【思科】IPsec VPN 实验配置（地址固定）

最新推荐文章于 2024-05-24 16:35:19 发布
最新推荐文章于 2024-05-24 16:35:19 发布
阅读量2.1k 收藏 41
点赞数 27
分类专栏： 思科 文章标签： 思科 智能路由器 网络 运维 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2301_77161465/article/details/135334919
版权

【思科】IPsec VPN 实验配置（地址固定）

在这里插入图片描述

注意

因为本篇文章，就是IPsec的实验配置的话，它们两端的IP地址是固定的
那么就用第一阶段的主模式（Main Mode）
和第二阶段的快速模式（Quick Mode）就好啦
后面会有一个地址不固定的情况下，这个就需要用到一个动态安全策略啦

实验需求

R1为企业总部网关，R3为企业分部网关，分部与总部通过公网建立通信。分部子网为202.101.23.0/24，总部子网为202.101.12.0/24。

企业希望对分部子网与总部子网之间相互访问的流量进行安全保护。分部与总部通过公网建立通信，可以在分部网关与总部网关之间建立一个IPSec隧道来实施安全保护。
在这里插入图片描述

配置思路

  1. 基础配置，实现全网互通（命名 + IP地址 + 静态路由）保证两端路由可达

  2. 第一阶段 IKE SA
    ① 设置IKE的策略，里面包含开启预共享密钥的认证、加密算法、DH组等内容
    ② 配置预共享密钥和对等体地址

  3. 第二阶段 IPsec SA
    ① 转换集
    ② ACL ： 匹配保护的流量，即定义需要IPSec保护的数据流
    ③ 配置安全策略组map，并引用ACL、IPSec转换集和对等体IP地址，确定对何种数据流采取何种保护方法

  4. 在接口上应用安全策略组map，使接口具有IPSec的保护功能

IPsec VPN 本质：阶段一保护阶段二 阶段二保护数据

配置命令

拓扑

在这里插入图片描述

R1

基础配置

配置R1的基础配置，再用默认路由实现公网可达

R1(config)#int e0/0
R1(config-if)#no shutdown 
R1(config-if)#ip address 202.101.12.1 255.255.255.0
R1(config-if)#ex

R1(config)#int e0/1
R1(config-if)#no shutdown 
R1(config-if)#ip address 192.168.10.254 255.255.255.0
R1(config-if)#ex

R1(config)#ip route 0.0.0.0 0.0.0.0 202.101.12.2        ##配置默认路由指向ISP运营商，实现公网可达

配置第一阶段 IKE SA

协商出IKE SA ，对第二阶段IPsecSA的协商过程做保护

## 创建IKE的策略，优先级为10
R1(config)#crypto isakmp policy 10 
R1(config-isakmp)#encryption 3des                  ## 用3des加密
R1(config-isakmp)#authentication pre-share         ## 身份认证用预共享密钥
R1(config-isakmp)#hash md5                         ## 配置完整性校验方式为 md5
R1(config-isakmp)#group 5                          ## 设置 DH 组 5
R1(config-isakmp)#ex

## 配置与共享密钥为 520，对方的密钥也要是一致才能匹配成功，才能协商IKE SA
R1(config)#crypto isakmp key 520 address 202.101.23.3

配置第二阶段 IPsec SA

在阶段1建立的IKE SA的保护下完成IPSec SA的协商

## 创建转换集 myset（名字） 
## 封装协议（esp-md5完整性校验 3des 加密 ）
R1(config)#crypto ipsec transform-set myset esp-3des esp-sha256-hmac   
R1(cfg-crypto-trans)#mode tunnel          ## 传输方式用隧道传输
R1(cfg-crypto-trans)#exit 

## 协商感兴趣流量，也就是需要保护的流量
R1(config)#access-list 100 permit ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255     

## 将配置的内容都引用在安全策略map里面 ，使用ike自动协商
R1(config)#crypto map mymap 10 ipsec-isakmp          
R1(config-crypto-map)#match address 100         ## 匹配ACL 100
R1(config-crypto-map)#set peer 202.101.23.3     ## 设置对端对等体地址
R1(config-crypto-map)#set transform-set myset   ## 绑定转换集 myset
R1(config-crypto-map)#ex

