Cisco Packet Tracer实战 - IPSec VPN配置练习

已于 2024-02-29 11:49:24 修改
阅读量2.8k 收藏 61
点赞数 16
分类专栏： 通信 计算机网络 文章标签： 网络 智能路由器 信息与通信 网络安全 网络协议 计算机网络
于 2024-02-29 11:42:37 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_44517249/article/details/136366679
版权

题目要求

实验网络拓扑图如图所示

在这里插入图片描述

1、基础配置如下：
(1)按图中所示配置总公司和分公司中各计算机、服务器、路由器对应端口的IP地址相关信息；
(2)在Router0和Router1上配置一条默认路由，实现Internet间互通
(3) 测试Router0和Router1的公网地址间的互通性
2、在总公司与分公司之间配置IPsec VPN，实现两地私有地址的内部网络之间可以实现相互通信。
（1） 配置 IKE（ISAKMP）策略：
策略序号为1，加密算法为aes，Hash 算法为MD5，密钥算法（Diffie-Hellman）为group 2，认证方式（Authentication）为pre-share。
（2）定义认证标识：预共享密码为tx18
（3）配置 IPsec transform：
定义transform set命名为tx18set，加密算法为esp-3des， HMAC 算法为esp-MD5-HMAC
（4）定义感兴趣流量：
用扩展acl 180来定义通过 VPN 传输的流量
（5）创建 crypto map：
定义transform set命名为tx18map，将之前定义的 ACL，加密数据发往的对端，以及 IPsec transform 结合在 crypto map中
（6）将 crypto map 应用于对应接口
3、测试PC0能否ping通PC5，为什么？
4、分析IPSec VPN数据包，了解IPSec VPN数据封装格式
5、选做：
在公司边界路由器上做NAT（数据自选），实现总公司和分公司的PC可以ping通公网PC

配置Router 0端口地址

R0> enable												#进入特权模式
R0# config terminal										#进入全局模式
R0(config)# interface FastEthernet 0/0					#进入Fa0/0端口
R0(config-if)# ip address 192.168.123.254 255.255.255.0	#配置IP地址和子网掩码
R0(config-if)# no shutdown								#启用端口
R0(config-if)# exit										#退出Fa0/0端口
R0(config)# interface Serial 0/3/0						#进入Se0/3/0端口
R0(config-if)# ip address 58.1.1.1 255.255.255.252		#配置IP地址和子网掩码
R0(config-if)# no shutdown								#启用端口
R0(config-if)# exit										#退出Se0/3/0端口

配置Router 1端口地址

R1> enable												#进入特权模式
R1# config terminal										#进入全局模式
R1(config)# interface FastEthernet 0/0					#进入Fa0/0端口
R1(config-if)# ip address 192.168.100.254 255.255.255.0	#配置IP地址和子网掩码
R1(config-if)# no shutdown								#启用端口
R1(config-if)# exit										#退出Fa0/0端口
R1(config)# interface Serial 0/3/0						#进入Se0/3/0端口
R1(config-if)# ip address 210.28.144.2 255.255.255.252	#配置IP地址和子网掩码
R1(config-if)# no shutdown								#启用端口
R1(config-if)# exit										#退出Se0/3/0端口

配置Router 2端口地址

R2> enable												#进入特权模式
R2# config terminal										#进入全局模式
R2(config)# interface FastEthernet 0/0					#进入Fa0/0端口
R2(config-if)# ip address 63.1.1.1 255.255.255.0		#配置IP地址和子网掩码
R2(config-if)# no shutdown								#启用端口
R2(config-if)# exit										#退出Fa0/0端口
R2(config)# interface Serial 0/1/0						#进入Se0/1/0端口
R2(config-if)# ip address 58.1.1.2 255.255.255.252		#配置IP地址和子网掩码
R2(config-if)# exit										#退出Se0/1/0端口
R2(config)# interface Serial 0/0/0						#进入Se0/0/0端口
R2(config-if)# ip address 210.28.144.1 255.255.255.252	#配置IP地址和子网掩码
R2(config-if)# no shutdown								#启用端口
R2(config-if)# exit										#退出Se0/0/0端口

Router 0配置静态路由

R0(config)# ip route 0.0.0.0 0.0.0.0 58.1.1.2			#配置静态路由

Router 1配置静态路由

R0(config)# ip route 0.0.0.0 0.0.0.0 210.28.144.1		#配置静态路由

Router 0和Router 1公网间互通性

在这里插入图片描述

Router 0和Router 1公网地址间可以互通。

Router 0配置IPsec VPN

（1） 配置 IKE（ISAKMP）策略

策略序号为1，加密算法为aes，Hash 算法为MD5，密钥算法（Diffie-Hellman）为group 2，认证方式（Authentication）为pre-share。

