锐捷配置IPSEC VPN静态隧道

最新推荐文章于 2024-07-28 17:37:43 发布
最新推荐文章于 2024-07-28 17:37:43 发布
阅读量2.1k 收藏 26
点赞数 41
分类专栏： 锐捷实验配置 文章标签： 服务器 网络 运维 计算机网络
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/m0_74862906/article/details/134907038
版权

1、实验拓扑

2、实验目的

  1. 学习使用IPSEC VPN静态隧道，掌握IPSEC VPN静态隧道配置

3、实验配置

第一步：配置接口地址和静态路由使得R1、R2能够ping通

R1

Ruijie >enable

Ruijie #configure terminal

Ruijie(config)#interface gigabitEthernet 0/0

Ruijie(config-if-GigabitEthernet 0/0)#ip address 192.168.3.1 24

Ruijie(config-if-GigabitEthernet 0/0)#exit

Ruijie(config)#interface gigabitEthernet 0/1

Ruijie(config-if-GigabitEthernet 0/1)#ip address 192.168.1.1 24

Ruijie(config-if-GigabitEthernet 0/1)#exit

Ruijie(config)#ip route 192.168.2.0 255.255.255.0 192.168.3.2

R2

Ruijie >enable

Ruijie #configure terminal

Ruijie(config)#interface gigabitEthernet 0/0

Ruijie(config-if-GigabitEthernet 0/0)#ip address 192.168.3.2 24

Ruijie(config-if-GigabitEthernet 0/0)#exit

Ruijie(config)#interface gigabitEthernet 0/1

Ruijie(config-if-GigabitEthernet 0/1)#ip address 192.168.2.1 24

Ruijie(config-if-GigabitEthernet 0/1)#exit

Ruijie(config)#ip route 192.168.1.0 255.255.255.0 192.168.3.1

第二步：配置静态IPSEC VPN隧道

R1

1、配置ipsec感兴趣流

Ruijie(config)# access-list 101 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255     //指定感兴趣流为源地址192.168.1.0/24，目的地址为192.168.2.0/24的网段。

2、配置isakmp策略

Ruijie(config)#crypto isakmp keepalive 5 periodic      //配置IPSEC DPD探测功能

Ruijie(config)#crypto isakmp policy 1                 //创建新的isakmp策略

Ruijie(isakmp-policy)#authentication pre-share       //指定认证方式为“预共享密码”

Ruijie(isakmp-policy)#encryption 3des                //指定使用3DES进行加密

Ruijie(isakmp-policy)#exit

3、配置预共享密钥

Ruijie(config)#crypto isakmp key 0 ruijie address 192.168.3.2    //指定peer 192.168.3.2的预共享密钥为“ruijie”，对端也必须配置一致的密钥。

4、配置ipsec加密转换集

Ruijie(config)#crypto ipsec transform-set myset  esp-des esp-md5-hmac   //指定ipsec使用esp封装des加密、MD5检验

Ruijie(cfg-crypto-trans)#exit

5、配置ipsec加密图

Ruijie(config)#crypto map mymap 5 ipsec-isakmp              //新建名称为“mymap”的加密图

Ruijie(config-crypto-map)#set peer 192.168.3.2              //指定peer地址

Ruijie(config-crypto-map)#set transform-set myset           //指定加密转换集“myset”

Ruijie(config-crypto-map)#match address 101                //指定感兴趣流为ACL 101

Ruijie(config-crypto-map)#exit

6、将加密图应用到接口

Ruijie(config)#interface gigabitEthernet 0/0

Ruijie(config-if-GigabitEthernet 0/0)#crypto map mymap

R2

1、配置ipsec感兴趣流

Ruijie(config)# access-list 101 permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255

