1各种VPN文档格式.docx
《1各种VPN文档格式.docx》由会员分享,可在线阅读,更多相关《1各种VPN文档格式.docx(39页珍藏版)》请在冰豆网上搜索。
2、只能在两个站点之间建立VPN隧道,并完成通信流量的加密,实现两个私网穿越公网进行通信;
3、可以通过扩展,将这种VPN建设成星型连接;
即一个hub,下连很多个spoke站点,每个spoke站点都与hub之间建立LANtoLANVPN;
缺点是hub需要为每个spoke站点做配置,所以如果下联spoke站点很多的话,hub端的VPN配置量很大,不易维护。
在LANtoLANVPN中hub端需要在对spoke端做认证的时候明确的写出spoke端的IP地址,在cryptomap中叶要明确写出spoke端的IP地址。
所以在hub端针对每一个spoke端都要做相同的配置,并写上spoke端的IP地址,这样就会导致hub端的配置量很大,不易维护。
4、hub端采用的地址必须是spoke端事先知道的,并且是固定不变的;
spoke端的IP地址也必须是hub
端事先知道的,并且是固定不变的。
二、在路由器上配置
配置:
r1#showrunning-config
Buildingconfiguration...
Currentconfiguration:
1072bytes
version12.4
servicetimestampsdebugdatetimemsec
servicetimestampslogdatetimemsec
noservicepassword-encryption
!
hostnamer1
boot-start-marker
boot-end-marker
noaaanew-model
memory-sizeiomem5
ipcef
cryptoisakmppolicy1步骤1
encr3des橘黄色为IPSecphaseone过程
authenticationpre-share即showcryptoisakmpsa
group2此过程建立不起来会显示为
cryptoisakmpkeyciscoaddress23.23.23.3步骤2
cryptoipsectransform-setMTesp-3desesp-sha-hmac步骤3
cryptomapMMAP1ipsec-isakmp步骤5
setpeer23.23.23.3
settransform-setMT
matchaddressVPN
interfaceEthernet0/0
ipaddress12.12.12.1255.255.255.0
half-duplex
cryptomapMMAP步骤6
interfaceEthernet0/1
ipaddress10.1.1.1255.255.255.0
interfaceEthernet0/2
noipaddress
shutdown
interfaceEthernet0/3
iphttpserver
noiphttpsecure-server
iproute0.0.0.00.0.0.012.12.12.2
ipaccess-listextendedVPN步骤4
permitip10.1.1.00.0.0.255192.168.1.00.0.0.255
control-plane
linecon0
lineaux0
linevty04
end
r1#
状态查看:
三、在防火墙上配置
PIX从7.0后和ASA的指令集基本一致,所以在这里只演示PIX上的VPN配置
配置
PIX8.0配置
pixfirewall#shorunning-config
:
Saved
PIXVersion8.0(3)
hostnamepixfirewall
enablepassword8Ry2YjIyt7RRXU24encrypted
names
interfaceEthernet0
nameifinside
security-level100
ipaddress192.168.1.3255.255.255.0
interfaceEthernet1
nameifoutside
security-level0
ipaddress23.23.23.3255.255.255.0
interfaceEthernet2
nonameif
nosecurity-level
interfaceEthernet3
shutdown
interfaceEthernet4
passwd2KFQnbNIdI.2KYOUencrypted
ftpmodepassive
access-listVPNextendedpermitip192.168.1.0255.255.255.010.1.1.0255.255.255.0步骤4
pagerlines24
mtuoutside1500
mtuinside1500
nofailover
icmpunreachablerate-limit1burst-size1
noasdmhistoryenable
arptimeout14400
routeoutside0.0.0.00.0.0.023.23.23.21
