應(yīng)用實(shí)例：VPN技術(shù)配置及相關(guān)路由配置，寬帶普及以后，經(jīng)常面臨VPN技術(shù)配置的問題。所以，今天我準(zhǔn)備向大家介紹VPN技術(shù)配置技巧，希望本文能教會(huì)你更多東西，為大家的生活帶來方便。

VPN技術(shù)配置是企業(yè)實(shí)現(xiàn)安全遠(yuǎn)程互聯(lián)的有效方法。本文根據(jù)一個(gè)應(yīng)用實(shí)例，具體描述VPN技術(shù)配置的配置和實(shí)施過程。其主要應(yīng)用特點(diǎn)包括:基于封裝安全負(fù)載標(biāo)準(zhǔn)ESP-DES(Encapsulating Securiry Payload - Data Encryption Standard)的IPSec;專有網(wǎng)絡(luò)通過端口地址轉(zhuǎn)換(PAT)技術(shù)訪問Internet。

一、 網(wǎng)絡(luò)基本情況

該單位公司總部在北京，全國(guó)有3個(gè)分支機(jī)構(gòu)。要求做到在4個(gè)地點(diǎn)的數(shù)據(jù)能夠?qū)崟r(shí)查詢，便于業(yè)務(wù)員根據(jù)具體情況作出正確決策。早期方案是使用路由器，通過速率為256Kbps的DDN專網(wǎng)連接北京總部。

但技術(shù)人員通過市場(chǎng)調(diào)研，發(fā)現(xiàn)該網(wǎng)絡(luò)運(yùn)營(yíng)成本過高。通過進(jìn)一步的咨詢和調(diào)整，最終方案是分支機(jī)構(gòu)使用DDN在本地接入Internet，總部使用以太網(wǎng)就近接入Internet。并對(duì)互聯(lián)的路由器進(jìn)行配置，使用VPN技術(shù)配置，保證內(nèi)部數(shù)據(jù)通過Internet安全傳輸。

二、配置過程及測(cè)試步驟

在實(shí)施配置前，需要檢查硬件和軟件是否支持VPN技術(shù)配置。對(duì)于Cisco路由器，要求IOS版本高于12.0.6(5)T，且?guī)PSec功能。本配置在Cisco路由器上配置通過。以下是分支網(wǎng)絡(luò)1的路由器實(shí)際配置過程，其他路由器的配置方法與此基本一致，只需修改具體的環(huán)境參數(shù)(IP地址和接口名稱)即可。以下黑體字為輸入部分，< Enter >為鍵盤對(duì)應(yīng)鍵，^Z為Ctrl+Z組合鍵。

VPN技術(shù)配置配置路由器的基本參數(shù)，并測(cè)試網(wǎng)絡(luò)的連通性

◆進(jìn)入路由器配置模式：將計(jì)算機(jī)串口與路由器console口連接，并按照路由器說明書配置"終端仿真"程序。執(zhí)行下述命令進(jìn)入配置模式。

Router>en

Router#config terminal

Router(config)#

◆配置路由器的基本安全參數(shù)：主要是設(shè)置特權(quán)口令、遠(yuǎn)程訪問口令和路由器名稱，方便遠(yuǎn)程調(diào)試。

Router(config)#enable secret xxxxxxx

Router(config)#line vty 0 4

Router(config-line)#password xxxxxx

Router(config-line)#exit

Router(config)#hostname huadong

huadong(config)#

◆配置路由器的以太網(wǎng)接口，并測(cè)試與本地計(jì)算機(jī)的連通性，注意: 配置前，請(qǐng)將線纜與相關(guān)設(shè)備連接好。其中ethernet0/0端口接內(nèi)部網(wǎng)絡(luò)，serial0/0端口接外部網(wǎng)絡(luò)。外部網(wǎng)絡(luò)接口地址由ISP分配，至少一個(gè)地址，多者不限。以下假定為一個(gè)，使用PAT模式，地址為210.75.32.9，上級(jí)路由器為210.75.32.10。內(nèi)部網(wǎng)絡(luò)地址如附圖所標(biāo)示。關(guān)鍵是配置IP地址和啟用以太網(wǎng)接口。測(cè)試時(shí)，使用基本的測(cè)試命令ping。#p#

huadong(config)#inter eth0/0

huadong(config-if)#ip address 172.17.1.1 255.255.255.0

huadong(config-if)#no shutdown

以下是VPN技術(shù)配置測(cè)試命令:

huadong#ping 172.17.1.1

…

!!!!!

…

huadong#ping 172.17.1.100

…

!!!!!