2、配置isakmp策略

Ruijie(config)#crypto isakmp keepalive 5 periodic

Ruijie(config)#crypto isakmp policy 1

Ruijie(isakmp-policy)#authentication pre-share

Ruijie(isakmp-policy)#encryption 3des

Ruijie(isakmp-policy)#exit

3、配置预共享密钥

Ruijie(config)#crypto isakmp key 0 ruijie address 192.168.3.1

4、配置ipsec加密转换集

Ruijie(config)#crypto ipsec transform-set myset  esp-des esp-md5-hmac

Ruijie(cfg-crypto-trans)#exit

5、配置ipsec加密图

Ruijie(config)#crypto map mymap 5 ipsec-isakmp

Ruijie(config-crypto-map)#set peer 192.168.3.1

Ruijie(config-crypto-map)#set transform-set myset

Ruijie(config-crypto-map)#match address 101

Ruijie(config-crypto-map)#exit

6、将加密图应用到接口

Ruijie(config)#interface gigabitEthernet 0/0

Ruijie(config-if-GigabitEthernet 0/0)#crypto map mymap

4、实验验证

1、在R1上使用源ip：192.168.1.1 ping R2的ip：192.168.2.1

2、在R1上查看isakmp、ipsec sa是否已经协商成功

3、在R1上查看ipsec sa 协商情况

听风伴影
关注
专栏目录
锐捷网络—VPN功能—IPSEC 基础配置—IPSec使用动态模式
君逍遥o
09-05 1146
IPSEC动态隧道一般应用于分支节点较多的总分拓扑结构，在中心点配置动态隧道接受各分支的IPSEC VPN拨入。中心点配置简单、易于维护、可扩展性强。
锐捷RSR系列路由器——VPN功能——L2TP_VPDN1.0——L2TP 服务器典型配置
君逍遥o
09-01 3825
L2TP强制隧道模式：在强制隧道模式下，LAC端终结来自远程接入客户的呼叫，然后通过中间网络以隧道方式将PPP会话延伸到LNS。这种模式不要求远程接入客户端了解L2TP，远程接入客户只需要使用PPP拨号到LAC即可。3G解决方案就是采用这种模式。
【锐捷EG配置分支接入总部IPSec over L2tp】
最新发布
weixin_45498884的博客
07-28 511
部署L2TP隧道进行总部对办事处路由的对接验证，验证用户名密码均为test，L2TP隧道密码为test;L2TP用户地址池为10.1.2.1—10.1.2.254;L2TP隧道中承载OSPF协议，使其总部与办事处通过OSPF进行路由交互，区域号1。
锐捷网络—VPN功能—IPSEC 基础配置—基于VRRP的IPSec冗余备份
君逍遥o
09-06 1280
企业的总部有两个出口路由器用来做IPSEC VPN，一主一备，正常情况下，总部和分支机构的数据从主用路由器转发，企业对网络的可靠性要求比较高，当主用路由器出现故障时，能够自动切换到备用路由器，保证总部和分支机构之间还能够正常传输数据、共享资料，那么可以在总部的两个出口路由器上启用基于VRRP的IPSEC冗余备份的功能。
锐捷 睿易路由器 IPSEC 配置
weixin_61960865的博客
06-20 1532
子公司锐捷睿易设备基础配置
锐捷网络—VPN功能—IPSEC 基础配置—IPSEC 静态、动态隧道混用
君逍遥o
09-08 616
若总公司和分公司各自的内网要能够互相共享资料，且希望资料在网络传输中不易被黑客截获破解窃取，保证资料的安全保密，此时您可以在总公司和分公司的网络设备上建立IPSec VPN，它既能实现总公司和分公司之间能够直接互相访问资源，也能对数据传输进行加密，保证了数据的安全性。若总部的IP地址固定，而部分分公司是采用拨号方式上网的（IP地址不固定），部分分公司是采用固定IP地址上互联网的，那么可以在总公司的路由器启用静态、动态混用的IPSec VPN，分公司路由器启用静态IPSEC VPN。
锐捷EG系列路由器WEB界面ipsec设置说明
zelf的专栏
03-17 7681
锐捷的IPSEC分为服务端和客户端，可以支持两端都有公网IP，或其中只有一端有公网的IP的场景。 且不论是主模式还是野蛮模式都有服务端和客户端。 设置实例： 1，先设置服务端。 需要注意： 1，服务端为有公网IP的一端，一般为总部或中心节心。 2策略名称，无要求。 3，绑定接口，即互联网出口，选择WAN口。 4，本地子网范围，与对端建立通讯的子网，当有多个子网时，一次只能建立一个，需要建立多条IPSEC。 5，预共享密钥，两端都填一样。 IKE策略：根据需要选择，需要至少有一条和
锐捷网络—VPN功能—IPSEC 扩展配置—IPSec NAT穿越配置
君逍遥o
09-08 1064
R1为在内网中的一台路由器，通过出口NAT路由器进行地址转换后访问外网，且需要和外网的R3建立IPSEC隧道，对感兴趣流进行加密。
锐捷网络—VPN功能—IPSEC 基础配置—IPSec使用静态隧道
君逍遥o
09-05 1192
若总公司和分公司各自的内网要能够互相共享资料，且希望资料在网络传输中不易被黑客截获破解窃取，保证资料的安全保密，此时您可以在总公司和分公司的网络设备上建立IPSec VPN，它即能实现总公司和分公司之间能够直接互相访问资源，也能对数据传输进行加密，保证了数据的安全性。若总部和分公司均是固定IP地址的方式，那么可以采用静态IPSec VPN。