R0(config)# crypto isakmp policy 1				#建立IKE策略，优先级为1
R0(config-isakmp)# encryption aes 				#使用AES加密方式	
R0(config-isakmp)# hash md5						#指定Hash算法为MD5
R0(config-isakmp)# authentication pre-share		#使用预共享的密码进行身份验证
R0(config-isakmp)# group 2						#指定秘钥位数，group2安全性更高

（2）定义认证标识：预共享密码为tx18

R0(config)# crypto isakmp key tx18 address 210.28.144.2		
#设置要使用的预共享秘钥和指定VPN对端路由器的IP地址。

（3）配置 IPsec transform：
定义transform set命名为tx18set，加密算法为esp-3des， HMAC 算法为esp-MD5-HMAC

R0(config)# crypto ipsec transform-set tx18set esp-3des esp-md5-hmac		
#配置IPSec交换集，名称为tx18set，两端的名字可以不一样，但其它参数必须一致。

（4）定义感兴趣流量：
用扩展acl 180来定义通过 VPN 传输的流量

R0(config)# access-list 180 permit ip 192.168.123.0 0.0.0.255 192.168.100.0 0.0.0.255	#定义感兴趣数据，IPSec  VPN地址为双方内网地址。

（5）创建 crypto map：
定义transform set命名为tx18map，将之前定义的 ACL，加密数据发往的对端，以及 IPsec transform 结合在 crypto map中

R0(config)# crypto map tx18map 1 ipsec-isakmp 		#创建加密图	
R0(config-crypto-map)# set peer 210.28.144.2		#标识对方路由器IP地址
R0(config-crypto-map)# set transform-set tx18set 	#指定加密图使用的IPSec交换集
R0(config-crypto-map)# match address 180			#用ACL定义加密的通信

（6）将 crypto map 应用于对应接口

R0(config)# interface Serial 0/3/0		#进入Se0/3/0端口
R0(config-if)# crypto map tx18map		#应用加密图到接口

Router 1配置IPsec VPN

（1） 配置 IKE（ISAKMP）策略

策略序号为1，加密算法为aes，Hash 算法为MD5，密钥算法（Diffie-Hellman）为group 2，认证方式（Authentication）为pre-share。

R0(config)# crypto isakmp policy 1					#建立IKE策略，优先级为1
R0(config-isakmp)# encryption aes 					#使用AES加密方式	
R0(config-isakmp)# hash md5							#指定Hash算法为MD5
R0(config-isakmp)# authentication pre-share			#使用预共享的密码进行身份验证
R0(config-isakmp)# group 2							#指定秘钥位数，group2安全性更高

（2）定义认证标识：预共享密码为tx18

R0(config)# crypto isakmp key tx18 address 58.1.1.1		#定义预共享密码

（3）配置 IPsec transform：
定义transform set命名为tx18set，加密算法为esp-3des， HMAC 算法为esp-MD5-HMAC

R0(config)# crypto ipsec transform-set tx18set esp-3des esp-md5-hmac		#配置IPSec交换集，名称为tx18set，两端的名字可以不一样，但其它参数必须一致。

（4）定义感兴趣流量：
用扩展acl 180来定义通过 VPN 传输的流量

R0(config)# access-list 180 permit ip 192.168.100.0 0.0.0.255 192.168.123.0 0.0.0.255	#定义感兴趣数据，IPSec  VPN地址为双方内网地址。

（5）创建 crypto map：
定义transform set命名为tx18map，将之前定义的 ACL，加密数据发往的对端，以及 IPsec transform 结合在 crypto map中

R0(config)# crypto map tx18map 1 ipsec-isakmp 		#创建加密图
R0(config-crypto-map)# set peer 58.1.1.1			#标识对方路由器IP地址	
R0(config-crypto-map)# set transform-set tx18set 	#指定加密图使用的IPSec交换集
R0(config-crypto-map)# match address 180			#用ACL定义加密的通信

（6）将 crypto map 应用于对应接口

R0(config)# interface Serial 0/3/0			#进入Se0/3/0端口
R0(config-if)# crypto map tx18map			#应用加密图到接口

测试PC0能否ping通PC5，为什么？

在这里插入图片描述

解析：PC 0可以ping通PC 5，因为此时我们配置了IPSec VPN，分公司之间的访问会通过IPSec VPN隧道进行访问。

分析IPSec VPN数据包，了解IPSec VPN数据封装格式

进入仿真模式，用PC0 ping PC5，并单步运行，直到面板上出现Last Device为Switch 0，At Device为Router 0的数据包为止，查看该数据包的Inbound PDU Details和 OurBound PDU Details。

