虚拟专网×××

1、实验拓扑

Router1 F0/0 <----> Switch1 F0/0
Switch1 F0/1 <----> VPCS V0/1
Switch1 F0/2 <----> VPCS V0/2
Router1 S1/0 <----> Router2 S1/0
Router2 S1/1 <----> Router3 S1/1
Router3 S1/0 <----> Router4 S1/0
Router4 F0/0 <----> VPCS V0/3

2、实验目的：

一、在北京总部和香港合做伙伴之间的路由器上实现站点到站点的ipsec技术，保证数据的安全性

二、要求实现2个会计部在进行通讯的时候采用ipsec，而市场部的主机上网不采用ipsec

三、设备间验证的密码为cisco123

3、实验步骤

一、配置路由器，保证网络的连通性

首先封装dot1q （单臂路由）

switch#vlan database
switch(vlan)#vlan 10
VLAN 10 added:
    Name: VLAN0010
switch(vlan)#vlan 20
VLAN 20 added:
    Name: VLAN0020
switch(vlan)#exit
APPLY completed.
Exiting....
switch(config)#interface f0/1
switch(config-if)#switchport access vlan 10
switch(config-if)#exit

switch(config)#interface f0/2
switch(config-if)#switchport access vlan 20  将端口加入vlan

switch(config-if)#exit
switch(config)#exit

switch(config)#interface f0/0
switch(config-if)#switchport mode trunk
switch(config-if)#no shut
*Mar  1 00:43:15.803: %DTP-5-TRUNKPORTON: Port Fa0/0 has become dot1q trunk
switch(config-if)#exit

RA(config)#interface f0/0

RA(config-if)#no shut

RA(config)#interface f0/0.1
RA(config-subif)#encapsulation dot1q 10    封装
RA(config-subif)#ip address 192.168.1.1 255.255.255.0
RA(config-subif)#no shut
RA(config-subif)#exit

RA(config)#interface f0/0.2
RA(config)#ubif)#encapsulation dot1Q 20
RA(config)#interface f0/0
RA(config-if)# )#ip address 192.168.2.1 255.255.255.0
RA(config-if)#f)#no shut
RA(config-if)#f)#exit

在路由器的串口上封装ppp协议

RA(config)#interface s1/0
RA(config-if)#encapsulation ppp
*Sep  8 16:07:02.959: %CDP-4-DUPLEX_MISMATCH: dup
RA(config-if)#ip address 10.1.1.1 255.255.255.0
RA(config-if)#no shut
RB(config)#interface s1/1
RB(config-if)#encapsulation ppp
RB(config-if)#ip address 20.1.1.1 255.255.255.0
RB(config-if)#no shut

RB(config)#interface s1/0
RB(config-if)#encapsulation ppp
RB(config-if)#ip address 10.1.1.2 255.255.255.0
RB(config-if)#no shut

 

RC(config)#interface s1/1
RC(config-if)#encapsulation ppp
RC(config-if)#ip address 20.1.1.2 255.255.255.0
RC(config-if)#no shut
RC(config-if)#exit
RC(config)#interface s1/0
RC(config-if)#encapsulation ppp
RC(config-if)#ip address 30.1.1.1 255.255.255.0
RC(config-if)#no shut

 

RD(config)#interface s1/0
RD(config-if)#encapsulation ppp     

RD(config-if)#ip address 30.1.1.2 255.255.255.0
RD(config-if)#no shut
RD(config-if)#exit
RD(config)#interface f0/0
RD(config-if)#ip address 172.16.1.1 255.255.255.0
RD(config-if)#no shut

 

配置rip协议

RA(config)#router rip
RA(config-router)#network 192.168.1.0
RA(config-router)#network 192.168.2.0
RA(config-router)#network 10.1.1.0
RA(config-router)#exit
RA(config)#exit

 

RB(config)#router rip
RB(config-router)#network 10.1.1.0
RB(config-router)#network 20.1.1.0
RB(config-router)#exit
RB(config)#exit

 

RC(config)#router rip
RC(config-router)#network 20.1.1.0
RC(config-router)#network 30.1.1.0
RC(config-router)#exit

 

RD(config)#router rip
RD(config-router)#network 30.1.1.0
RD(config-router)#network 172.16.1.0
RD(config-router)#exit  此次整个网络是通讯的

 

2、在会计部使用ipsec协议

RA(config)#crypto isakmp policy 10  (配置IKE的协商，创建IKE协商策略)

RA(config)-isakmp#hash md5       配置IKE协商参数

RA(config)-isakmp#   encryption 3des

RA(config)-isakmp#authentication pre-share

RA(config)-isakmp#group 5

RA(config)-isakmp#lifetime 10000

设置共享密钥和对端地址

RA(config)#crypto isakmp key cisco123  address 30.1.1.2

                                  

3、配置ipsec参数

IPsec传输模式

RA(config)#crypto ipsec transform-set abc ah-md5-hmac esp-3des esp-md5-hma

RA(config)#acces-list 110  permit ip host 192.168.1.1 host 172.16.1.2

RA(config)#crypto map apple 10 ipsec-isakmp

RA(config)-crypto-map#match address 110

RA(config)-crypto-map#set peer 30.1.1.2

RA(config)-crypto-map#set transform-set abc

RA(config)#interface s1/0   将应用Crypto map到端口

RA(config)#crypto map apple

 

 

RD(config)#crypto isakmp policy 10   双方应用要一至

RD(config-isakmp)#hash md5

RD(config-isakmp)#encrytion 3des

RD(config-isakmp)#authentication pre-share

RD(config-isakmp)#lifetime 10000

RD(config-isakmp)#group 5

 

RD(config)#crypto isakmp key cisco123 address 10.1.1.1

RD(config)#crypto ipsec transform-set aaa ah-md5-hamc     

                          esp-3des esp-md5-hma

RD(config)# access-list 111 permit ip host 172.16.1.1 host 192.168.1.1

RD(config)#crypto map guo 10 ipsec-isakmp

RD(config-ipsec-isakmp)#match address 111

RD(config-ipsec-isakmp)#set peer 10.1.1.1

RD(config-ipsec-isakmp)#set transform-set aaa

RD(config)#interface s1/0

RD(interface-if)#crypto map guo

 

4、IPsec ×××配置的检查

Router#show crypto isakmp policy  显示协商策略

Router#show crypto ipsec transform-set  显示路由器上设置的 transform-set

 

Router# show crypto ipsec sa 显示当前安全联盟的使用设置

Router#show crypto map  显示所哟配置在路由器上的crypto map