## 在出接口上调用
R1(config)#int e0/0
R1(config-if)#crypto map mymap               ##进入接口，调用其安全策略mymap
R1(config-if)#ex

ISP_R2

基础配置

ISP_R2(config)#int e0/0
ISP_R2(config-if)#no shutdown
ISP_R2(config-if)#ip address 202.101.12.2 255.255.255.0
ISP_R2(config-if)#ex

ISP_R2(config)#int e0/1
ISP_R2(config-if)#no shutdown 
ISP_R2(config-if)#ip address 202.101.23.2 255.255.255.0
ISP_R2(config-if)#ex

R3

基础配置

配置R3的基础配置，再用默认路由实现公网可达

R3(config)#int e0/0
R3(config-if)#no shut
R3(config-if)#ip address 202.101.23.3 255.255.255.0
R3(config-if)#ex

R3(config)#int e0/1
R3(config-if)#no shut
R3(config-if)#ip address 192.168.20.254 255.255.255.0
R3(config-if)#ex

R3(config)#ip route 0.0.0.0 0.0.0.0 202.101.23.2        ##配置默认路由指向ISP运营商，实现公网可达

配置第一阶段 IKE SA

协商出IKE SA ，对第二阶段IPsecSA的协商过程做保护

## 创建IKE的策略，优先级为10
R3(config)#crypto isakmp policy 10                 ## 用策略来存放IKE的配置
R3(config-isakmp)#encryption 3des                  ## 用3des加密
R3(config-isakmp)#authentication pre-share         ## 身份认证用预共享密钥
R3(config-isakmp)#hash md5                         ## 配置完整性校验方式为 md5
R3(config-isakmp)#group 5                          ## 设置 DH 组 5
R3(config-isakmp)#ex

## 配置预共享密钥为 520，对方的密钥也要是一致才能匹配成功，才能协商IKE SA
R3(config)#crypto isakmp key 520 address 202.101.12.1

配置第二阶段 IPsec SA

在阶段1建立的IKE SA的保护下完成IPSec SA的协商

## 创建转换集 myset（名字） 
## 封装协议（esp-md5完整性校验 3des 加密 ）
R1(config)#crypto ipsec transform-set myset esp-3des esp-sha256-hmac   
R1(cfg-crypto-trans)#mode tunnel          ## 传输方式用隧道传输
R1(cfg-crypto-trans)#exit 

## 协商感兴趣流量，也就是需要保护的流量
R3(config)#access-list 100 permit ip 192.168.20.0 0.0.0.255 192.168.10.0 0.0.0.255      

## 将配置的内容都引用在安全策略map里面 ，使用ike自动协商
R3(config)#crypto map mymap 10 ipsec-isakmp          
R3(config-crypto-map)#match address 100         ## 匹配ACL 100
R3(config-crypto-map)#set peer 202.101.12.1     ## 设置对端对等体地址
R3(config-crypto-map)#set transform-set myset   ## 绑定转换集 myset
R3(config-crypto-map)#ex

## 在出接口上调用
R3(config)#int e0/0
R3(config-if)#crypto map mymap               ##进入接口，调用其安全策略mymap
R3(config-if)#ex

PC

因为我是在EVE中来操作思科模拟器，所以我就用路由器来模拟PC电脑，就需要关闭路由功能

PC1

PC1(config)#no ip routing                            ## 关闭路由功能
PC1(config)#ip default-gateway 192.168.10.254        ## 配置网关
PC1(config)#int e0/0
PC1(config-if)#no shutdown                 
PC1(config-if)#ip address 192.168.10.1 255.255.255.0  
PC1(config-if)#ex

PC2

PC2(config)#no ip routing                            ## 关闭路由功能
PC2(config)#ip default-gateway 192.168.20.254        ## 配置网关
PC2(config)#int e0/0
PC2(config-if)#no shutdown
PC2(config-if)#ip address 192.168.20.1 255.255.255.0
PC2(config-if)#ex

