ipsecvpn配置详解.docx
- 文档编号:26042945
- 上传时间:2023-06-17
- 格式:DOCX
- 页数:12
- 大小:267.99KB
ipsecvpn配置详解.docx
《ipsecvpn配置详解.docx》由会员分享,可在线阅读,更多相关《ipsecvpn配置详解.docx(12页珍藏版)》请在冰豆网上搜索。
ipsecvpn配置详解
小型企业少量的分公司,配置点对点IPsecVPN通道。
首先VPN的配置必须建立在底层通讯已经建立的前提下,也就是说网络是通的情况下。
在R1上配置2端口ip地址路由通告以及感兴趣流(如图1-1所示)
En\\进入特权模式
Conft\\进入全局配置模式
Interfaces1/2\\进入1/2串行接口
Ipaddress12.12.12.1255.255.255.0\\配置接口ip地址为12.12.12.1/24
Noshutdown\\启动该接口
Interfaceloopback0\\进入回环接口0
Ipaddress10.1.1.1255.255.255.0\\设置ip地址为10.1.1.1/24
Exit\\返回全局配置模式
routereigrp10\\启动eigrp路由协议10
noauto-summary\\关闭默认自动汇总
network12.12.12.00.0.0.255\\宣告直连网段12.12.12.0/24
exit\\退回全局配置模式
iproute0.0.0.00.0.0.012.12.12.2\\创建静态缺省路由下一跳为R2
access-list101permitip10.1.1.00.0.0.25520.1.1.00.0.0.255
\\创建扩展访问控制列表101号,允许ip协议中源为10.1.1.0/24去往目的为20.1.1.0/24的数据启用IPsecVPN隧道。
图1.1
定义IPsec阶段一,定义密钥如何安全传输(如图1.2)
Cryptoisakmppolicy10\\创建管理隧道集10并开始定义ike阶段一
authenticationpre-share\\源认证采用带外域共享密钥
encryptiondes\\定义数据隧道密钥使用des算法安全传输
group2\\des密钥长度为2
hashMD5\\数据隧道密钥使用MD5进行完整性检验
exit\\返回全局配置模式
cryptoisakmpkey0CISCOaddress23.23.23.2
\\源认证的域共享密钥为Cisco,并指出和23.23.23.2进行认证
图1.2
定义IKE阶段2,定义数据如何安全传输(如图1.3)
cryptoipsectransfrom-setIKE2esp-desesp-md5-hmac
\\定义数据隧道名为IKE2,且数据隧道使用des加密,使用MD5hash成散列值
modetunnel\\VPN的模式为隧道模式
exit\\返回全局配置模式
图1.3
定义IPsec转换集(如图1.4)
cryptomapMYMAP10ipsec-isakmp\\创建一个转换集名叫MYMAP编号10,并关联IKE阶段一。
Setpeer23.23.23.2\\定义转换集对端地址为23.23.23.2
Settransform-setIKE2\\关联IKE阶段二
Matchaddress101\\当访问控制列表101满足时触发VPN
exit\\返回全局配置模式
图1.4
IPsec策略应用到接口(如图1.5)
Interfaces1/2\\进入接口1/2串行接口
Cryptomapmymap\\将转换集MYMAP调用在该接口
图1.5
在R2上配置2端口ip地址及路由(如图1.6)
En\\进入特权模式
Conft\\进入全局配置模式
Interfaces1/3\\进入1/2串行接口
Ipaddress12.12.12.2255.255.255.0\\配置接口ip地址为12.12.12.224
Noshutdown\\启动该接口
Interfaces1/2\\进入接口1/2串行接口
Ipaddress23.23.23.1255.255.255.0\\配置接口ip地址为23.23.23.1/24
Noshutdown\\启动该接口
Exit\\退回到全局配置模式
routereigrp10\\启动eigrp路由协议10
noauto-summary\\关闭默认自动汇总
network12.12.12.00.0.0.255\\宣告直连网段12.12.12.0/24
network23.23.23.00.0.0.255\\宣告直连网段23.23.23.0/24
图1.6
在R3上配置2端口ip地址路由通告以及感兴趣流(如图1-7所示)
En\\进入特权模式
Conft\\进入全局配置模式
Interfaces1/3\\进入1/2串行接口
Ipaddress23.23.23.2255.255.255.0\\配置接口ip地址为23.23.23.2/24
