【正文】 ingRconfigrouterwork 1000 15 BuildingRconfigrouterno autosummary BuildingRconfigrouterexitEnterpriseRconfigcrypto isakmp policy 100EnterpriseRconfigisakmapauthentication preshareEnterpriseRconfig crypto isakmp key ke address 2EnterpriseRconfigcrypto ipsec transformset jianian espdes espmd5hmac EnterpriseRconfigaccesslist 101 permit ip 1000 255 0 255 EnterpriseRconfigaccesslist 101 permit ip 1000 255 0 255 再次配置安全策略關(guān)聯(lián)采用 IKE 協(xié)商 ke_map 為表名 110 為優(yōu)先級(jí)指定 VPN鏈路對(duì)端的 IP 地址指定先前所定義的傳輸模式指定利用 VPN 所要匹配的訪問(wèn)控制列表地址命令為 EnterpriseRconfigcrypto map ke_map 110 ipsecisakmpEnterpriseRconfigcryptomapset peer 2EnterpriseRconfigcryptomapset transformset jianian EnterpriseRconfigcryptomapmatch address 101EnterpriseRconfigint serial00 EnterpriseRconfigifcrypto map ke_mapNetwork Address Translation可以將不可路由的私有內(nèi)部地址轉(zhuǎn)換為可路由的共有地址進(jìn)而讓網(wǎng)絡(luò)可以使用私有 IP 地址以節(jié)省 IP 地址由于其對(duì)外部隱藏了內(nèi)部 IP 地址在一定程度上改善了網(wǎng)絡(luò)的私密性和安全性 NAT重載可以將多個(gè)私有 IP地址映射到一個(gè)或幾個(gè)共有 IP地址目前大多數(shù)家用或社區(qū)路由器都配置 NAT 重載 IPsec 的設(shè)計(jì)和 NAT 存在沖突如 IPsec 中的 AHAuthenticaton Header 協(xié)議AH 用驗(yàn)證算法保護(hù)包括 IP 頭在內(nèi)的整個(gè) IP 報(bào)文不被修改如果到達(dá)執(zhí)行 NAT 功能的網(wǎng)關(guān) NAT 需要修改 IP 報(bào)文經(jīng)過(guò)修改的報(bào)文到達(dá)對(duì)方后因無(wú)法通過(guò)驗(yàn)證會(huì)被丟棄則 VPN 隧道建立失敗 要使 NAT 與 VPN 在一臺(tái)設(shè)備上同時(shí)發(fā)揮作用關(guān)鍵是 IPsec VPN 和 NAT 的訪問(wèn)控制列表不能沖突前往對(duì)方私用網(wǎng)絡(luò)的源 IP不要轉(zhuǎn)換成公網(wǎng) IP而去公網(wǎng)的源地址則轉(zhuǎn)換這是非常關(guān)鍵所在否則 VPN 將失效定義 ACL 語(yǔ)句如下 EnterpriseRconfigaccesslist 102 deny ip 0 255 0 255 EnterpriseRconfigaccesslist 102 deny ip 0 255 0 255 EnterpriseRconfigaccesslist 102 permit ip 0 255 any EnterpriseRconfigaccesslist 102 permit ip 0 255 any EnterpriseRconfigaccesslist 102 permit ip 0 255 any EnterpriseRconfigaccesslist 102 permit ip 0 255 any EnterpriseRconfigaccesslist 102 permit ip 0 255 any EnterpriseRconfigaccesslist 102 permit ip 0 255 any EnterpriseRconfigip nat inside source list 102 int serial000 overloadEnterpriseRconfigip nat inside source static 254 30EnterpriseRconfiginterface serial00 EnterpriseRconfigip nat outside EnterpriseRconfigint f001f10 EnterpriseRconfigip