EZVPN的模式实例.docx
- 文档编号:7148709
- 上传时间:2023-01-21
- 格式:DOCX
- 页数:20
- 大小:476.24KB
EZVPN的模式实例.docx
《EZVPN的模式实例.docx》由会员分享,可在线阅读,更多相关《EZVPN的模式实例.docx(20页珍藏版)》请在冰豆网上搜索。
EZVPN的模式实例
标题:
EZVPN
目的:
检测EZVPN的三种硬件模式
拓扑:
步骤:
1、按照拓扑给路由器配置地址
Ip地址规划,企业等一类的大型网络(大的局域网)内部网络使用的,
是私网地址,连接互联网的边界路由使用的是公网地址
Pc上
PC(config-if)#intf0/0
PC(config-if)#ipadd20.1.1.10255.255.255.0
PC(config-if)#nosh
Ezclient上
ezclient(config)#intf0/1
ezclient(config-if)#ipadd20.1.1.1255.255.255.0
ezclient(config-if)#nosh
ezclient(config-if)#intf0/0
ezclient(config-if)#ipadd61.128.1.1255.255.255.0
ezclient(config-if)#nosh
Internet
internet(config)#intf0/1
internet(config-if)#ipadd61.128.1.10255.255.255.0
internet(config-if)#noshutdown
internet(config-if)#intf0/0
internet(config-if)#ipadd202.100.1.10255.255.255.0
internet(config-if)#noshutdown
Gw上
gw(config)#intf0/1
gw(config-if)#ipadd202.100.1.1255.255.255.0
gw(config-if)#nosh
gw(config-if)#noshutdown
gw(config-if)#intf0/0
gw(config-if)#ipadd10.1.1.1255.255.255.0
gw(config-if)#noshutdown
Server上
server(config)#intf0/1
server(config-if)#ipadd10.1.1.10255.255.255.0
server(config-if)#noshutdown
2、解决路由底层问题,及server的回包问题
Pc上
内部网络一般运行动态路由协议,但由于拓扑简单,直接使用缺省路由,客户端与中心通信,中心接受的通信流量之后,需要回包,才能确保链路畅通,即也是解决的路由回包;且vpn的通信点设备需要知道vpn对端通信点路由及加密点路由
Ezclient上
Gw上
利用缺省路由解决底层路由,使得接收到的路由可以回包,且边界路由使用都是缺省路由;vpn的加密点必须知道内网通信点和对端加密点及通信点路由
Server上
内部网络一般运行动态路由协议,但由于拓扑简单,直接使用缺省路由,客户端与中心通信,中心接受的通信流量之后,需要回包,才能确保链路畅通,即也是解决的路由回包;且vpn的通信点设备需要知道vpn对端通信点路由及加密点路由
测试:
ezclient与gw之间
3、创建EZVPN
中心Gw上
第1阶段
gw(config)#cryptoisakmppolicy10
第一阶段认证策略
gw(config-isakmp)#authenticationpre-share
认证方式预共享密钥
gw(config-isakmp)#group2
修改为组2,路由器默认为组1,但客户端认证时发送到中心的信息都是在
组2,因此修改组,不采用默认
gw(config-isakmp)#hashmd5
散列函数为MD5
gw(config)#cryptoisakmpclientconfigurationgroupipsecgroup
EZVPN使用D的是cisco私有的group+key的认证方式,提供设备级的认证,
配置客户端模式的组名
gw(config-isakmp-group)#keycisco
设置group+key的key值
第1.5阶段
gw(config)#aaanew-model
开启aaa功能
gw(config)#aaaauthenticationloginremotelocal
XAUTH的登录认证名为remote,方式为本地认证
gw(config)#usernameipsecuserpasswordcisco
在本地创建客户端登录的用户名和密码;用户远程登录,查阅路由器的数据
库,消耗路由资源大,企业一般采用将所有的用户验证连到AAA服务器上,
在AAA服务器上查询,匹配了,在连到中心
gw(config)#aaaauthorizationnetworkremotelocal
授权为网络授权,授权策略名为remote,方式为本地授权
gw(config)#iplocalpoolmypool123.1.1.100123.1.1.200
在本地创建地址池,用来推送地址
gw(config)#cryptoisakmpclientconfigurationgroupipsecgroup
gw(config-isakmp-group)#poolmypool
将地址池和组关联
gw(config)#cryptoisakmpprofileisaprof
使用isakmp的profile加密,保护文件
gw(conf-isa-prof)#matchidentitygroupipsecgroup
匹配组
gw(conf-isa-prof)#clientauthenticationlistremote
匹配认证策略
gw(conf-isa-prof)#isakmpauthorizationlistremote
匹配授权策略
gw(conf-isa-prof)#clientconfigurationaddressrespond
启用客户端配置
第2阶段
gw(config)#cryptoipsectransform-settransesp-desesp-md5-hmac
中心不知道客户端身后的网络,因此,感兴趣流不匹配,直接配置转换集
gw(config)#cryptodynamic-mapdymap10
