实训指导251基于路由器实现分支与总部VPN连接PT.docx
- 文档编号:26294781
- 上传时间:2023-06-17
- 格式:DOCX
- 页数:11
- 大小:158.20KB
实训指导251基于路由器实现分支与总部VPN连接PT.docx
《实训指导251基于路由器实现分支与总部VPN连接PT.docx》由会员分享,可在线阅读,更多相关《实训指导251基于路由器实现分支与总部VPN连接PT.docx(11页珍藏版)》请在冰豆网上搜索。
实训指导251基于路由器实现分支与总部VPN连接PT
国家高等职业教育网络技术专业教学资源库
计算机网络安全技术与实施
课程资源子库
学习情境2:
实训指导2.5-1
基于路由器实现分支与总部VPN连接
实训指导2.5-1
一、实训题目:
利用基于路由器实现分支与总部VPN连接。
二、实训目的:
1.深入理解VPN技术原理及特点,VPN隧道协议底层原理;
2.能够利用VPN技术解决实际需求,能对企业提出的需求加以实现;
3.掌握VPN技术在路由器上的配置,以实现企业分支机构与总部内部网络的资源互访。
三、实训要求:
1.掌握路由器模拟软件DynamipsGUI的使用方法;
2.掌握路由器配置软件及路由器IOS的使用方法;
四、实训网络场景或网络拓扑结构:
网络拓扑结构图如下:
PT仿真网络结构图如下:
五、实训步骤:
站点到站点IPsec操作的5个步骤如下:
1.主机A发送感兴趣数据流(需要VPN保护的流量)给主机B
根据图中所示,感兴趣数据流对于路由器R1和R2而言的,此处感兴趣数据流是10.2.2.0/24企业总部网络到10.1.1.0/24企业分支机构的网络的互相访问的数据流量。
例如:
主机A到主机B的数据包的源IP为10.2.2.2,目的IP为10.1.1.2,属于10.2.2.0/24到10.1.1.0/24的数据流量,反之同理。
对于路器来说它并不知道什么是感兴趣数据流,需要进行配置,可以结合访问控制列表进行指明。
哪些流量不是感兴趣数据流,即不需要通过VPN保护的流量呢?
根据图中所示,对于A主机(同网络的主机也是这样)要访问互联网上的其它主机(不是B主机网络中的主机),这时就不需要进行VPN保护了。
如A访问公网的网址,就不是感兴趣数据流了,路由器R1或R2根据访问控制列表可以进行NAT转换处理而不是进行VPN保护了。
由器R1和R2上要配置访问控制列表定义哪些数据是感兴趣数据流,哪些不是感兴趣数据流,不是感兴趣数据流需要通过配置NAT进行转换。
2.路由器R1和R2协商IKE第1阶段会话(IKE安全关联)
此步为IKE阶段1:
IKE即Internet密钥交换(InternetKeyExchange,IKE)是一种为IPSec管理和交换密钥的标准方法。
可以将IKE分为两个阶段:
Phase1主要工作是进行认证,建立一个IKESA和Phase2主要是进行密钥交换,利用Phase1中的IKESA来协商IPSecSA。
一旦两个对等端之间的IKE协商取得成功,那么IKE就创建到远程对等端的安全关联(securityassociation,SA)。
SA是单向的;在两个对等端之间存在两个SA。
IKE使用UDP端口500进行协商,确保端口500不被阻塞。
下面介绍Phase1。
在phase1主要工作是:
(1)选用协商模式
mainmode(主模式)和aggressivemode(可译为挑战模式或积极模式)两种模式的区别是,主模式安全性要高,提供了对通信双方身份的保护,如IP地址等信息,安全性更高;挑战模式去除了上主模式中的身份的保护等功能,因此速度上要比前一种快。
(2)选用一种身份认证方法
在路由器上,通信双方主要有两种身份认证的方法:
一种是通过presharekey(预共享密钥)进行连接认证,一般多采用此种方式进行身份认证;
另一种是利用前面讲的非对称加密算法及数字证书方式,这又分为两种:
一种是(rsa-sig)使用证书授权(使用CA);别一种是(rsa-encr)手工配置RSA密钥(不使用CA)。
在思科路由器上可以使用如下命令定义身份认证的方法:
(isamkp)authentication{rsa-sig|rsa-encr|pre-share}。
(3)选用一种加密算法
即对数据及信息的加密算法,加密算法可选56位的DES-CBC(des,默认值)或者168位的3DES(3des)。
在思科路由器上可以使用如下命令定义加密算法:
(isakmp)encryption{des|3des}
(4)选用一种验证算法
验证算法即散列算法,主要用于对所传输数据或信息的完整进行验证的一种方法,那前面工作任务中提到的HASH算法。
路由器中散列算法主要有sha和md5两种,默认sha。
由器上可以使用如下命令定义散列算法:
(isamkp)hash{sha|md5}
(5)选用一组diffie-hellman公钥密码系统组(dh1或dh2)。
D-H是基于非对称加密的一种算法,只进行密钥的生成,使通信双方都得到用于通信数据加密的对称加密密钥。
关于D-H算法可以参考前面的加密部分工作任务中,也可以利用网络进行查找更多关于此算法的详细说明。
除非购买高端路由器,或是VPN通信比较少,否则最好使用group1长度的密钥,group命令有两个参数值:
1和2。
参数值1表示密钥使用768位密钥,参数值2表示密钥使用1024位密钥,显然后一种密钥安全性高,但消耗更多的CPU时间。
在思科路由器上可以使用如下命令定义Diffie-Hellman密钥材料长度:
(isakmp)group{1|2}
(6)定义IKESA的生存周期
对生成新SA的周期进行调整。
这个值以秒为单位,默认值为86400,也就是一天。
值得注意的是两端的路由器都要设置相同的SA周期,否则VPN在正常初始化之后,将会在较短的一个SA周期到达中断。
该项设置允许您决定ike的sa在到期前可以执行多长时间。
如设置为0则表示IKESA的连接会一直保持不中断。
如果IKESA握手到期,那么IKESA和IPSecSA均需重新协商连接。
在思科路由器上可以使用如下命令定义IKESA的生存周期:
(isakmp)lifetimeseconds
3.路由器R1和R2协商IKE第2阶段会话(IPsec安全关联)
在phase2主要工作是:
(1)选用协议封装
ESP与AH是数据封装的两种常用方式:
EncapsulatingSecurityPayload(ESP)IP封装安全负载协议协议号为50,ESP为IP数据包提供完整性检查、认证和加密,提供机密性并可防止篡改。
ESP服务依据建立的安全关联(SA)是可选的;AuthenticationHeader(AH)协议号为51,与ESP区别在于AH没有ESP的加密特性,AH的数据完整性验证是对整个数据包做出的,包括IP头部分,但是IP头部分包含很多可变参数,如经过多个路由器后TTL、TOS、标志位、及头部校验和都可能变化,所以头部的完整性发生变化导致收发方无法匹配。
而ESP是对部分数据包做数据完整性验证时,不包括IP头部分。
因此从机密性与完整性角度考虑一般选择ESP封装。
详细信息可通过网络进行查询。
(2)选用一种加密算法
(3)选用一种验证算法
在思科路由器上可以使用如下命令定义IPSec协议封装方式、加密算法与验证算法:
cryptoipsectransform-set变换集名字esp-desesp-md5-hmac
(4)选用是否使用diffie-hellman公钥密码系统来执行完美向前保密PFS,默认为none禁用PFS。
(5)选用变换集的模式
变换集的模式有两种:
隧道tunnel模式或者传输transport模式。
在隧道方式下,整个IP包都封装在一个新的IP包中,并在新的IP包头和原来的IP包头之间插入IPSec头(AH/ESP);传输模式主要为上层协议提供保护,AH和/或ESP包头插入在IP包头和运输层协议包头之间。
在思科路由器上可以使用如下命令定义变换集的模式:
(crypto-transform)mode{tunnel|transport}
(6)定义IPSecSA生存时间。
与IKESA的生存时间作用不同,但原理上是类似。
4.感兴趣数据流信息通过IPsec隧道进行交换传输
这一阶段为IPSec会话阶段,在这一过程中SAs在通信双方间进行交换,并将协商的安全服务应用到数据流量上。
5.IPsec隧道终止
这一阶段为隧道终止,隧道终止的可能原因是:
设定的SA生存时间到了;包计时器超出,IPsecSA被移除。
附:
通过命令行配置站点到站点VPN
1.VPN服务器Router:
R1(VPNServer)的配置
(1)IKE配置
router(config)#hostnamer1
r1(config)#cryptoisakmppolicy1//定义策略为1
r1(config)#hashmd5//定义MD5散列算法
r1(isakmp)#authenticationpre-share//定义为预共享密钥认证方式
r1(isakmp)#exit
r1(config)#cryptoisakmpkeycisco123address0.0.0.00.0.0.0
//配置预共享密钥为cisco123,对等端为所有IP
(2)IPSec协议配置
r1(config)#cryptoipsectransform-setrtpsetesp-desesp-md5-hmac//创建变换集
r1(config)#cryptodynamic-maprtpmap10//创建动态保密图rtpmap10
r1(crypto-map)#settransform-setrtpset//使用上面的定义的变换集rtpset
r1(crypto-map)#matchaddress115//援引访问列表确定受保护的流量
r1(crypto-map)#exit
r1(config)#cryptomaprtptrans10ipsec-isakmpdynamicrtpmap
//将动态保密图集加入到正规的图集中
r1(config)#interfacefastethernet0/0
r1(config-if)#ipaddress10.2.2.1255.255.255.0
r1(config-if)#ipnatinside
r1(config-if)#exit
r1(config)#interfaceSerial1/0
r1(config-if)#ipaddress100.1.1.1255.255.255.0
r1(config-if)#clockrate64000
r1(config-if)#noshutdown
r1(config-if)#ipnatoutside
r1(config-if)#cryptomaprtptrans//将保密映射应用到S1/1接口上
r1(config-if)#exit
r1(config)#ipnatinsidesourceroute-mapnonatinterfaceSerial1/0overload
!