nat insideEnterpriseRconfigip route 0 0 s020 EnterpriseRconfigrouter eigrp 10 EnterpriseRconfigrouterpassiveinterface serial00 EnterpriseRconfigrouterredistribute static EnterpriseRconfigrouterexitBranchRconfigaaa newmodel BranchRconfigaaa authentication login vpn_auth group tacacs localBranchRconfigaaa authorization work vpn_auth localBranchRconfigtacacsserver host 100254 key BranchR 其次將 BranchR 配置為 VPN Server 命令操作如下 由于 client不可選因此 isakmp的策略必須配置為認(rèn)證為 preshare加密為aes 256 校驗(yàn)為 md5group 為 2 BranchRconfigcrypto isakmp policy 10 BranchRAconfigisakmpencryption aes 256 BranchRconfigisakmpauthentication preshare BranchRconfigisakmpgroup 2 BranchR 隨機(jī)配的故使用 isakmp key 的命令配置無(wú)效因此這里使用 isakmp client configuration group group_name 作為定義 client 的 isakmp 策略包括KEY 為訪問(wèn)總部而分配給 client 的地址池的名稱(chēng)及其掩碼 BranchRconfig crypto isakmp client configuration group kyle BranchRconfigisakmpgroupkey kyle BranchRconfigisakmpgrouppool vpn_client BranchRconfigisakmpgroupmask 0 BranchRconfigip local pool vpn_client 1002 254 配置傳輸模式以及驗(yàn)證的算法和加密的算法 my_trans 這里是給這個(gè)傳輸模式取個(gè)名字由于 client 不可選 ipsec 的 transformset 必須使用 esp3des 和espshahmac BranchRconfigcrypto ipsec transformset my_trans esp3des espshahmac Security Association 因此要使用 dynamicmap 等待 client 經(jīng)過(guò)認(rèn)證授權(quán)后動(dòng)態(tài)建立 SA 并動(dòng)態(tài)插入路由命令為 BranchRconfigcrypto dynamicmap mymap 10 BranchRconfigcryptomapset transformset my_transBranchRconfigcryptomapreverserouteBranchRconfigcrypto map mymap client authentication list vpn_auth BranchRconfigcrypto map mymap isakmp authorization list vpn_auth BranchRconfigcrypto map mymap client configuration address respond BranchRconfigcrypto map mymap 10 ipsecisakmp dynamic mymap 應(yīng)用安全策略關(guān)聯(lián)到接口 BranchRconfiginterface FastEther0BranchRconfigifcrypto map mymap BranchR 還作為 PPPoE Server 允許用戶動(dòng)態(tài)撥號(hào)上網(wǎng)命令簡(jiǎn)單介紹如下 建立撥入的用戶賬戶 kitty 啟用路由器的虛擬專(zhuān)用撥號(hào)網(wǎng)絡(luò)建立名字為home0 的 VPDN 組可以有很多個(gè)組設(shè)置允許撥入將路由器當(dāng) PPPOE Server 用acceptdialin 允許客戶端撥入命令若是將路由器當(dāng) PPPOE client 用requestdialin 向服務(wù)器發(fā)出請(qǐng)求接入信息 BranchRconfigvpdn enable 配置 BranchR 的接口 IP 地址并啟用 PPPoE BranchRconfiginterface