Exit\\退回到全局配置模式
routereigrp10\\启动eigrp路由协议10
noauto-summary\\关闭默认自动汇总
network23.23.23.00.0.0.255\\宣告直连网段23.23.23.0/24
Exit\\退回到全局配置模式
iproute0.0.0.00.0.0.023.23.23.1\\创建静态缺省路由下一跳为R2
access-list101permitip20.1.1.00.0.0.25510.1.1.00.0.0.255
\\创建扩展访问控制列表101号,允许ip协议中源为20.1.1.0/24去往目的为10.1.1.0/24的数据启用IPsecVPN隧道。
图1.7
定义IPsec阶段一,定义密钥如何安全传输(如图1.8)
Cryptoisakmppolicy10\\创建管理隧道集10并开始定义ike阶段一
authenticationpre-share\\源认证采用带外域共享密钥
encryptiondes\\定义数据隧道密钥使用des算法安全传输
group2\\des密钥长度为2
hashMD5\\数据隧道密钥使用MD5进行完整性检验
exit\\返回全局配置模式
cryptoisakmpkey0CISCOaddress12.12.12.1
\\源认证的域共享密钥为Cisco,并指出和12.12.12.1进行认证
定义IKE阶段2,定义数据如何安全传输(如图1.8)
cryptoipsectransform-setIKE2esp-desesp-md5-hmac
\\定义数据隧道名为IKE2,且数据隧道使用des加密,使用MD5hash成散列值
modetunnel\\VPN的模式为隧道模式
exit\\返回全局配置模式
图1.8
定义IPsec转换集(如图1.9)
cryptomapMYMAP10ipsec-isakmp\\创建一个转换集名叫MYMAP编号10,并关联IKE阶段一。
Setpeer12.12.12.1\\定义转换集对端地址为12.12.12.1
Settransform-setIKE2\\关联IKE阶段二
Matchaddress101\\当访问控制列表101满足时触发VPN
exit\\返回全局配置模式
图1.9
IPsec策略应用到接口(如图1.10)
Interfaces1/3\\进入接口1/3串行接口
Cryptomapmymap\\将转换集MYMAP调用在该接口
图1.10
IPsec完整配置showrunning-config(如图1.11)
图1.11
数据流量分析:
从10.1.1.1去往20.1.1.1的流量到达R1后查询R1的路由表如图1.12所示,匹配缺省静态路由,经过s1/2接口发送给12.12.12.2接口;由于s1/2接口配置了ipsec策略,故流经s1/2接口的流量会被检查是否满足感兴趣流(访问控制列表101),满足源为10.1.1.0目的为20.1.1.0的流量触发IPsecVPN封装,不满足则不触发。
触发隧道开始后,ipsecvpn对等体设备之间要进行协商,协商内容包括加密密钥如何传输,以及数据传输用什么加密算法等9个协商包。
协商完毕后,IPsecVPN通道建立完成。
因为IPsec定义为tunnel隧道模式,所以为流量打上新的ip头部,源为12.12.12.1目的为23.23.23.2并把原始的头部加密哈希。
此时在ISP公共网络上来看,需要被路由的是从一个公网地址12.12.12.1到另一个公网地址23.23.23.2,而不是路由公司内部私有地址。
流量到达23.23.23.2也就是R2后,继续查询自己的路由表如图1.13,去往23.23.23.0网段的流量会被从R2的s1/2接口转发出去。
在广域网上通过查询路由表转发,会使得流量最终到达23.23.23.2,也就是分公司网关。
由于在23.23.23.2上也配置了ipsecvpn,所以流量会在23.23.23.2接口被被还原为原始数据送达目标地址20.1.1.1。
R1路由表如图(1.12)
图1.12
R2路由表如图(1.13)
图1.13
R3路由表如图(1.14)
图1.14
Ping产生的结果如图(1.15和1.16)
第一个ping包不通是由于IPsecVPN隧道建立协商的存在,使icmp等待超时。
以后的包就不会再出现次情况。
使用源为20.1.1.1ping10.1.1.1 触发隧道
图1.15
使用源为23.23.23.2ping10.1.1.1由于R2上没有去往10.1.1.0的路由条目(如图1.13)所以不通
图1.16
查看IPsec隧道中加密解密的数据量(如图1.17)
图1.17加密了4个数据包,解密了4个数据包,因为ping5个包,第一个包超时不通。
DebugCryptosa获得的ipsecvpn通信详细信息(如图1.18)
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- ipsecvpn 配置 详解