инициатора при работе с любым партнером. Если инкапсуляция требуется для конкретных партнеров, то для них используются команды set peer и set peer ipv6. Команда no set tcp-encapsulation отключает режим инкапсуляции.
Синтаксис set tcp-encapsulation on no set tcp-encapsulation | |
Режим команды | Crypto map configuration |
Значение по умолчанию | по умолчанию инкапсуляция не выполняется. |
Ограничения | • Команда не предназначена для использования в транспортном режиме. (При использовании в наборе преобразований transform-set — mode transport TCP-инкапсуляция не применяется.) • Команда не совместима с командой set pre-fragmentation (crypto map). |
Рекомендации по использованию | • Включать TCP-инкапсуляцию нужно, если канал между Шлюзом и Клиентом не пропускает IKE и IPsec пакеты, так как операция TCP-инкапсуляции может значительно влиять на производительность Шлюза. Количество Клиентов с TCP-инкапсуляцией, подключаемых к одному Шлюзу, рекомендуется выставлять на уровне 10% от общего числа подключаемых Клиентов. • Если инициатор соединения предлагает построить SA в режиме TCP-инкапсуляции, то для ответчика устанавливать этот режим не нужно: партнер всегда соглашается на построение такого SA. Необходимо создать списки доступа, пропускающие TCP-инкапсулированный трафик. Например: ip access-list extended filter-acl-ipv4 permit udp host 192.168.1.1 eq 500 any permit udp host 192.168.1.1 eq 4500 any permit tcp host 192.168.1.1 eq 8080 any permit tcp host 192.168.1.1 any eq 8080 ipv6 access-list filter-acl-ipv6 permit udp host 10::1 eq 500 any permit udp host 10::1 eq 4500 any permit tcp host 10::1 eq 8080 any permit tcp host 10::1 any eq 8080 crypto map ipsec-crypto-map-1 1 ipsec-isakmp set tcp-encapsulation on interface GigabitEthernet0/1 ip access-group filter-acl-ipv4 in ipv6 access-group filter-acl-ipv6 in crypto map ipsec-crypto-map-1 • Для успешного создания TCP-соединения, у партнеров по соединению должны совпадать параметры, задающие TCP-порт в файле vpnproxy.ini: • Если на шлюзе в файле /opt/VPNagent/etc/vpnproxy.ini в секции HTTP значение параметра LocalPort отличается от установленного по умолчанию (8080) и не равно 0, то на стороне партнера значение TCP-порта, заданное в файле vpnproxy.ini в секции Internal NAT для параметра DefaultTCPPort, должно совпадать со значением LocalPort на шлюзе. • Параметр LocalPort задает TCP-порт для прослушивания внешних HTTP-запросов и создания новых TCP соединений в режиме ответчика (сервера). • Параметр DefaultTCPPort задает TCP-порт партнёра для создания новых TCP соединений в режиме инициатора (клиента). • В случае построения SA с использованием TCP-инкапсуляции команда set re-route on игнорируется. |