客户端因资金问题,一般都是动态获取地址,因此使用动态map
gw(config-crypto-map)#settransform-settrans
gw(config-crypto-map)#setisakmp-profileisaprof
匹配转换集和profile的策略
gw(config)#cryptomapcisco10ipsec-isakmpdynamicdymap
动态map关联到静态map,因为接口只支持静态map调用
gw(config)#intf0/1
gw(config-if)#cryptomapcisco
调用map
客户端ezclient上(首先client模式)
ezclient(config)#cryptoipsecclientezvpnezclient
配置客户端
ezclient(config-crypto-ezvpn)#peer202.100.1.1
匹配对等体地址
ezclient(config-crypto-ezvpn)#groupipsecgroupkeycisco
匹配第一阶段的认证,组和key
ezclient(config-crypto-ezvpn)#modeclient
Client模式
ezclient(config-crypto-ezvpn)#connectmanual
手动拨号
ezclient(config)#intf0/0
ezclient(config-if)#cryptoipsecclientezvpnezclientoutside
ezclient(config-if)#intf0/1
ezclient(config-if)#cryptoipsecclientezvpnezclientinside
定义内部和外部
在客户端ezclient上拨号
查看获取的地址
Client模式接收到中心推送的地址
Pc上进行Ping命令测试
客户端可以访问中心,不能访问互联网
中心进行ping测试
中心不能访问客户端
查看PAT
客户端使用中心推送的地址访问,并且PAT只有企业型的
查看pc从中拿到的策略
无策略
其次client模式+tunnelsplit(隧道分割)
gw(config)#ipaccess-listextendedsplit-tunnel
gw(config-ext-nacl)#permitip10.1.1.00.0.0.255any
gw(config)#cryptoisakmpclientconfigurationgroupipsecgroup
gw(config-isakmp-group)#aclsplit-tunnel
用ACL匹配流量,并在组中匹配,即使用隧道分割
客户端需要从新触发vpn,才能拿到策略
查看策略
客户端拿到了隧道分割的策略
查看获取到的地址
客户端收到中心推送的地址
Pc上进行ping命令测试
客户端既能访问中心,又能访问互联网
中心进行ping测试
中心不能访问客户端
在server上启用远程路由,并在pc上测试
server(config)#linevty015
server(config-line)#passwordcisco
server(config-line)#login
server(config)#enablepassword123
在server设备上查看
客户端使用中心推送的地址
查看PAT
PAT有两个,企业型的和互联网型
再添加一个密码保存策略
gw(config)#cryptoisakmpclientconfigurationgroupipsecgroup
gw(config-isakmp-group)#save-password
密码保存,即有些用户想要记住密码,下次直接点击连接
客户端断开一下,再连接,才能拿到新的策略
ezclient#clearcryptoipsecclientezvpn
ezclient#cryptoipsecclientezvpnconnect
ezclient#cryptoipsecclientezvpnxauth
Username:
ipsecuser
Password:
查看策略
客户端密码保存策略拿到
可以测试一下
断开连接后,从新拨号,直接拨上,不用拨密码
然后使用网络扩展模式,先删除策略,再修改客户端模式
ezclient(config)#cryptoipsecclientezvpnezclient
ezclient(config-crypto-ezvpn)#modenetwork-extension
网络扩展模式
从新拨号
查看地址
没有收到中心推送的地址
Pc上测试
客户端可以访问中心,不能访问互联网
Server设备上查看与测试
客户端使用的是自己真实的地址
中心能够访问客户端
查看PAT
没有PAT
其次使用网络扩展模式+split-tunnel
用ACL匹配流量,并在组中匹配,即使用隧道分割
客户端从新触发vpn,才能拿到策略
查看策略
查看地址
没有
Pc上测试
可以访问中心,也可以访问互联网
Server设备上查看和测试
客户端使用的是自己真实的地址访问中心,且中心能够访问客户端
查看PAT
PAT只有一个,互联网型
添加密码保存策略,及手动拨号改为自动拨号
密码保存,即有些用户想要记住密码,下次直接点击连接
先拿到策略
修改手动拨号改为自动拨号
断开后验证
断开后,客户端自动拨号,建立连接
删掉策略,自动拨号改为手动拨号,使用Natwork-puls模式
Natwork-puls模式
ezclient(config)#cryptoipsecclientezvpnezclient
ezclient(config-crypto-ezvpn)#modenetwork-plus
Natwork-puls模式
查看地址
中心推送地址
Pc上测试
可以访问中心,不能访问互联网
Server设备上查看和测试
客户端使用的是真实的地址,且中心可以访问客户端
查看PAT
无PAT
其次使用Natwork-puls模式+split-tunnel
从新拨号拿到策略
查看策略
查看地址
中心推送地址
Pc上测试
客户端既能访问中心,又能访问互联网
Server设备上查看及测试
中心能够访问客户端
查看PAT
PAT只有一个互联网型
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- EZVPN 模式 实例
![提示](https://static.bdocx.com/images/bang_tan.gif)