检查

抓包查看（需要用PC ping 才能触发IPsec VPN，思科的IPsec VPN不是自动触发的）
在这里插入图片描述

建立成功

里面主模式交换六个报文，成功协商IKE SA
而快速模式的三个报文，就成功的协商IPsec SA
这两个出来就成功建立了 IPsec VPN，对流量实施了加密啦~
在这里插入图片描述

查看命令

查看IKE SA的基本信息

R1#show crypto isakmp sa在这里插入图片描述

查看IPsec SA的基本信息

R1# show crypto ipsec sa
在这里插入图片描述

清除IKE / IPsec SA命令

为什么要清楚掉IKE / IPsec呢？
因为，这个IPsec VPN它是按照第一次配置的代码来执行的，当我们想改一下传输模式或者加密方式等等，就需要先清除掉之前的SA信息，就是IPsec SA和IKE SA，这样子才能去完成修改，切记哦

清除 IKE SA的命令：

R1#clear crypto isakmp
在这里插入图片描述
清除 IPsec VPN的命令：

R1#clear crypto sa
在这里插入图片描述

配置文档

R1

hostname R1

int e0/0
no shut
ip address 202.101.12.1 255.255.255.0
ex

int e0/1
no shut
ip address 192.168.10.254 255.255.255.0
ex

ip route 0.0.0.0 0.0.0.0 202.101.12.2        

crypto isakmp policy 10 
encryption 3des 
authentication pre-share 
hash md5 
group 5
ex

crypto isakmp key 520 address 202.101.23.3  

crypto ipsec transform-set myset esp-3des esp-sha256-hmac 
mode tunnel 
exit 

access-list 100 permit ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255     

crypto map mymap 10 ipsec-isakmp
match address 100
set peer 202.101.23.3
set transform-set myset
ex

int e0/0
crypto map mymap
ex

R3

hostname R3

int e0/0
no shutdown
ip address 202.101.23.3 255.255.255.0
ex

int e0/1
no shutdown
ip address 192.168.20.254 255.255.255.0
ex

ip route 0.0.0.0 0.0.0.0 202.101.23.2        

crypto isakmp policy 10 
encryption 3des 
authentication pre-share 
hash md5 
group 5
ex

crypto isakmp key 520 address 202.101.12.1  

crypto ipsec transform-set myset esp-3des esp-sha256-hmac 
mode tunnel 
exit 

access-list 100 permit ip 192.168.20.0 0.0.0.255 192.168.10.0 0.0.0.255     

crypto map mymap 10 ipsec-isakmp
match address 100
set peer 202.101.12.1
set transform-set myset
ex