…

在IP地址為172.17.1.100的計(jì)算機(jī)上:

c:>ping 172.17.1.1

Pinging 172.17.1.1 with 32 bytes of data:

Reply from 172.17.1.1: bytes=32 time=5ms TTL=255

……

結(jié)果證明連接及配置正確。

◆VPN技術(shù)配置配置路由器的串口，并測(cè)試與上級(jí)路由器的連通性，與以太網(wǎng)口的配置方法類似，而且需要指定帶寬和包的封裝形式。同時(shí)，注意將Cisco設(shè)備特有的CDP協(xié)議關(guān)掉，保證基本的安全。

huadong(config)#inter serial0/0

huadong(config-if)#ip address 210.75.32.9 255.255.255.252

huadong(config-if)#bandwidth 256

huadong(config-if)#encapsulation ppp

huadong(config-if)#no cdp enable

huadong(config-if)#no shutdown

以下是測(cè)試命令:

huadong#ping 210.75.32.9

……

!!!!!

……

huadong#ping 210.75.32.10

……

!!!!!

……

結(jié)果證明連接及配置正確。

配置路由器NAT網(wǎng)絡(luò)

◆配置外出路由并測(cè)試，主要是配置缺省路由。

huadong(config)#ip route 0.0.0.0 0.0.0.0 210.75.32.9

huadong#ping 211.100.15.36

……

!!!!!

……

結(jié)果證明本路由器可以通過ISP訪問Internet。

◆配置PAT，使內(nèi)部網(wǎng)絡(luò)計(jì)算機(jī)可以訪問外部網(wǎng)絡(luò)，但不能訪問總部和分支機(jī)構(gòu)。主要是基于安全目的，不希望內(nèi)部網(wǎng)絡(luò)被外部網(wǎng)絡(luò)所了解，而使用地址轉(zhuǎn)換(NAT)技術(shù)。同時(shí)，為了節(jié)約費(fèi)用，只租用一個(gè)IP地址(路由器使用)。所以，需要使用PAT技術(shù)。使用NAT技術(shù)的關(guān)鍵是指定內(nèi)外端口和訪問控制列表。在訪問控制列表中，需要將對(duì)其他內(nèi)部網(wǎng)絡(luò)的訪問請(qǐng)求包廢棄，保證對(duì)其他內(nèi)部網(wǎng)絡(luò)的訪問是通過IPSec來實(shí)現(xiàn)的。

huadong(config)#inter eth0/0

huadong(config-if)#ip nat inside

huadong(config-if)#inter serial0/0

huadong(config-if)#ip nat outside

huadong(config-if)#exit

以上命令的作用是指定內(nèi)外端口。

huadong(config)#route-map abc permit 10

huadong(config-route-map)#match ip address 150

huadong(config-route-map)#exit

以上命令的作用是指定對(duì)外訪問的規(guī)則名。

huadong(config)#access-list 150 deny 172.17.1.0 0.0.0.255 172.16.0.0 0.0.255.255

huadong(config)#access-list 150 deny 172.17.1.0 0.0.0.255 172.17.2.0 0.0.0.255

huadong(config)#access-list 150 deny 172.17.1.0 0.0.0.255 172.17.3.0 0.0.0.255

huadong(config)#access-list 150 permit ip 172.17.1.0 0.0.0.255 any

以上命令的作用是指定對(duì)外訪問的規(guī)則內(nèi)容。例如，禁止利用NAT對(duì)其他內(nèi)部網(wǎng)絡(luò)直接訪問(當(dāng)然，專用地址本來也不能在Internet上使用)，和允許內(nèi)部計(jì)算機(jī)利用NAT技術(shù)訪問Internet(與IPSec無(wú)關(guān))。

huadong(config)#ip nat inside source route-map abc interface serial0/0 overload

上述命令的作用是聲明使用串口的注冊(cè)IP地址，在數(shù)據(jù)包遵守對(duì)外訪問的規(guī)則的情況下，使用PAT技術(shù)。下是測(cè)試命令，通過該命令，可以判斷配置是否有根本的錯(cuò)誤。例如，在命令的輸出中，說明了內(nèi)部接口和外部接口。并注意檢查輸出與實(shí)際要求是否相符。

huadong#show ip nat stat

Total active translations: 0 (0 static, 0 dynamic; 0 extended)

Outside interfaces:

Serial0/0

Inside interfaces:

Ethernet0/0

……

在IP地址為172.17.1.100的計(jì)算機(jī)上，執(zhí)行必要的測(cè)試工作，以驗(yàn)證內(nèi)部計(jì)算機(jī)可以通過PAT訪問Internet。

c:>ping 210.75.32.10

……

Reply from 210.75.32.10: bytes=32 time=1ms TTL=255

……

c:>ping

……

Reply from 211.100.15.36: bytes=32 time=769ms TTL=248

……

此時(shí)，在路由器上，可以通過命令觀察PAT的實(shí)際運(yùn)行情況，再次驗(yàn)證PAT配置正確。

huadong#show ip nat tran

Pro Inside global Inside local Outside local Outside global

icmp 210.75.32.9:1975 172.17.1.100:1975 210.75.32.10:1975 210.75.12.10:1975

……

以上測(cè)試過程說明，NAT配置正確。內(nèi)部計(jì)算機(jī)可以通過安全的途徑訪問Internet。當(dāng)然，如果業(yè)務(wù)要求，不允許所有的內(nèi)部員工/計(jì)算機(jī)，或只允許部分內(nèi)部計(jì)算機(jī)訪問Internet，那么，只需要適當(dāng)修改上述配置命令，即可實(shí)現(xiàn)。#p#

