IPSec VPN之移动用户接入实验

实验背景

某公司/单位有出差人员，基于网络安全和访问便捷的需求，希望实现出差人员可以访

问到公司/单位内网，在公网之间传输数据进行加密

实验设备

Router三台(cisco)

VPC一台(模拟企业总部服务器)

Win 7 一台(模拟移动用户终端)

实验拓扑

实验步骤

Win 7

新建一个网络 net cloud0，临时将主机直接与网络 net cloud0 互联，完成从物理主

机复制工具文件(cisco vpn client)到 Win 7 主机

开机后，Win 7主机开启远程桌面服务，且查看主机自动获得的ip地址:

物理主机启动ftp-server

Win 7主机下载文件 

解压并安装 

关机，重新将 Win 7 主机按照拓扑要求互联

开机重新配置 Win 7主机 IP 参数:

Ip地址:192.168.20.1                 网络掩码:255.255.255.0

网关:192.168.20.254                DNS: 114.114.114.114

Router3

酒店边界路由器

Router(config)#int g0/1
Router(config-if)#no shutdown
Router(config-if)#ip address 192.168.20.254 255.255.255.0
Router(config-if)#ip nat inside
Router(config-if)#exit

Router(config)#int g0/0
Router(config-if)#no shutdown
Router(config-if)#ip add 202.103.95.112 255.255.255.0
Router(config-if)#ip nat outside
Router(config-if)#exit

Router(config)#ip route 0.0.0.00.0.0.0 202.103.95.111  指向公网路由器

Router(config)#access-list 1 permit any
Router(config)#ip nat inside source list 1 interface g0/0 overload  酒店客房访问公网

Router2

公网路由器

Router(config)#int g0/1
Router(config-if)#no shutdown
Router(config-if)#ip address 202.103.95.111 255.255.255.0
Router(config-if)#exit

Router(config)#int gO/0
Router(config-if)#no shutdown
Router(config-if)#ip address 202.103.96.111 255.255.255.0
Router(config-if)#exit

Router1

总部边界路由器 

Router(config)#int g0/1
Router(config-if)#no shutdown
Router(config-if)#ip address 192.168.10.254 255.255.255.0  内网网段
Router(config-if)#exit

Router(config)#int g0/0
Router(config-if)#no shutdown
Router(config-if)#ip address 202.103.96.112 255.255.255.0
Router(config)#ip route 0.0.0.0 0.0.0.0 202.103.96.111 指向公网路由器

配置IE阶段1安全策略
Router(config)#crypto isakmp policy 10
Router(config-isakmp)#encryption des
Router(config-isakmp)#authentication pre-share
Router(config-isakmp)#hash md5
Router(config-isakmp)#group 2
Router(config-isakmp)#exit

Router(config)#access-list 101 permit ip 192.168.10.00.0.0.255 any  指定移动用户可以访问的总部内网网段
Router(config)#ip local pool vpn 192.168.200.1 192.168.200.254  给移动终端分配地址
Router(config)#crypto isakmp client configuration group zhangsan  指定移动用户的身份 ID为zhangsan

设备身份认证的pre-shared key 绑定地址池
Router(config-isakmp-group)#key zhangsan
Router(config-isakmp-group)#pool vpn
Router(config-isakmp-group)#ac 101 调用 acl，最终在 vpn 接入时，为终端生成路由
Router(config-isakmp-group)#exit

开启认证功能
Router(config)#aaa new-model
Router(config)#username zhangsan password zhangsa  创建用户名和密码
Router(config)#aaa authenticationloginvpnlocal 开启对登陆 vpn 的用户进行认证，定义认证列表名为 vpn
Router(config)#aaa authorizationnetworkvpnLocal 对认证通过用户授权，定义授权列表为 vpn
Router(config)#crypto ipsec transform-set1esp-md5-hmacesp-des 配置IKE 阶段2策略 1
Router(cfg-crypto-trans)#mode tunnel
Router(cfg-crypto-trans)#exit

创建动态隧道映射表，名为vpn
Router(config)#crypto dynamic-map vpn 1
Router(config-crypto-map)#set transform-set 1
Router(config-crypto-map)#exit

Router(config)#cryptomapipsecvpn 1 ipsec-isakmpdynamicvpn 创建静态隧道映射表并把动态映射表 vpn 绑定其上
Router(config)#crypto map ipsecvpn client configuration address respond 建立时,分配地址给移动终端
Router(config)#crypto map ipsecvpn client authentication list vpn绑定认证列表 vpn
Router(config)#crypto map ipsecvpn isakmp authorization list vpn绑定授权列表 vpn

Router(config)#int g0/0    绑定静态隧道映射表到出接口
Router(config-if)#crypto map ipsecvpn
Router(config-if)#exit

 PC1

企业总部服务器

VPCS>ip 192.168.10.1 255.255.255.0 192.168.10.254
VPCS>ip dns 114.114.114.114

实验结果 

接下来，在出差人员的 Win 7 主机终端上运行 Cisco vpn client 与总部 vpn 网关建立 IPSEC隧道

         

        

测试，Win 7 主机与企业总部内网的 IP 连通可达

查看 Win 7 主机的网络连接，增加了一个 cisco vpn 虚拟网卡，并从 vpn 网关获取到 IP 地址，Win 7 主机就是用这个接口与 VPN 隧道建立映射并使用其 IP 为源与总部互通，将访问总部内网的数据送入到 vpn 隧道中，vpn 建立后修改了 Win 7 主机的路由表

提问

虚拟IP池里面的IP可以随意设置吗?

可以，但是一定要考虑回包路由的问题。

PC 登陆 vpn之后，数据是如何进入隧道的?

通过虚拟 IP 进入隧道，虚拟网卡对数据进行重新加密封装，将数据送入 VPN 隧道

数据流量流动的路径？