int e0/0
crypto map mymap
ex
张白夕
关注
  • 27
    点赞
  • 踩
  • 41
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
专栏目录
企业级无固定IPSEC配置实战
悦分享
10-09 431
早期主模式不能使用在非固定IP场景下 , 进行身份验证密钥查找时，只能根据IP地址进行查找 , 不能根据域名方式进行查找预共享密钥-无法进行身份验证。早期解决方案使用野蛮模式。目前新款网络设备中，大部分设备已经完成主模式功能更新，可以支持通过域名方式完成身份验证。大部分场景下可以不再考虑使用野蛮模式，安全系数低于主模式。
VPN应用场景典型案例-远程VPN本地网关为固定IP组网应用
xkyby1992的专栏
03-07 1079
本文为VPN应用场景典型案例-远程VPN本地网关为固定IP组网应用，请各位有需要的同仁学习参考，谢谢各位的支持
【华为】IPsec VPN 实验配置（地址固定）
2301_77161465的博客
01-08 2967
本篇文章是关于IPsec VPN的 实验配置，场景是在两端的IP地址都是固定的情况下，里面有配置思路和配置代码，还有注释等等
网络拓扑—VPN服务搭建
最新发布
本散修的一些学习心得与笔记，道友请自便。
05-24 1619
网络拓扑—VPN服务搭建
思科IPsec VPN基本配置
weixin_68021856的博客
07-22 3295
R1(config)#crypto ipsec transform-set myset esp-3des esp-md5-hmac //配置转换集名字myset， IPSec的封装协议esp-3des esp-md5-hmac（默认隧道模式tuunel）R1(config-crypto-map)#set transform-set myset //关联转换集myset。在配置IPSec前首先要保证公网可达：在R1和R3上写一条默认路由。
思科IPSec的配置
weixin_34067049的博客
06-14 3467
IPSec建立连接的过程一、对等体建立连接大体分为：1、流量触发：IPSec建立连接是首先是由对等体直接的数据流触发的。我们通过配置这些IPSec保护的数据流，可以明确哪些数据流会触发IPSec建立连接2、建立管理连接：IPSec使用ISAKMP/IKE阶段1来建立管理连接。管理连接不进行数据传输，只是数据传输前的准备工作。管理连接阶段需要明确对等体之间的哪种设备验证方式、加密算法、认证算法以及D...
思科Ipsec配置
weixin_34203832的博客
07-28 549
R1和R3通过ISP构建×××隧道，R1和R3的LAN之间的流量使用预共享密钥方式进行×××加密。第一步：确保R1与R3的网络联通(互相可以Ping通对方的广域网接口)R1：iproute0.0.0.00.0.0.012.1.1.2R3：iproute0.0.0.00.0.0.032.1.1.2第二步：×××阶段一策略配置R1：cryptoisakmpp...
Cisco路由器配置Ipsec
热门推荐
amsilence的博客
10-23 1万+
Cisco 路由器配置Ipsec，以及各阶段的SA内容解读
Cisco路由器IPsec配置.doc
07-12
以下为路由器A的配置，路由器B只需对相应配置作更改即可 1：配置IKE router(config)# crypto isakmp enable #启用IKE(默认是启动的) router(config)# crypto isakmp ...VPN两端路由器的上述配置要完全一样。 2：配
思科路由器对接山石网科防火墙——IPSec.doc
08-18
思科路由器对接山石网科防火墙——IPSec.doc
H3C SecPathF10X0_L2TP over IPSec配置.IOS、Android、Win7、Win10免客户端接入
04-07
H3C防火墙F10X0 V7版本，配置L2tp over ipsec，实现ios和android以及各版本Windows终端，免客户端接入的配置，内含关键配置点说明。
Cisco路由器配置GRE隧道.docx
07-12
Cisco路由器配置GRE隧道 路由封装(GRE)最早是由Cisco提出的，而目前它已经成为了一种标准，被定义在RFC 1701, RFC 1702, 以及RFC 2784中。简单来说，GRE就是一种隧道协议，用来从一个网络向另一个网络传输数据包。 ...
野蛮模式IPSec的典型组网和配置.pdf
11-12
野蛮模式IPSec的典型组网和配置.pdf
思科 IPSec ***配置2：
weixin_33898233的博客
02-05 320
要求： 1. 研发小组可以通过×××访问总公司研发服务器，但不能访问internet 2. 分公司的其他客户端可以访问internet 实验topo构想： 终端配置： ip地址配置： R0配置： Router>enableRouter#conf tRouter(config)#no ip domain lookupRouter(config)#line console 0Router(c...
思科防火墙IPsec配置-主模式方式(基于9.9版本)
xiayu0912的专栏
02-06 2002
思科防火墙9.9版本，配置Ipsec主模式
思科ipsec配置及trouble shooting详解
Grimm的博客
01-25 6335
拓扑： R2模拟总部出口，R3模拟分支出口，R4，R5分别模拟对于内网设备 目的： 使用ipsec vpn打通两端内网 整体配置思路： 1.建立vpn的前提是隧道两端的公网ip网络可达 2.需要配置第一阶段（DH协商，预共享密钥），第二阶段（感兴趣流，转换集（封装协议，封装模式）触发MAP匹配感兴趣流） 3.调用MAP到出口端口 具体配置： 第一阶段 配置DH协商（第一二个报文交互） crypto isakmp policy 10 encryption aes 256 //加密算法 authenticat
