***以及PAT的应用（思科）

实验目的：

 如图所示，某软件开发公司在中小城市建立了分支公司，分支公司开发项目小组所在网络地址为 172.16.10.0/24，该网络的主机可以通过 ××× 访问总公司开发数据服务器（10.10.33.0/24）。分支公司的其他客户端（172.16.20.0/24 网段）可以访问 Internet。

配置步骤及思路：

 1.配置pc机

     PC1:   
                 IP :172.16.20.1 
                 子网掩码：255.255.255.0
                 网    关： 172.16.20.254
     PC2:   
                 IP :172.16.10.1 
                 子网掩码：255.255.255.0
                 网    关： 172.16.10.254
    Server-PT
                 IP :10.10.33.1
                 子网掩码：255.255.255.0
                 网    关： 10.10.33.254
2.配置路由
                   R1:
                             interface  g0/0                                  进入接口
                                      ip  address 172.16.20.254      配置网关
                                        no shutdown                       激活端口
                            interface   g0/1                                 进入接口
                                       ip  address 172.16.20.254     配置网关
                                         no shutdown                       激活端口
                            interface  g0/2                                   进入接口
                                      ip  address 192.168.10.1        配置一个网段    
                                        no shutdown                       激活端口
                            R2:
                        interface  f0/0                                 进入接口
                                      ip  address 192.168.10.2       配置一个网段 
                                        no shutdown                       激活端口
                            interface  f0/1                                进入接口
                                      ip  address 192.168.20.1       配置一个网段 
                                        no shutdown                       激活端口
                R3:
                        interface  f0/0                                 进入接口
                                      ip  address 192.168.20.2       配置一个网段 
                                        no shutdown                       激活端口
                            interface  f0/1                                进入接口
                                      ip  address 192.168.30.1       配置一个网段 
                                        no shutdown                       激活端口
                R4:
                        interface  f0/0                                 进入接口
                                      ip  address 192.168.30.2       配置一个网段 
                                        no shutdown                       激活端口
                            interface  f0/1                                进入接口
                                      ip  address 10.10.33.254    配置服务器的网关
                                        no shutdown                       激活端口

3.配置路由条目：

     R1
                  写一条默认路由交给下一跳
                            ip route  0.0.0.0   0.0.0.0   192.168.10.2
     R2
                  写一条默认路由交给下一跳
                            ip route  0.0.0.0   0.0.0.0   192.168.20.2
                因为要有回包所以要写两条静态路由交给下一跳
                         ip route  172.16.10.0   255.255.255.0  192.168.10.1
                             ip route   172.16.20.0  255.255.255.0   192.168.10.1
    R3      要配置×××所以不用写路由条目
    R4         写一条默认路由交给下一跳
                    ip   route  0.0.0.0   0.0.0.0  192.168.30.1

4.配置PAT让pc1可以访问外网

    access-list 1 permit 172.16.20.0 0.0.0.255     要转换的内网
    ip nat inside source list 1 interface f0/0 overload     要转换的外网边界端口
     interface  f0/0               进入端口
                ip nat  inside               确认内网边界
     interface  f0/1               进入端口
                ip nat  outside         确认外网边界
     验证，测试

注：ping 192.168.30.1
5.配置×××可以让pc2访问研发服务器

在路由2上配置（子公司）
    配置 ISAKMP 策略
                R1(config)#crypto isakmp policy 1
                R1(config-isakmap)#encryption 3des
                R1(config-isakmap)#hash sha
                R1(config-isakmap)#authentication pre-share
                R1(config-isakmap)#group 2
                R1(config)#crypto isakmp key tedu address 192.168.30.2
    配置 ACL
                R1(config)#access-list 100 permit ip 172.16.10.0 0.0.0.255 10.10.33.0 0.0.0.255
    配置 IPSec 策略（转换集）
                R1(config)#crypto ipsec transform-set yf-set esp-des ah-sha-hmac
    配置加密映射集
                R1(config)#crypto map yf-map 1 ipsec-isakmp
                R1(config-crypto-map)#set peer 192.168.30.2
                R1(config-crypto-map)#set transform-set yf-set
                R1(config-crypto-map)#match address 100
    将映射集应用在接口
                R1(config)#interface f0/1
      R1(config-if)#crypto map yf-map

在路由R4上配置（总公司）

 IPSec ××× 方面的配置
            R2(config)#crypto isakmp policy 1
            R2(config-isakmap)#encryption 3des
            R2(config-isakmap)#hash sha
            R2(config-isakmap)#authentication pre-share
            R2(config-isakmap)#group 2
            R2(config)#crypto isakmp key tedu address 192.168.20.1
            R2(config)#access-list 100 permit ip 10.10.33.0 0.0.0.255 172.16.10.0 0.0.0.255
            R2(config)#crypto ipsec transform-set yf-set esp-des ah-sha-hmac
            //加密和认证算法要与分公司匹配
            R2(config)#crypto map yf-map 1 ipsec-isakmp
            R2(config-crypto-map)#set peer 192.168.20.1
            R2(config-crypto-map)#set transform-set yf-set
            R2(config-crypto-map)#match address 100
            R2(config)#interface f0/0
            R2(config-if)#crypto map yf-map

验证，测试

转载于:https://blog.51cto.com/13568840/2069178