---这个NAT配置启用了路由策略,内容为10.2.2.0到10.1.1.0的访问不进行地址翻译
!
---到其他网络的访问都翻译成S0/0接口的IP地址
r1(config)#iproute0.0.0.00.0.0.0Serial1/0//配置静态路由协议
r1(config)#access-list115permitip10.2.2.00.0.0.25510.1.1.00.0.0.255
r1(config)#access-list115denyip10.2.2.00.0.0.255any
r1(config)#access-list120denyip10.2.2.00.0.0.25510.1.1.00.0.0.255
r1(config)#access-list120permitip10.2.2.00.0.0.255any
r1(config)#route-mapnonatpermit10//使用路由策略
r1(router-map)#matchipaddress120
r1(config)#linevty04
r1(config-line)#passwordcey
r1(config-line)#login
2.模拟互联网路由器R2的配置
模拟互联网路由器R2只需要配置连接路由器R1和R3的两个接口的IP地址即可:
router(config)#hostnamer2
r2(config)#interfaceSerial1/0
r2(config-if)#ipaddress100.1.1.2255.255.255.0
r2(config-if)#clockrate64000
r2(config-if)#noshutdown
r2(config-if)#exit
r2(config)#interfaceSerial1/1
r2(config-if)#ipaddress200.1.1.1255.255.255.0
r2(config-if)#clockrate64000
r2(config-if)#noshutdown
3.VPN客户端Router:
R3(VPNClient)的配置
router(config)#hostnamer3
r3(config)#cryptoisakmppolicy1//定义策略为1
r3(isakmp)#hashmd5//定义MD5散列算法
r3(isakmp)#authenticationpre-share//定义为预共享密钥认证方式
r3(config)#cryptoisakmpkeycisco123address100.1.1.1
!
---配置预共享密钥为cisco123,对等端为服务器端IP100.1.1.1
!
---IPSec协议配置
r3(config)#cryptoipsectransform-setrtpsetesp-desesp-md5-hmac//创建变换集
r3(config)#cryptomaprtp1ipsec-isakmp//使用IKE创建保密图rtp1
r3(crypto-map)#setpeer100.1.1.1//确定远程对等端
r3(crypto-map)#settransform-setrtpset//使用上面的定义的变换集rtpset
r3(crypto-map)#matchaddress115//援引访问列表确定受保护的流量
r3(config)#interfacefastethernet0/0
r3(config-if)#ipaddress10.1.1.1255.255.255.0
r3(config-if)#clockrate64000
r3(config-if)#noshutdown
r3(config-if)#ipnatinside
r3(config-if)#exit
r3(config)#interfaceSerial1/1
r3(config-if)#ipaddress200.1.1.2255.255.255.0
r3(config-if)#clockrate64000
r3(config-if)#noshutdown
r3(config-if)#ipnatoutside
r3(config-if)#cryptomaprtp//将保密映射应用到S0/1接口上
r3(config-if)#exit
r3(config)#ipnatinsidesourceroute-mapnonatinterfaceSerial1/1overload
!
---这个NAT配置启用了路由策略,内容为10.1.1.0到10.2.2.0的访问不进行地址翻译
!
---到其他网络的访问都翻译成S1/1接口的IP地址
r3(config-if)#iproute0.0.0.00.0.0.0Serial0//配置静态路由协议
r3(config)#access-list115permitip10.1.1.00.0.0.25510.2.2.00.0.0.255
r3(config)#access-list115denyip10.1.1.00.0.0.255any
r3(config)#access-list120denyip10.1.1.00.0.0.25510.2.2.00.0.0.255
r3(config)#access-list120permitip10.1.1.00.0.0.255any
r3(config)#route-mapnonatpermit10//使用路由策略
r3(router-map)#matchipaddress120
4.在基于命令行配置的VPN连接检测
在基于命令行中,可以借助于,Show和Debug命令进行VPN连接的测试与排错。
r1#showcryptoisakmpsa//列出活动的IKE会话
r1#showcryptoipsecsa//列出活动的IPsec安全关联
r1#debugcryptoisakmp//调试IKE通信
六、实训说明:
由于实训环境不同,具体配置过程会有所不同,具体实训步骤请参见“实训指导2.5-1”相关视频讲解文件。
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 指导 251 基于 路由器 实现 分支 总部 VPN 连接 PT