實(shí)驗(yàn)拓?fù)?/h1>
圖 1-1
注：如無特別說明，描述中的 R1 或 SW1 對應(yīng)拓?fù)渲性O(shè)備名稱末尾數(shù)字為 1 的設(shè)備，R2 或 SW2 對應(yīng)拓?fù)渲性O(shè)備名稱末尾數(shù)字為 2 的設(shè)備，以此類推；另外，同一網(wǎng)段中，IP 地址的主機(jī)位為其設(shè)備編號，如 R3 的 g0/0 接口若在 192.168.1.0/24 網(wǎng)段，則其 IP 地址為 192.168.1.3/24，以此類推
實(shí)驗(yàn)需求
- 按照圖示配置 IP 地址
- 在 R1 和 R3 上配置默認(rèn)路由連通公網(wǎng)
- 在 R1 和 R3 上配置 IPsec VPN，使兩端私網(wǎng)可以互相訪問
實(shí)驗(yàn)解法
配置 IP 地址部分略
配置默認(rèn)路由部分略
在 R1 和 R3 上配置 IPsec VPN，使兩端私網(wǎng)可以互相訪問
步驟 1：在 R1 上創(chuàng)建感興趣流，匹配兩端私網(wǎng)地址網(wǎng)段
[R1]acl advanced 3000[R1-acl-ipv4-adv-3000]rule per ip source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255
步驟 2：在 R1 上創(chuàng)建 IKE 提議，配置驗(yàn)證模式為預(yù)共享密鑰，并配置加密算法
[R1]ike proposal 1[R1-ike-proposal-1]authentication-method pre-share[R1-ike-proposal-1]encryption-algorithm aes-cbc-128
步驟 3：在 R1 上創(chuàng)建預(yù)共享密鑰
[R1]ike keychain r3
[R1-ike-keychain-r3]pre-shared-key address 100.2.2.3 key simple 123456
步驟 4：在 R1 上創(chuàng)建 IKE Profile，指定本端和對端公網(wǎng)地址，并調(diào)用預(yù)共享密鑰和 IKE 提議
[R1]ike profile r3[R1-ike-profile-r3]keychain r3[R1-ike-profile-r3]local-identity address 100.1.1.1 [R1-ike-profile-r3]match remote identity address 100.2.2.3[R1-ike-profile-r3]proposal 1
步驟 5：在 R1 上創(chuàng)建IPsec 轉(zhuǎn)換集，配置加密和驗(yàn)證算法。由于工作模式默認(rèn)是隧道模式，且協(xié)議默認(rèn)使用 ESP，所以無需配置
[R1]ipsec transform-set r3
[R1-ipsec-transform-set-r3]esp authentication-algorithm sha1
[R1-ipsec-transform-set-r3]esp encryption-algorithm aes-cbc-128
步驟 6：在 R1 上創(chuàng)建 IPsec 策略，調(diào)用上述配置
[R1]ipsec policy r3 1 isakmp [R1-ipsec-policy-isakmp-r3-1]security acl 3000[R1-ipsec-policy-isakmp-r3-1]ike-profile r3[R1-ipsec-policy-isakmp-r3-1]transform-set r3[R1-ipsec-policy-isakmp-r3-1]remote-address 100.2.2.3
步驟 7：在 R1 的公網(wǎng)接口上下發(fā) IPsec 策略
[R1-GigabitEthe.NET0/0]ipsec Apply policy r3
步驟 8：在 R3 上完成 IPsec 相關(guān)配置，方法和命令與 R1 一致，本端和對端地址對調(diào)即可
效果測試：在 PC4 上 Ping PC5，可以直接 Ping 通
<PC4>ping 192.168.2.5
Ping 192.168.2.5 (192.168.2.5): 56 data bytes, press CTRL_C to break56 bytes from 192.168.2.5: icmp_seq=0 ttl=253 time=26.000 ms56 bytes from 192.168.2.5: icmp_seq=1 ttl=253 time=29.000 ms56 bytes from 192.168.2.5: icmp_seq=2 ttl=253 time=34.000 ms56 bytes from 192.168.2.5: icmp_seq=3 ttl=253 time=52.000 ms56 bytes from 192.168.2.5: icmp_seq=4 ttl=253 time=25.000 ms