锐捷网络—VPN功能—IPSEC 基础配置—基于数字证书的IPSec动态隧道（主模式）
君逍遥o
09-05 616
若总公司和分公司各自的内网要能够互相共享资料，且希望资料在网络传输中不易被黑客截获破解窃取，保证资料的安全保密，且分支机构采用ADSL拨号（公网IP地址不固定）的方式上互联网，总部和分支机构采用数字证书分别验证对方的合法性，此时您可以在总公司的网络设备上启用基于数字证书的动态IPSec VPN，分公司的网络设备上启用基于数字证书的静态IPSec VPN。
锐捷网络—VPN功能—IPSec VPN 常见问题和故障
君逍遥o
09-13 3664
IPSec （IP Security ）是一种由IETF设计的端到端的确保IP层通信安全的机制。 IPSec协议可以为IP网络通信提供透明的安全服务，保护TCP/IP通信免遭窃听和篡改，保证数据的完整性和机密性，有效抵御网络攻击。 IPSec不是一个单独的协议，而是一组协议，IPSec协议的定义文件包括了12个RFC文件和几十个Internet草案，已经成为工业标准的网络安全协议。
锐捷交换机路由器配置教程
06-30
目 录 第一章：设备配置和文件管理...............4 1.1 通过TELNET方式来配置设备............4 1.2 更改IOS命令的特权等级...............4 1.3 设备时钟设置.......................5 第二章：交换机基础配置..................5 2.1 交换机vlan和trunk的配置............5 2.2 turnk接口修剪配置..................6 2.3 PVLAN配置.........................7 2.4 端口汇聚配置.......................8 2.5 生成树配置.........................9 2.6 端口镜像配置.......................9 第三章：交换机防止ARP欺骗配置............10 3.1 交换机地址绑定（address-bind）功能.....10 3.2 交换机端口安全功能...................10 3.3 交换机arp-check功能.................11 3.4 交换机ARP动态检测功能(DAI) ..........11 第四章：访问控制列表配置（ACL）............12 4.1 标准ACL配置.........................12 4.2 扩展ACL配置........................13 4.3 VLAN之间的ACL配置..................13 4.4 单向ACL的配置......................15 第五章：应用协议配置....................16 5.1 DHCP服务配置.......................16 5.2 交换机dot1x认证配置................18 5.3 QOS限速配置.......................19 5.4 IPsec配置........................20 5.5 GRE配置..................22 5.6 PPTP配置......................22 5.7 路由器L2TP配置................23 5.8 路由器NAT配置.................24 第六章：路由协议配置..............25 6.1 默认路由配置...................25 6.2 静态路由配置..................25 6.3 浮动路由配置..................25 6.4 策略路由配置..................25 6.5 OSPF配置......................26 6.6 OSPF中router ID配置..........27
锐捷路由器配置指南(基础配置).pdf
10-22
升级失败，开机所有灯亮，但接好console口开机按CTRL+C可进入CTRL>界面，此时只有用TFTP 重新导入REOG.BIN,接一条网线到#1，查看交换机开机信息，注意LIP\RIP地址，（LIP:LOCALIP ADDRESS RTP:REMOTE IP ADDRESS) 在备份文件RGOS.BIN目录下打开TFTP服务，在超级终端上CTRL>提示下输入：TFTP LIP RIP RGOS_BK.BIN -FILE RGOS.BIN EX:TFTP 192.168.64.37 192.168.64.1 S3760E_BK.BIN -FILE RGOS.BIN 注意TFTP服务窗口提示是否granted,传完后， CTRL>SETMAIN RGOS.BIN CTRL>LOAD 此时可看到交换机加载REOG.BIN,>en进入#，#wr保存设置，然后#reload重启看看是否有报错。
锐捷 IPsec 隧道
qq1324434947的博客
01-22 423
local ident (addr/mask/prot/port): (192.168.0.0/0.0.0.255/0/0)) //感兴趣流源地址。remote ident (addr/mask/prot/port): (192.168.1.0/0.0.0.255/0/0)) //感兴趣流目的地址。#pkts encaps: 4, #pkts encrypt: 4, #pkts digest 4//成功封装、加密、摘要报文个数。如使用数字证书/信封认证则无需配置。
锐捷RSR系列路由器—VPN功能—VPDN 2.0 客户端场景配置—L2TP 2.0自发隧道模式-用户AAA验证
君逍遥o
09-05 1709
