虛擬專網×××

1、實驗拓撲

Router1 F0/0 <----> Switch1 F0/0
Switch1 F0/1 <----> VPCS V0/1
Switch1 F0/2 <----> VPCS V0/2
Router1 S1/0 <----> Router2 S1/0
Router2 S1/1 <----> Router3 S1/1
Router3 S1/0 <----> Router4 S1/0
Router4 F0/0 <----> VPCS V0/3

2、實驗目的：

一、在北京總部和香港合做夥伴之間的路由器上實現站點到站點的ipsec技術，保證數據的安全性

二、要求實現2個會計部在進行通訊的時候採用ipsec，而市場部的主機上網不採用ipsec

三、設備間驗證的密碼爲cisco123

3、實驗步驟

一、配置路由器，保證網絡的連通性

首先封裝dot1q （單臂路由）

switch#vlan database
switch(vlan)#vlan 10
VLAN 10 added:
    Name: VLAN0010
switch(vlan)#vlan 20
VLAN 20 added:
    Name: VLAN0020
switch(vlan)#exit
APPLY completed.
Exiting....
switch(config)#interface f0/1
switch(config-if)#switchport access vlan 10
switch(config-if)#exit

switch(config)#interface f0/2
switch(config-if)#switchport access vlan 20  將端口加入vlan

switch(config-if)#exit
switch(config)#exit

switch(config)#interface f0/0
switch(config-if)#switchport mode trunk
switch(config-if)#no shut
*Mar  1 00:43:15.803: %DTP-5-TRUNKPORTON: Port Fa0/0 has become dot1q trunk
switch(config-if)#exit

RA(config)#interface f0/0

RA(config-if)#no shut

RA(config)#interface f0/0.1
RA(config-subif)#encapsulation dot1q 10    封裝
RA(config-subif)#ip address 192.168.1.1 255.255.255.0
RA(config-subif)#no shut
RA(config-subif)#exit

RA(config)#interface f0/0.2
RA(config)#ubif)#encapsulation dot1Q 20
RA(config)#interface f0/0
RA(config-if)# )#ip address 192.168.2.1 255.255.255.0
RA(config-if)#f)#no shut
RA(config-if)#f)#exit

在路由器的串口上封裝ppp協議

RA(config)#interface s1/0
RA(config-if)#encapsulation ppp
*Sep  8 16:07:02.959: %CDP-4-DUPLEX_MISMATCH: dup
RA(config-if)#ip address 10.1.1.1 255.255.255.0
RA(config-if)#no shut
RB(config)#interface s1/1
RB(config-if)#encapsulation ppp
RB(config-if)#ip address 20.1.1.1 255.255.255.0
RB(config-if)#no shut

RB(config)#interface s1/0
RB(config-if)#encapsulation ppp
RB(config-if)#ip address 10.1.1.2 255.255.255.0
RB(config-if)#no shut

 

RC(config)#interface s1/1
RC(config-if)#encapsulation ppp
RC(config-if)#ip address 20.1.1.2 255.255.255.0
RC(config-if)#no shut
RC(config-if)#exit
RC(config)#interface s1/0
RC(config-if)#encapsulation ppp
RC(config-if)#ip address 30.1.1.1 255.255.255.0
RC(config-if)#no shut

 

RD(config)#interface s1/0
RD(config-if)#encapsulation ppp     

RD(config-if)#ip address 30.1.1.2 255.255.255.0
RD(config-if)#no shut
RD(config-if)#exit
RD(config)#interface f0/0
RD(config-if)#ip address 172.16.1.1 255.255.255.0
RD(config-if)#no shut

 

配置rip協議

RA(config)#router rip
RA(config-router)#network 192.168.1.0
RA(config-router)#network 192.168.2.0
RA(config-router)#network 10.1.1.0
RA(config-router)#exit
RA(config)#exit

 

RB(config)#router rip
RB(config-router)#network 10.1.1.0
RB(config-router)#network 20.1.1.0
RB(config-router)#exit
RB(config)#exit

 

RC(config)#router rip
RC(config-router)#network 20.1.1.0
RC(config-router)#network 30.1.1.0
RC(config-router)#exit

 

RD(config)#router rip
RD(config-router)#network 30.1.1.0
RD(config-router)#network 172.16.1.0
RD(config-router)#exit  此次整個網絡是通訊的

 

2、在會計部使用ipsec協議

RA(config)#crypto isakmp policy 10  (配置IKE的協商，創建IKE協商策略)

RA(config)-isakmp#hash md5       配置IKE協商參數

RA(config)-isakmp#   encryption 3des

RA(config)-isakmp#authentication pre-share

RA(config)-isakmp#group 5

RA(config)-isakmp#lifetime 10000

設置共享密鑰和對端地址

RA(config)#crypto isakmp key cisco123  address 30.1.1.2

                                  

3、配置ipsec參數

IPsec傳輸模式

RA(config)#crypto ipsec transform-set abc ah-md5-hmac esp-3des esp-md5-hma

RA(config)#acces-list 110  permit ip host 192.168.1.1 host 172.16.1.2

RA(config)#crypto map apple 10 ipsec-isakmp

RA(config)-crypto-map#match address 110

RA(config)-crypto-map#set peer 30.1.1.2

RA(config)-crypto-map#set transform-set abc

RA(config)#interface s1/0   將應用Crypto map到端口

RA(config)#crypto map apple

 

 

RD(config)#crypto isakmp policy 10   雙方應用要一至

RD(config-isakmp)#hash md5

RD(config-isakmp)#encrytion 3des

RD(config-isakmp)#authentication pre-share

RD(config-isakmp)#lifetime 10000

RD(config-isakmp)#group 5

 

RD(config)#crypto isakmp key cisco123 address 10.1.1.1

RD(config)#crypto ipsec transform-set aaa ah-md5-hamc     

                          esp-3des esp-md5-hma

RD(config)# access-list 111 permit ip host 172.16.1.1 host 192.168.1.1

RD(config)#crypto map guo 10 ipsec-isakmp

RD(config-ipsec-isakmp)#match address 111

RD(config-ipsec-isakmp)#set peer 10.1.1.1

RD(config-ipsec-isakmp)#set transform-set aaa

RD(config)#interface s1/0

RD(interface-if)#crypto map guo

 

4、IPsec ×××配置的檢查

Router#show crypto isakmp policy  顯示協商策略

Router#show crypto ipsec transform-set  顯示路由器上設置的 transform-set

 

Router# show crypto ipsec sa 顯示當前安全聯盟的使用設置

Router#show crypto map  顯示所喲配置在路由器上的crypto map