在这里插入图片描述

外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传

观察第一张图可知：封装前的数据包源IP地址为192.168.123.10，目的IP地址为192.168.100.20。观察第二张图可知：封装后在原始IP头之前增加了新的IP头和ESP头，在新的IP头中源IP地址为58.1.1.1，目的地址为210.28.144.2，IPSec封装已经完成。ESP头中的信息如下：ESP SPI为1469921110，ESP序号为0，ESP的加密方式为3DES，ESP认证方式为MD5。

Router 0边界配置NAT

R0(config)# interface FastEthernet 0/0
R0(config-if)# ip nat inside
R0(config-if)# exit
R0(config)# interface Serial 0/3/0
R0(config-if)# ip nat outside
R0(config-if)# exit
R0(config)# ip nat pool natpool 100.1.1.1 100.1.1.2 netmask 255.255.255.252
R0(config)# ip nat inside source list 101 pool natpool overload

Router 1边界配置NAT

R1(config)# interface FastEthernet 0/0
R1(config-if)# ip nat inside
R1(config-if)# exit
R1(config)# interface Serial 0/3/0
R1(config-if)# ip nat outside
R1(config-if)# exit
R1(config)# ip nat pool natpool 200.1.1.1 200.1.1.3 netmask 255.255.255.248
R1(config)# ip nat inside source list 101 pool natpool overload

出现新问题

在这里插入图片描述

配置了NAT之后我们发现：PC0 不能ping通PC 5了。这是因为IPSec与NAT发生了冲突，路由器对数据包的处理流程是先进行NAT转换，然后进行IPSec封装。所以要对进行IPSec封装的数据流进行一些相关设置，使该数据流不被NAT转换，这样才能成功进行IPSec通信。

解决问题

Router 0添加配置

R0(config)# access-list 101 deny ip 192.168.123.0 0.0.0.255 192.168.100.0 0.0.0.255
R0(config)# access-list 101 permit ip 192.168.123.0 0.0.0.255 any

Router 1添加配置

R1(config)# access-list 101 deny ip 192.168.100.0 0.0.0.255 192.168.123.0 0.0.0.255
R1(config)# access-list 101 permit ip 192.168.100.0 0.0.0.255 any