若总公司和分公司各自的内网要能够互相共享资料，且对数据的安全性要求不高，总公司对分公司路由器采用本地的用户名、密码方式进行验证，此时您可以在总公司和分公司的网络设备上启用强制模式的L2TP VPN，且PPP认证采用本地认证。
锐捷ipsec野蛮模式（积极模式）配置实验+命令解释
m0_62621003的博客
04-01 1554
IPSEC动态隧道一般应用于分支节点较多的总分拓扑结构，在中心点配置动态隧道接受各分支的IPSEC VPN拨入。中心点配置简单、易于维护、可扩展性强。同时由于各分支的IP地址不固定，无法通过IP地址来指定不同的预共享密钥。所有分支使用相同的预共享密钥将极易造成密钥泄露，威胁网络安全。使用域名认证的方法很好地解决了这个问题，通过每个分支配置使用不同的域名，同时在中心点上针对不同的域名指定不同的密钥，保证了密钥安全。
锐捷RSR系列路由器—VPN功能—GRE 功能配置
君逍遥o
09-05 2382
若总公司和分公司各自的内网之间要能够互相共享资料，并且对数据的安全性要求不高，此时您可以在总公司和分公司的网络设备上建立GRE VPN，它即能实现总公司和分公司之间能够直接互相访问资源。
锐捷网关——IPSec内网互访配置
m0_49864110的博客
10-24 1418
定义IPsec数据加密的安全协议、封装模式、加密算法、验证算法等配置名称为111的，交换合集组合为esp-des的交换合集配置数据封装模式为隧道模式或传输模式（默认为隧道模式）
锐捷RSR系列路由器—VPN功能—PPTP—路由器作为PPTP VPN服务器端配置
君逍遥o
09-05 1226
用户使用一台RSR系列路由器作为互联网的出口设备，由于存在较多出差、移动办公用户，并且近期又新成立了分支机构，因此希望这部分用户能通过PPTP VPN技术动态拨入路由器，完成与内网用户和内网应用服务器的正常通信。
锐捷IPsec的配置指令
05-16
以下是锐捷设备IPsec VPN的常用配置指令： 1. 创建IPsec策略 ``` ipsec policy add <name> <action> <src> <dst> <proto> <s_port> <d_port> <crypt> <auth> <pfs> ``` 具体参数说明： - `<name>`：IPsec策略名称，自定义命名。 - `<action>`：数据包处理方式，可选参数为`encrypt`、`decrypt`、`ipsec`、`clear`。 - `<src>`：源地址，可以是单个IP地址、网段或者`any`。 - `<dst>`：目的地址，可以是单个IP地址、网段或者`any`。 - `<proto>`：协议类型，可选参数为`ah`、`esp`、`ipcomp`。 - `<s_port>`：源端口，可选参数为`any`或者具体的端口号。 - `<d_port>`：目的端口，可选参数为`any`或者具体的端口号。 - `<crypt>`：加密算法，可选参数为`des`、`3des`、`aes128`、`aes192`、`aes256`。 - `<auth>`：认证算法，可选参数为`hmac-md5`、`hmac-sha1`、`hmac-sha2-256`、`hmac-sha2-384`、`hmac-sha2-512`。 - `<pfs>`：PFS（Perfect Forward Secrecy）算法，可选参数为`group1`、`group2`、`group5`、`group14`、`group19`、`group20`。 例如，创建一个名为`myipsec`的IPsec策略，源地址为`10.0.0.0/24`，目的地址为`192.168.0.0/24`，协议类型为`esp`，加密算法为`aes256`，认证算法为`hmac-sha2-512`，PFS算法为`group5`，数据包处理方式为`encrypt`，则指令为： ``` ipsec policy add myipsec encrypt 10.0.0.0/24 192.168.0.0/24 esp any any aes256 hmac-sha2-512 group5 ``` 2. 配置IPsec连接 ``` ipsec peer add <name> <addr> <auth> <crypt> <pfs> <local> <remote> <mode> ``` 具体参数说明： - `<name>`：IPsec连接名称，自定义命名。 - `<addr>`：远程IP地址。 - `<auth>`：认证算法，可选参数为`hmac-md5`、`hmac-sha1`、`hmac-sha2-256`、`hmac-sha2-384`、`hmac-sha2-512`。 - `<crypt>`：加密算法，可选参数为`des`、`3des`、`aes128`、`aes192`、`aes256`。 - `<pfs>`：PFS（Perfect Forward Secrecy）算法，可选参数为`group1`、`group2`、`group5`、`group14`、`group19`、`group20`。 - `<local>`：本地IP地址。 - `<remote>`：远程IP地址。 - `<mode>`：模式，可选参数为`main`（主模式）或`aggressive`（快速模式）。 例如，创建一个名为`myvpn`的IPsec连接，本地IP地址为`192.168.1.1`，远程IP地址为`10.0.0.1`，认证算法为`hmac-sha1`，加密算法为`aes128`，PFS算法为`group2`，模式为`main`，则指令为： ``` ipsec peer add myvpn 10.0.0.1 hmac-sha1 aes128 group2 192.168.1.1 10.0.0.1 main ``` 以上是锐捷设备IPsec VPN的常用配置指令，具体使用时还需根据实际需求进行调整。
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值