FastEther0BranchRconfigifno shutdown BranchRconfigifpppoe enableBranchRconfigifexit 結(jié)束語(yǔ) 從畢業(yè)設(shè)計(jì)選題到現(xiàn)在已經(jīng)有四個(gè)月的時(shí)間了在這漫長(zhǎng)的時(shí)光中有一籌莫展的苦悶也有舒展顏容的喜悅在這樣一段汗水與歡笑交織的過(guò)程中我不僅將過(guò)去四年學(xué)到的知識(shí)經(jīng)行了一次系統(tǒng)性的匯總和提高還學(xué)習(xí)到了很多以前 未曾接觸的網(wǎng)絡(luò)相關(guān)知識(shí)對(duì)以后的工作打下了良好的基礎(chǔ)比如在設(shè)計(jì)過(guò)程中用到的二層交換機(jī)三層交換機(jī)以及邊緣路由器平時(shí)對(duì)它們的功能和配置都不是十分了解但經(jīng)過(guò)此次的設(shè)計(jì)我對(duì)于以上網(wǎng)絡(luò)設(shè)備都有了深入的了解和認(rèn)識(shí)為能圓滿完成本次課程設(shè)計(jì)任務(wù)我在圖書(shū)館和互聯(lián)網(wǎng)上查閱了很多資料和書(shū)籍學(xué)到了不少相關(guān)的技術(shù)知識(shí)比如如 VPN配置 AAA的配置 VPN客戶服務(wù)器模式的配置 PPPoE撥號(hào)上網(wǎng)鏈路聚合技術(shù)等等 四個(gè)月的歷程辛苦甜蜜混合的生活人生中最快樂(lè)的事情就是在完成任務(wù)的同時(shí)還能收獲滿足設(shè)計(jì)的過(guò)程中有著這樣那樣的不知所措那是的我會(huì)迷茫會(huì)憤恨但在經(jīng)過(guò)辛勤的查找解決了難題后那份成就感十分甜蜜在漫長(zhǎng)的探索過(guò)程中我逐步熟悉了 VPN的原理以及其基本配置此外通過(guò)配置 VPN客戶服務(wù)器模式以及模擬 PPPOE撥號(hào)上網(wǎng)讓我對(duì) VPN的技術(shù)有了很好的掌握與此同時(shí)為更好的模擬現(xiàn)實(shí)環(huán)境在此次模擬方案中我在 NAT 下實(shí)現(xiàn) VPNNAT 技術(shù)是把私網(wǎng)地址轉(zhuǎn)換成公網(wǎng)地址以便私網(wǎng)地址用戶擁有公網(wǎng)地址后可以訪問(wèn)公網(wǎng)的服務(wù)是一種把私轉(zhuǎn)為公的方法但 VPN 技術(shù)是在需要安全通信的雙方建立加密的安全隧道使得通信雙方可以保持自己的私有性地址特別是在站點(diǎn)到站點(diǎn)的這種方式中在遠(yuǎn)程接入的VPN 方式中我 們可以發(fā)現(xiàn)客戶端是可以獲得一個(gè)虛擬的 IP 地址此 IP 就是 VPN 網(wǎng)關(guān)分配給其的一個(gè)私網(wǎng)地址可見(jiàn) VPN11 月份設(shè)計(jì)題目選好后王老師對(duì)我的關(guān)心一直讓我非常感動(dòng)作為一個(gè)不太積極主動(dòng)地學(xué)生每次都是王老師主動(dòng)聯(lián)系我并耐心的給予指導(dǎo)給我提出 了很多的寶貴意見(jiàn)和解決方法讓我在其中有了較大的提高此外我也要對(duì)金庚同學(xué)對(duì)我的鼓勵(lì)和幫助表示衷心的感謝謝謝你在四個(gè)月中給我的支持和勸解少了你的幫助我也沒(méi)法將設(shè)計(jì)的任務(wù)按時(shí)完成畢業(yè)設(shè)計(jì)的過(guò)程不僅讓我總結(jié)提高了過(guò)去的知識(shí)而且學(xué)習(xí)掌握了很多新知識(shí)新技術(shù)是一段難得的人生經(jīng)歷最后我要再次向王志波老師和金庚同學(xué)致以最誠(chéng)摯的謝意謝謝你們的無(wú)私關(guān)懷和幫助 參考文獻(xiàn) [1] Bob Vachon Rick Graziani 著等譯北京出版社 2021 年月 [2] Mark ADye Rick McDonald Antoon WRufi 著北京出版社 200 年 1 月 [3] Rick Graziani Allan Johnson 著北京出版社 200 年 1 月 [4] Wayne LewisPHD 著．思科系統(tǒng)公司譯 LAN 交換與無(wú)線 [M]．北京出版社 200 年月 [5] 劉天華孫陽(yáng)黃淑偉等編著北京出版社 200 年月 [6] 雷震甲等編著北京出版社 200 年月 [7] Andrew STanenbaum著北京清華大學(xué)出版社 200年月 [8] 謝希仁編著西安電子工業(yè)出版社 200年月 [9] 唐寶民編著出版社 200[10] 郭紹青田富鵬編著出版社 200[11] 趙喆編著出。