思科模拟器配置IPsecVPN

网络需求

在CampusA和CampusC的出口路由器上配置IPsecVPN,使两个校园之间能够进行通信

拓扑图搭建：

准备工作

网络配置：Internet区域采用OSPF动态协议配置，campus的设备路由均采用静态路由

Campus A 区域：

campus C区域：

IPsecVPN配置

- Router A配置

# 1. 定义ACL
RouterA(config)#ip access-list extended 100
RouterA(config-ext-nacl)#10 permit ip 10.16.0.0 0.0.0.255 10.8.0.0 0.0.0.255
RouterA(config-ext-nacl)#100 deny ip any any 

# 2. 启动激活isakmp功能
RouterA(config)#crypto isakmp enable 


# 3. 创建与配置IKE协商策略
RouterA(config)#crypto isakmp policy 10             #取值1~10000，数字越小，优先级越高
RouterA(config-isakmp)#encryption aes 256           #配置指定加密算法
RouterA(config-isakmp)#authentication pre-share     #配置指定身份认证的类型
RouterA(config-isakmp)#hash sha                     #配置指定数据校验使用的hash算法
RouterA(config-isakmp)#group 5                      #配置IKE采用的DH组(配置密钥所采用的组。参数1代表DH1,参数2代表DH2，参数5代表DH5)
RouterA(config-isakmp)#lifetime seconds 86400       #代表SA的生存时间，单位为秒；可以省略

# 4. 创建与配置IKE协商策略
RouterA(config)#crypto isakmp key ccie address 222.100.50.2  #设置预共享密钥和VPN对端地址

# 5. 建立IPsec转换集
RouterA(config)#crypto ipsec transform-set my123 esp-aes 256 esp-sha-hmac 

# 6. 创建并配置加密映射
RouterA(config)#crypto map vpnmap 5 ipsec-isakmp 
RouterA(config-crypto-map)#set peer 222.100.50.2
RouterA(config-crypto-map)#set transform-set my123  #配置用于进行VPN传输变换的转换集
RouterA(config-crypto-map)#match address 100        #匹配策略定义源到目标的安全流量

# 7. 应用加密映射到VPN路由器的外网接口
RouterA(config)#interface f0/0
RouterA(config-if)#crypto map vpnmap
*Jan  3 07:16:26.785: %CRYPTO-6-ISAKMP_ON_OFF: ISAKMP is ON

- Router C配置

# 1. 定义ACL：
RouterC(config)#ip access-list extended 100
RouterC(config-ext-nacl)#10 permit ip 10.8.0.0 0.0.0.255 10.16.0.0 0.0.0.255
RouterC(config-ext-nacl)#100 deny ip any any
RouterC(config-ext-nacl)#exit

# 2. 激活isakmp功能
RouterC(config)#crypto isakmp enable

# 3. 创建与配置IKE协商策略
RouterC(config)#crypto isakmp policy 10
RouterC(config-isakmp)#encryption aes 256
RouterC(config-isakmp)#authentication pre-share
RouterC(config-isakmp)#hash sha
RouterC(config-isakmp)#group 5

# 4. 设置 预共享密钥和VPN对端地址
RouterC(config)#crypto isakmp key ccie address 222.101.100.2

# 5. 建立IPsec 转换集
RouterC(config)#crypto ipsec transform-set my123 esp-aes 256 esp-sha-hmac

# 6. 创建并配置加密映射
RouterC(config)#crypto map vpnmap 5 ipsec-isakmp
% NOTE: This new crypto map will remain disabled until a peer
and a valid access list have been configured.

RouterC(config-crypto-map)#set peer 222.101.100.2
RouterC(config-crypto-map)#set transform-set my123
RouterC(config-crypto-map)#match address 100

# 7. 应用 加密映射到VPN路由器的外网接口
RouterC(config)#interface f0/0
RouterC(config-if)#crypto map vpnmap

*Jan 3 07:16:26.785: %CRYPTO-6-ISAKMP_ON_OFF: ISAKMP is ON

配置完成检测：

在 campus A 区域的 10.16.0.10 主机 上 ping campus C 区域的主机 10.8.0.10 :