测试结果

在这里插入图片描述

在这里插入图片描述

我们发现总公司和分公司的PC可以ping通公网PC，且解决了上面出现的配置NAT之后内网间无法互相访问的问题。

终会与你同行吖
关注
  • 16
    点赞
  • 踩
  • 61
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
计算机网络实验之Cisco Packet Tracer 实验
weixin_52848637的博客
01-03 388
本部分实验共有 15 个，需使用 Cisco Packet Tracer 软件完成。
1_159 陈怡霏 10.4.3-packet-tracer---basic-device-configuration_zh-CN.pka
11-20
1_159 陈怡霏 10.4.3-packet-tracer---basic-device-configuration_zh-CN.pka
Cisco Packet Tracer实战 - 网络设备安全配置综合实训
最新发布
weixin_44517249的博客
03-01 2676
《网络设备安全配置与管理》综合实训目的在于通过实际案例需求分析完成设备的仿真配置，同时根据需求完成网络安全配置与管理，保证数据网络安全正常运行。从而能在实际工程中理解网络安全通信的含义。
【思科】IPsec VPN 实验配置（地址固定）
2301_77161465的博客
01-17 2071
本篇文章是关于思科的IPsec VPN里面的，但它的情况是两端的IP地址都是固定的，里面的配置的话，每行都会有注释，会更详细些，有问题可以评论区见啦
CISCO PACKET TRACER
07-18
CISCO PACKET TRACER
Cisco Packet Tracer实战 - GRE VPN
weixin_44517249的博客
02-29 489
实战思科交换机配置GRE VPN
Packet Tracer - 使用 CLI 配置并验证站点间 IPsec VPN
傻傻的心动的博客
05-11 4045
Packet Tracer - 使用 CLI 配置并验证站点间 IPsec VPN
记录一下cisco的ipsecV-p-n配置
cztvu的专栏
12-28 374
2.7.1 Packet Tracer - Single-Area OSPFv2 Configuration
05-27
Cisco Packet Tracer 思科模拟器 2.7.1 Packet Tracer - Single-Area OSPFv2 Configuration 正确答案文件 可直接上交正确答案文件 本答案版权归mewhaku所有，严禁再次转载！！！ Copyright @mewhaku 2022 All ...
11.6.1 Packet Tracer - Switch Security Configuration
05-27
11.6.1 Packet Tracer - Switch Security ...Cisco Packet Tracer 思科模拟器 正确答案文件 可直接上交正确答案文件 本答案版权归mewhaku所有，严禁再次转载！！！ Copyright @mewhaku 2022 All Rights Reserved
计算机网络实验与学习指导-基于Cisco Packet Tracert模拟器-程序源代码pka文件.rar
12-25
计算机网络实验与学习指导-基于Cisco Packet Tracert模拟器-程序源代码pka文件，为叶阿勇等主编《计算机网络实验与学习指导》的实验内容，基于Cisco Packet Tracert6.0.1完成，经过测试过的。希望对学习思科网络的同学有所帮助。
ciscovpn完全配置指南.pdf
07-13
ciscovpn完全配置指南.pdf
Cisco路由器IPsec配置.doc
07-12
以下为路由器A的配置，路由器B只需对相应配置作更改即可 1：配置IKE router(config)# crypto isakmp enable #启用IKE(默认是启动的) router(config)# crypto isakmp policy 100 #建立IKE策略,优先级为100 router(config-isakmp)# authentication pre-share #使用预共享的密码进行身份验证 router(config-isakmp)# encryption des #使用des加密方式 router(config-isakmp)# group 1 #指定密钥位数，group 2安全性更高，但更耗cpu router(config-isakmp)# hash md5 #指定hash算法为MD5(其他方式：sha，rsa) router(config-isakmp)# lifetime 86400 #指定SA有效期时间。默认86400秒，两端要一致 以上配置可通过show crypto isakmp policy显示。VPN两端路由器的上述配置要完全一样。 2：配
Cisco模拟器 Packet Tracer 7.2.1 for Windows 64 bit
07-30
思科模拟器Cisco Packet Tracer是一个功能强大的网络仿真程序
6.8.1 Packet Tracer - Configure NAT for IPv4
05-27
6.8.1 Packet Tracer - Configure NAT for ...Cisco Packet Tracer 思科模拟器 正确答案文件 可直接上交正确答案文件 本答案版权归mewhaku所有，严禁再次转载！！！ Copyright @mewhaku 2022 All Rights Reserved
5.5.1 Packet Tracer - IPv4 ACL Implementation Challenge
05-27
Cisco Packet Tracer 思科模拟器 5.5.1 Packet Tracer - IPv4 ACL Implementation Challenge 正确答案文件 可直接上交正确答案文件 本答案版权归mewhaku所有，严禁再次转载！！！ Copyright @mewhaku 2022 All ...
思科vpn配置笔记
qq_48257021的博客
12-20 2912
通过VPN，用户可以在网络中建立一条安全的通道，将数据加密传输，实现隐私保护和匿名上网。crypto map wenmap 1 ipsec-isakmp ：这个1 表示该隧道标识，，因为只能用一张表，但是可能一个接口不只一条隧道，改成2就表示另一个隧道了，还可以用这个表。5.防止拒绝服务攻击：IPSec可以根据安全策略对流量进行限制，拦截来自未授权的流量，减少对被保护的资源的攻击。这里的acl起匹配的作用，不起过滤的作用，只有当它应用到接口上时起到过滤流量的作用，在这里是匹配能走vpn的流量。
从零开始学习Cisco Packet Tracer8.0.
waqxz的博客
06-09 1007
人工智能应用在Cisco Packet Tracer上模拟方法探索。
Packet Tracer-路由器基本配置概述
05-18
Packet Tracer是一种网络模拟工具，可以用来模拟网络设备的配置和操作。在Packet Tracer中，路由器是网络中用来连接不同子网的设备，它可以转发数据包并控制流量。 以下是路由器基本配置的概述： 1. 连接路由器：使用串行或以太网线将路由器连接到计算机或其他网络设备。 2. 进入命令行界面：在路由器上启动命令行界面，并输入相应的命令来配置路由器。 3. 配置主机名：使用hostname命令为路由器配置一个唯一的主机名。 4. 配置IP地址：使用ip address命令为路由器配置一个IP地址。 5. 配置子网掩码：使用subnet-mask命令为路由器配置子网掩码。子网掩码用于确定IP地址的网络部分和主机部分。 6. 配置默认网关：使用default-gateway命令为路由器配置默认网关。默认网关用于将数据包转发到目标网络。 7. 配置路由：使用route命令为路由器配置路由表。路由表用于控制数据包的转发路径。 8. 配置接口：使用interface命令配置路由器的接口。接口用于连接路由器和其他设备，并指定接口的IP地址和子网掩码。 9. 保存配置：使用copy running-config startup-config命令将当前配置保存到路由器的非易失性存储器中，以便在路由器重启后自动加载配置。 以上是路由器基本配置的概述，但实际应用中还需要根据具体网络环境进行更详细的配置。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值