timeoutxlate3:
00:
00
timeoutconn1:
00half-closed0:
10:
00udp0:
02:
00icmp0:
02
timeoutsunrpc0:
00h3230:
05:
00h2251:
00mgcp0:
00mgcp-pat0:
timeoutsip0:
30:
00sip_media0:
00sip-invite0:
03:
00sip-disconnect0:
timeoutuauth0:
00absolute
dynamic-access-policy-recordDfltAccessPolicy
nosnmp-serverlocation
nosnmp-servercontact
snmp-serverenabletrapssnmpauthenticationlinkuplinkdowncoldstart
cryptoipsectransform-setMTesp-3desesp-sha-hmac步骤3
cryptomapMMAP1matchaddressVPN步骤5
cryptomapMMAP1setpeer12.12.12.1
cryptomapMMAP1settransform-setMT
cryptomapMMAPinterfaceoutside步骤6
cryptoisakmpenableoutside
cryptoisakmppolicy1步骤1
authenticationpre-share
encryption3des橘黄色部分是IPSecphaseone过程
hashsha即showcryptoisakmpsa
group2此过程建立不起来会显示为
lifetime86400
telnettimeout5
sshtimeout5
consoletimeout0
threat-detectionbasic-threat
threat-detectionstatisticsaccess-list
tunnel-group12.12.12.1typeipsec-l2l步骤2
tunnel-group12.12.12.1ipsec-attributes注意:
在PIX上指定对端peer时的方式
pre-shared-key*pix上默认加密密码
prompthostnamecontext
Cryptochecksum:
e70e9b783b94bcf4aece083497e0cfb4
end
pixfirewall#
状态查看
IPSecDynamicLANtoLANVPN
一、特点
1、动态LANtoLANVPN相对于前面说的最简单的VPN的改进在于:
动态VPN的总部,即hub端通过使用通配符来匹配spoke端并对其进行认证和采用dynamicmap使用通配符匹配spoke端的方式简化了hub端的VPN配置量,这样不管hub端下联的spoke数量增加多少,hub端的配置量不会发生任何改变;
2、所以通过使用通配符来匹配spoke端的IP地址的话,就可以大大的减少hub端的配置量;
但是也存在一个弊端:
即DynamicLANtoLANVPN的hub端不能先向spoke发起会话建立SA,因为hub端不知道要向哪个IP地址发起会话;
所以只能由spoke端先向hub端发送会话才能初始化SA并建立SA。
3、hub端的IP地址必须是spoke端事先知道的IP,并且是固定不变的;
spoke端的IP地址可以是任意地址,dhcp、ADSL获取都可以,因为在hub端是使用通配符匹配的。
4、spoke端的配置都是一样的,唯一不同的就是spoke端匹配的数据流不同,因为各个spoke站点采用的私有IP地址肯定是不同的。
R1上的配置:
r1#showrun
1032bytes
cryptokeyringabc步骤2-1
pre-shared-keyaddress0.0.0.00.0.0.0keycisco设置密码
cryptoisakmppolicy1步骤1
encr3des
group2
cryptoisakmpprofileppp步骤2-2:
定义IPSecProfile
keyringabc将设置的密码与之关联
matchidentityaddress0.0.0.0设置任意对端spoke都要使用该密码认证
cryptodynamic-mapMDMAP5步骤4:
设置Dynamicmap
settransform-setMT由于hub端要出去的数据是去往未知和动态IP的spoke
setisakmp-profileppp端,所以Dynamicmap中不需要匹配感兴趣数据流
cryptomapMMAP10ipsec-isakmpdynamicMDMAP步骤5:
将Dynamicmap关
联在cryptomap中
interfaceFastEthernet0/0
duplexauto
speedauto
cryptomapMMAP步骤6:
在接口下应用
interfaceFastEthernet1/0
r1#
从实验拓扑中可以看出:
R1和R3之间实际上和LANtoLANVPN是一样的,所以R3上的配置就是最基本的LANtoLANVPN配置;