思科路由器ipsecvpn高级配置
IT技术
03-13 3811
完成： 所有的分支和总部都可以ipsecvpn互防，且都能上公网访问服务器。 分支和分支也能ipsecvpn访问，走的是总部跳转。 总部路由配置： bj-router#show running-config Building configuration… Current configuration : 1627 bytes ! version 12.4 no service timestamps log datetime msec no service timestamps debug datetime .
Cisco配置IPsec与NAT问题
qq_51871685的博客
11-11 1301
IPsec与NAT转换
Cisco Packet Tracer实战 - IPSec VPN配置练习
weixin_44517249的博客
02-29 2969
IPSec全称为Internet Protocol Security，是由Internet Engineering Task Force (IETF) 定义的安全标准框架，在公网上为两个私有网络提供安全通信通道,通过加密通道保证连接的安全——在两个公共网关间提供私密数据封包服务
帮我写gre over ipsec vpn实验文档
04-24
当然可以！下面是gre over ipsec vpn实验文档的基本步骤： 1.准备工作 在进行实验之前，你需要具备以下知识和技能： •网络基础知识（TCP/IP协议、子网掩码、IP地址、路由等） •GRE协议和IPSec协议的基本概念 •使用telnet工具访问路由器的基本操作 •使用Wireshark抓包分析的基本操作 •使用VPCS模拟本地主机的基本操作 此外，你还需要准备以下设备： •两台路由器（建议使用Cisco路由器） •一台计算机（用来运行Wireshark抓包工具） •两个VPCS（用来模拟本地主机） 2.配置GRE隧道 首先，你需要在两台路由器上配置GRE隧道。 具体步骤如下： （1）在Router1上创建一个隧道接口，并将Tunnel0接口的IP地址设置为192.168.100.1/24。 # configure terminal # interface tunnel 0 # ip address 192.168.100.1 255.255.255.0 # tunnel source fa0/0 # tunnel destination 10.0.0.2 # exit （2）在Router2上创建一个隧道接口，并将Tunnel0接口的IP地址设置为192.168.100.2/24。 # configure terminal # interface tunnel 0 # ip address 192.168.100.2 255.255.255.0 # tunnel source fa0/0 # tunnel destination 10.0.0.1 # exit 3.配置IPSec协议 接下来，你需要在两台路由器上配置IPSec协议，以加密隧道内的数据流。 具体步骤如下： （1）在Router1上创建IPSec策略，启用AH（认证头）协议，并将其应用到Tunnel0接口上。 # configure terminal # crypto isakmp policy 1 # encr aes # authentication pre-share # group 2 # exit # crypto isakmp key cisco123 address 10.0.0.2 # exit # crypto ipsec transform-set GRE-AH esp-aes esp-sha256-hmac # crypto map GRE 10 ipsec-isakmp # set peer 10.0.0.2 # set transform-set GRE-AH # match address VPN-TRAFFIC # exit （2）在Router2上创建IPSec策略，启用AH协议，并将其应用到Tunnel0接口上。 # configure terminal # crypto isakmp policy 1 # encr aes # authentication pre-share # group 2 # exit # crypto isakmp key cisco123 address 10.0.0.1 # exit # crypto ipsec transform-set GRE-AH esp-aes esp-sha256-hmac # crypto map GRE 10 ipsec-isakmp # set peer 10.0.0.1 # set transform-set GRE-AH # match address VPN-TRAFFIC # exit 4.测试GRE over IPSec VPN隧道 最后，你可以通过ping命令测试GRE over IPSec VPN隧道是否正常。 具体步骤如下： （1）在VPCS1上ping VPCS2的IP地址。 C:\> ping 192.168.1.2 如果VPN隧道正常工作，你会得到一个回复。 （2）在Wireshark中查看VPN隧道内的通信内容。 选择Tunnel0接口，启动抓包功能，并在VPCS1上执行ping命令。你可以看到通过VPN隧道传输的所有数据包。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

张白夕

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值