EZVPN 认证调用问题

aaa new-model                                                                      //步骤1 配置AAA认证
!
aaa authentication login cisco1 local group radius                  
. V1 b& T$ k% D- C$ d7 O% X8 u! Kaaa authorization network cisco2 local group radius             //该步骤对什么认证呢
!
username chinaCCIE password 0 chinaccie
: }  I7 T# i6 g!
crypto isakmp policy 1                                                       //步骤2 定义IKE策略
8 w. `2 B2 O# O6 dencr 3des
, X2 g0 e# B7 |4 ]6 A9 n- Sauthentication pre-share
& c' e% P# }! w! T: W) w6 a, b. igroup 2
!
) U3 Q0 ?" J' D$ u; N0 Fcrypto isakmp client configuration group chinaccie         //步骤4 定义组策略
0 L' F: H8 L6 k5 y; {key cisco123
5 |0 g% M. E/ Vdns 119.6.6.6
9 [& X, |% i9 N# N/ g$ o/ R5 Mpool net10
( K9 y# r( y1 H$ |4 W% _acl 100
5 P% l8 i1 b4 U) `1 |!         
crypto ipsec transform-set ccie esp-3des esp-sha-hmac   //步骤5 配置IPsec transform
6 Q! S! ]* O. y7 U  x( n!
7 ~% U, t; ?" b( ^- z1 h, i: ]/ acrypto dynamic-map mymap 1                                          //步骤6 定义crypto map
" ~. P4 V  J" p# |# c; Hset transform-set ccie
reverse-route
!                                                                                         //步骤7 关联认证信息
+ h) r1 Q7 e  k+ u/ I: s; m# r# zcrypto map ezvpn client authentication list cisco1
crypto map ezvpn isakmp authorization list cisco2               //该步骤调用AAA list cisco2 是对什么认证呢？IKE已经使用PSK认证过了啊
5 t/ w% w. `! G' a$ Q; Qcrypto map ezvpn client configuration address respond
crypto map ezvpn 1 ipsec-isakmp dynamic mymap
!
ip local pool net10 10.1.1.100 10.1.1.200                             //步骤3 定义客户端地址池
!
' l0 k# f3 y( j" faccess-list 100 permit ip 10.1.1.0 0.0.0.255 any                 //步骤8 创建隧道分离
- z0 f% K/ A- `+ l+ Haccess-list 100 permit ip host 4.4.4.4 any
!
interface FastEthernet0/0                                                    //应用crypto map        
ip address 12.1.1.1 255.255.255.0
crypto map ezvpn
!

aaa authentication login cisco1 local group radius                  这里是创建一个名为cisco1的认证策略，优先采用本地数据库认证，其次采用radius服务器做认证
6 X4 {* M# ^7 p6 L# e: D# M8 Raaa authorization network cisco2 local group radius              这里是创建一个名为cisco2的授权策略，优先采用本地数据库授权，其次采用radius服务器做授权
  l- |2 @( d1 C0 Ucrypto map ezvpn client authentication list cisco1                  这里是ezvpn 客户端的认证调用名为cisco1的认证策略
0 u7 i# K( i4 o1 ]1 wcrypto map ezvpn isakmp authorization list cisco2                 这里是ezvpn调用名为cisco2的授权策略

Asshole 发表于 2017-5-27 09:05
aaa authentication login cisco1 local group radius                  这里是创建一个名为cisco1的认证策 ...

6 W1 `3 p0 s( F$ k" M( y感谢老师的解答。
我是否可以理解如下：
1 T  D* I: @8 K  a8 T调用cisco2的授权策略为IKE授权。
0 O* U. t& c, P# ^请问这里的授权是给IKE授予什么权限呢？是授权该IKE可以协商SA么？

非常感谢楼主分享资源

Seldon 发表于 2017-5-27 16:19
感谢老师的解答。
我是否可以理解如下：
  a2 d7 ?0 N) N# ^, H调用cisco2的授权策略为IKE授权。

, g0 f- C0 v/ b' g; r6 ], O$ W9 }crypto isakmp client configuration group chinaccie         //步骤4 定义组策略
key cisco123
dns 119.6.6.61
: H" o  g8 e3 v  k# H# d- |" q: Zpool net10
acl 1009
) Z0 k2 Q7 `; tcrypto map ezvpn isakmp authorization list cisco2  
/ g. R  ]. m/ v& k具体授权如上，在用ezvpn客户端的时候需要先登录group跟key的账号，再去使用本地数据库里的账号登录