由于R4的接口地址是通过DHCP获取的,是可以发生变化并且R1事先不知道的IP地址。
但是对于R4来说,R1的IP地址是不会发生变化的,在R4看来,就相当于普通的LANtoLANVPN,所以R4的配置也是普通的配置,不用做任何改变。
所以DynamicLANtoLANVPN的好处就是无论spoke端的IP地址是如何过得的、是否会发生变化并且不论spoke站点有多少个,hub都可以通过Dynamicmap使用通配符来匹配spoke端,这样hub的配置量就会大大减少。
注意,hub端使用Dynamicmap后直接从hub端向外pingspoke端是ping不通的,因为hub端不知道要和哪个IP地址建立SA会话,所以必须由spoke端先向hub发起会话,由spoke端先pinghub端才能ping通并建立SA会话,之后再从hub端往外ping就能通了。
在hub端可以看到两个IPSecVPN进程,并且都处于ACTIVE状态。
DynamicLANtoLANVPN在模拟器上配置后IPSecphaseone总是处于ACTIVE(deleted)状态,这里只给出配置指令:
Cryptoisakmppolicy1步骤1
Encryption3des
Hashsha
Authenticationpre-share
Group2
Isakmpkeyciscoaddress0.0.0.0netmask0.0.0.0步骤2
注意:
DynamicLANtoLANVPN指定peer的方式
Cryptoipsectransform-setMTesp-3desesp-sha-hmac步骤3
Cryptodynamic-mapMDMAP1settransform-setMT步骤4
Cryptodynamic-mapMDMAP1setreverse-route创建Dynamicmap并将转换集
关联在其中
CryptomapMMAP10ipsec-isakmpdynamicMDMAP步骤5
在cryptomap中只要将
Dynamicmap关联进来就行了
CryptomapMMAPinterfaceoutside步骤6
IsakmpenableoutsidePIX&
ASA上都需要这个指令
(略)
PointtopointGREoverIPSec
IPSecVPN有两个能够自己实现的独立功能:
建立逻辑隧道、对数据进行加密;
IPSecVPN有两种工作模式:
tunnel模式和transport模式,实际上真正建立隧道的只有tunnel模式,因为在当工作在transport模式的时候IPSecVPN是需要依赖其他协议来建立底层隧道的,比如说利用GRE来建立隧道。
但是IPSecVPN自己建立的隧道存在一定的局限性:
tunnel隧道的数据包会额外增加20字节,不支持非IP协议的流量,不支持IP组播,隧道两端的IP是位于不同网段的公网IP。
由于这些原因,导致如果想要在IPSecVPN的隧道两端想要运行动态路由协议成为奢望。
GRE建立的隧道两端的隧道地址是在同一个网段的,并且可以提供IP组播的支持;
这样在为IPSecVPNtransport模式建立隧道同时GRE也能支持IP组播,这样就能够在隧道两端运行动态路由协议。
缺点:
由于GRE的局限性,P2PGREoverIPSecVPN只能在两个端点之间运行。
二、StaticP2PGREoverIPSec
特点
隧道两端的IP固定
1131bytes
version12.4以12.2(13)T为界限,之前的版本要在物理接口和
GRE接口下同时应用cryptomap,之后的只要在物
理接口下应用
cryptoisakmppolicy1步骤2
encr3des开始配置IPSecVPN
cryptoisakmpkey0ciscoaddress23.23.23.3步骤3
配置对端认证密钥
cryptoipsectransform-setMTesp-3desesp-sha-hmac步骤4
配置转换集
cryptomapMMAP1ipsec-isakmp步骤6
setpeer23.23.23.3配置cryptomap
!
interfaceTunnel1步骤1
ipaddress1.1.1.1255.255.255.0先在两端建立GRE隧道
tunnelsource12.12.12.1
tunneldestination23.23.23.3
interfaceFastEthernet0/0步骤7
ipaddress12.12.12.1255.255.255.0在物理接口下应用
cryptomapMMAP
routerrip步骤8
network1.0.0.0配置路由协议
network10.0.0.0注意通告的接口是私网和GRE的接
口地址
ipaccess-listextendedVPN步骤5
permitgrehost12.12.12.1host23.23.23.3配置感兴趣数据流,注意这里匹配的
地址!
这里只匹配GRE隧道的两端物理地
这样才能将GRE隧道和IPSecVPN关
control-plane联在一起,用户的数据则使用路由协
议进行传输
三、DynamicP2PGREoverIPSec
隧道