EZVPN 认证调用问题

aaa new-model                                                                      //步骤1 配置AAA认证
!
1 ]& H) o5 c; x+ J7 P5 Qaaa authentication login cisco1 local group radius                  
6 f2 j* V" v9 Maaa authorization network cisco2 local group radius             //该步骤对什么认证呢
2 U. w, W; \9 v3 d!
4 E8 j; U, m1 G0 Ousername chinaCCIE password 0 chinaccie
) q6 {" N* o7 Q5 C8 @; d!
crypto isakmp policy 1                                                       //步骤2 定义IKE策略
encr 3des
% W1 x, x# B. A3 R; V. W+ sauthentication pre-share
group 2
!
% P  f# g, Q0 J3 O2 zcrypto isakmp client configuration group chinaccie         //步骤4 定义组策略
4 @/ n8 @; p: v- A! Rkey cisco123
dns 119.6.6.6
3 \7 f7 _9 l/ _7 ypool net10
acl 100
!         
crypto ipsec transform-set ccie esp-3des esp-sha-hmac   //步骤5 配置IPsec transform
5 R8 Q  R% l# A5 d: Q!
: R1 f: C/ D6 Z! A1 Ccrypto dynamic-map mymap 1                                          //步骤6 定义crypto map
* x5 y" T2 z. o+ _# v3 \set transform-set ccie
reverse-route
; o) i: u) f$ c% S. m!                                                                                         //步骤7 关联认证信息
& l6 m$ c7 q6 ?, [3 S2 scrypto map ezvpn client authentication list cisco1
crypto map ezvpn isakmp authorization list cisco2               //该步骤调用AAA list cisco2 是对什么认证呢？IKE已经使用PSK认证过了啊
, M, g7 S/ D/ h% y! F6 Pcrypto map ezvpn client configuration address respond
crypto map ezvpn 1 ipsec-isakmp dynamic mymap
- u; t* j8 u2 b" z% Z!
ip local pool net10 10.1.1.100 10.1.1.200                             //步骤3 定义客户端地址池
  P4 z! d# _, X5 l. J!
access-list 100 permit ip 10.1.1.0 0.0.0.255 any                 //步骤8 创建隧道分离
) X% i5 d, K  J3 o  o) N' B/ U1 saccess-list 100 permit ip host 4.4.4.4 any
!
interface FastEthernet0/0                                                    //应用crypto map        
. E: h; W+ k$ v3 O4 \4 iip address 12.1.1.1 255.255.255.0
: ^8 b8 @8 g! X* q8 [crypto map ezvpn
" P) I8 G5 k, y9 h- n$ x2 X!

aaa authentication login cisco1 local group radius                  这里是创建一个名为cisco1的认证策略，优先采用本地数据库认证，其次采用radius服务器做认证
aaa authorization network cisco2 local group radius              这里是创建一个名为cisco2的授权策略，优先采用本地数据库授权，其次采用radius服务器做授权
" S$ M7 Z$ h, B5 L5 |! ecrypto map ezvpn client authentication list cisco1                  这里是ezvpn 客户端的认证调用名为cisco1的认证策略
; w# g7 m9 K5 r; _crypto map ezvpn isakmp authorization list cisco2                 这里是ezvpn调用名为cisco2的授权策略

Asshole 发表于 2017-5-27 09:05
  P: E& u$ _2 \' D% `+ {aaa authentication login cisco1 local group radius                  这里是创建一个名为cisco1的认证策 ...

感谢老师的解答。
" U( H% F, ?+ Y% a我是否可以理解如下：
# b$ ]& k  [  r调用cisco2的授权策略为IKE授权。
. n8 Q) g5 j4 Y% `' |# q请问这里的授权是给IKE授予什么权限呢？是授权该IKE可以协商SA么？

非常感谢楼主分享资源

Seldon 发表于 2017-5-27 16:19
感谢老师的解答。
我是否可以理解如下：
. Z8 J3 h* x0 W; ~. a调用cisco2的授权策略为IKE授权。

; E- R4 ~1 x) M8 E, X% ?crypto isakmp client configuration group chinaccie         //步骤4 定义组策略
% f" V& ]0 y: b# ?' [( Skey cisco123
dns 119.6.6.61
pool net10
  U$ U: X) F4 n* ]" D) Xacl 1009
6 p5 O( l6 C7 K. e4 K8 Icrypto map ezvpn isakmp authorization list cisco2  
  `1 [# [0 N' z8 I" ~具体授权如上，在用ezvpn客户端的时候需要先登录group跟key的账号，再去使用本地数据库里的账号登录