学不会IPsec -我把女朋友送给你！

什么是VPN？

虚拟专用网：virtual private network，可简单理解为在网络上虚拟出来的一条链路，传输的数据更加安全。

---

案例

实验要求：

1. 总公司客户端pc1可以通过vpn访问分公司的服务器pc3
2. 总公司的客户端pc1可以访问internet上的pc2

---

推荐步骤

温馨提示：这里用路由器模拟三台PC

一、基本配置

1、BEIJING路由器的配置

BEIJING(config)# int f0/0
BEIJING(config-if)# ip add 192.168.1.1 255.255.255.0
BEIJING(config-if)# no sh

BEIJING(config-if)# int f1/0
BEIJING(config-if)# ip add 100.1.1.1 255.255.255.252
BEIJING(config-if)# no sh
BEIJING(config)#ip route 0.0.0.0 0.0.0.0 100.1.1.2

nat配置

配置ACL
BEIJING(config)#access-list 110 deny ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
BEIJING(config)#access-list 110 permit ip any any
BEIJING(config)#ip nat inside source list 110 int f1/0 overload
BEIJING(config)#int f0/0
BEIJING(config-if)#ip nat inside
BEIJING(config-if)# int f1/0
BEIJING(config-if)#ip nat outside

2.ISP路由器的配置

ISP(config)#int f1/0
ISP(config-if)#ip add 100.1.1.2 255.255.255.252
ISP(config-if)#no sh

ISP(config-if)#int f0/0
ISP(config-if)# ip add 11.1.1.1 255.255.255.0
ISP(config-if)#no sh

ISP(config-if)#int f2/0
ISP(config-if)#ip add 200.1.1.1 255.255.255.252
ISP(config-if)#no sh

3.SHANGHAI路由器配置

SHANGHAI(config)#int f1/0
SHANGHAI(config-if)#ip add 200.1.1.2 255.255.255.252
SHANGHAI(config-if)#no sh

SHANGHAI(config-if)#int f0/0
SHANGHAI(config-if)#ip add 192.168.2.1 255.255.255.0
SHANGHAI(config-if)#no sh

SHANGHAI(config-if)#ip route 0.0.0.0 0.0.0.0 200.1.1.1

4.pc1的配置

PC1(config)#int f0/0
PC1(config-if)#ip add 192.168.1.2 255.255.255.0
PC1(config-if)#no sh

PC1(config-if)#ip route 0.0.0.0 0.0.0.0 192.168.1.1

5.pc2的配置

PC2(config)#int f0/0
PC2(config-if)#ip add 11.1.1.2 255.255.255.0
PC2(config-if)#no sh

PC2(config-if)#ip route 0.0.0.0 0.0.0.0 11.1.1.1

启用telnet服务，用于测试

PC2(config)#line vty 0 4
PC2(config-line)#pass cisco
PC2(config-line)#login

6.pc3的配置

PC3(config)#int f0/0
PC3(config-if)#ip add 192.168.2.2 255.255.255.0
PC3(config-if)#no sh

PC3(config-if)#ip route 0.0.0.0 0.0.0.0 192.168.2.1

二、vpn的配置

1.路由器(BEIJING)的配置

1）阶段一：配置ISAKMP策略

BEIJING(config)#crypto isakmp policy 1
BEIJING(config-isakmp)#encryption aes
BEIJING(config-isakmp)#hash sha
BEIJING(config-isakmp)#authentication pre-share
BEIJING(config-isakmp)#group 1
BEIJING(config-isakmp)#lifetime 10000
beijing(config-isakmp)#exit
BEIJING(config)#crypto isakmp key 123456 address 200.1.1.2

2）阶段二的配置

配置感兴趣的数据流（需要通过vpn传输的流量）

BEIJING(config)#access-list 100 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255

定义传输集，用以定义保护数据的安全协议

BEIJING(config)#crypto ipsec transform-set BEIJING esp-aes esp-sha-hmac
mode tunnel //可选

3)创建map，将第一阶段和第二阶段的配置结合起来。并将其应用在接口上

BEIJING(config)#crypto map BEIJING 1 ipsec-isakmp

会出现提示信息

BEIJING(config-crypto-map)#set peer 200.1.1.2
BEIJING(config-crypto-map)#set transform-set BEIJING
BEIJING(config-crypto-map)#match address 100

BEIJING(config-crypto-map)#exit
BEIJING(config)#int f1/0
BEIJING(config-if)#crypto map BEIJING

提示：ISAKMP策略开关，打开

2.SHANGHAI端的配置

1）阶段一的配置

SHANGHAI(config)#crypto isakmp policy 1
SHANGHAI(config-isakmp)#encryption aes
SHANGHAI(config-isakmp)#hash sha
SHANGHAI(config-isakmp)#authentication pre-share
SHANGHAI(config-isakmp)#group 1
SHANGHAI(config-isakmp)#exit

SHANGHAI(config)#crypto isakmp key 123456 address 100.1.1.1

2）阶段二的配置

配置感兴趣的数据流（需要通过vpn传输的流量）

SHANGHAI(config)#access-list 100 permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255

定义传输集，用以定义保护数据的安全协议

SHANGHAI(config)#crypto ipsec transform-set shanghai esp-aes esp-sha-hmac

3)创建map，将第一阶段和第二阶段的配置结合起来。并将其应用在接口上

SHANGHAI(config)#crypto map shanghai 1 ipsec-isakmp
SHANGHAI(config-crypto-map)#match address 100
SHANGHAI(config-crypto-map)#set peer 100.1.1.1
SHANGHAI(config-crypto-map)#set transform-set shanghai
SHANGHAI(config-crypto-map)#exit
SHANGHAI(config)#int f1/0
SHANGHAI(config-if)#crypto map shanghai
SHANGHAI(config-if)#

测试：
1.在pc1上ping pc3 注意：实验环境，需要多等一会，配置才能生效，否则，配置无误但验证不成功

2.在pc1 上telnet pc2

Telnet则不用等，直接会成功。