配置ESP-DES IPSec并測(cè)試

以下配置是配置VPN技術(shù)配置的關(guān)鍵。首先，VPN技術(shù)配置隧道只能限于內(nèi)部地址使用。如果有更多的內(nèi)部網(wǎng)絡(luò)，可在此添加相應(yīng)的命令。

huadong(config)#access-list 105 permit ip 172.17.1.0 0.0.0.255 172.16.0.0 0.0.255.255

huadong(config)#access-list 106 permit ip 172.17.1.0 0.0.0.255 172.17.2.0 0.0.0.255

huadong(config)#access-list 107 permit ip 172.17.1.0 0.0.0.255 172.17.3.0 0.0.0.255

指定VPN技術(shù)配置在建立連接時(shí)協(xié)商IKE使用的策略。方案中使用sha加密算法，也可以使用md5算法。在IKE協(xié)商過程中使用預(yù)定義的碼字。

huadong(config)#crypto isakmp policy 10

huadong(config-isakmp)#hash sha

huadong(config-isakmp)#authentication pre-share

huadong(config-isakmp)#exit

針對(duì)每個(gè)VPN技術(shù)配置路由器，指定預(yù)定義的碼字。可以一樣，也可以不一樣。但為了簡(jiǎn)明起見，建議使用一致的碼字。

huadong(config)#crypto isakmp key abc2001 address 211.157.243.130

huadong(config)#crypto isakmp key abc2001 address 202.96.209.165

huadong(config)#crypto isakmp key abc2001 address 192.18.97.241

為每個(gè)VPN技術(shù)配置(到不同的路由器，建立不同的隧道)制定具體的策略，并對(duì)屬于本策略的數(shù)據(jù)包實(shí)施保護(hù)。本方案包括3個(gè)VPN技術(shù)配置隧道。需要制定3個(gè)相應(yīng)的入口策略(下面只給出1個(gè))。

huadong(config)#crypto map abc 20 ipsec-isakmp

huadong(config-crypto-map)#set peer 211.157.243.130

huadong(config-crypto-map)#set transform-set abc-des

huadong(config-crypto-map)#match address 105

huadong(config-crypto-map)#exit

使用路由器的外部接口作為所有VPN技術(shù)配置入口策略的發(fā)起方。與對(duì)方的路由器建立IPSec。

huadong(config)#crypto map abc local-address serial0

IPSec使用ESP-DES算法(56位加密)，并帶SHA驗(yàn)證算法。

huadong(config)#crypto ipsec transform-set abc-des esp-des esp-sha-hmac

指明串口使用上述已經(jīng)定義的策略。

huadong(config)#inter serial0/0

huadong(config-if)#crypto map abc

在IP地址為172.17.1.100的計(jì)算機(jī)上驗(yàn)證:

c:>ping 172.16.1.100

……

Reply from 172.16.1.100: bytes=32 time=17ms TTL=255

……

huadong#show crypto engine conn acti

ID Interface IP-Address State Algorithm Encrypt Decrypt

1 < none > < none > set HMAC_SHA+DES_56_CB 0 0

2000 Serial0/0 210.75.32.9 set HMAC_SHA+DES_56_CB 0 452

2001 Serial0/0 210.75.32.9 set HMAC_SHA+DES_56_CB 694 0

同時(shí)，這種連接使用了IPSec，而沒有使用NAT技術(shù)。

三、VPN技術(shù)配置測(cè)試

將所有路由器按照上述過程，根據(jù)具體的環(huán)境參數(shù)，做必要修改后，完成VPN技術(shù)配置的配置。網(wǎng)絡(luò)部分任務(wù)完成，可以順利開展業(yè)務(wù)應(yīng)用了。如果需要，路由器本身提供更詳細(xì)的調(diào)試命令:

debug crypto engine connections active

debug crypto isakmp sa

debug crypto ipsec sa

在調(diào)試時(shí)，需要注意，在對(duì)應(yīng)路由器上也執(zhí)行相應(yīng)的調(diào)試命令。然后，在一臺(tái)客戶機(jī)(172.17.1.100)上執(zhí)行如下命令:

c:>ping 172.16.1.100 -n 1

最后，對(duì)比2個(gè)路由器的輸出，觀察出現(xiàn)問題的提示--這是隧道不能建立的主要原因。針對(duì)此提示，做必要的修改工作，便可圓滿完成VPN技術(shù)配置的配置計(jì)劃。在實(shí)際中，該方案完全滿足用戶需求，并充分驗(yàn)證了VPN技術(shù)配置的可用性和實(shí)用性。至今運(yùn)行正常，用戶非常滿意。