【正文】 ingRconfigrouterwork 1000 15 BuildingRconfigrouterno autosummary BuildingRconfigrouterexitEnterpriseRconfigcrypto isakmp policy 100EnterpriseRconfigisakmapauthentication preshareEnterpriseRconfig crypto isakmp key ke address 2EnterpriseRconfigcrypto ipsec transformset jianian espdes espmd5hmac EnterpriseRconfigaccesslist 101 permit ip 1000 255 0 255 EnterpriseRconfigaccesslist 101 permit ip 1000 255 0 255 再次配置安全策略關(guān)聯(lián)采用 IKE 協(xié)商 ke_map 為表名 110 為優(yōu)先級指定 VPN鏈路對端的 IP 地址指定先前所定義的傳輸模式指定利用 VPN 所要匹配的訪問控制列表地址命令為 EnterpriseRconfigcrypto map ke_map 110 ipsecisakmpEnterpriseRconfigcryptomapset peer 2EnterpriseRconfigcryptomapset transformset jianian EnterpriseRconfigcryptomapmatch address 101EnterpriseRconfigint serial00 EnterpriseRconfigifcrypto map ke_mapNetwork Address Translation可以將不可路由的私有內(nèi)部地址轉(zhuǎn)換為可路由的共有地址進(jìn)而讓網(wǎng)絡(luò)可以使用私有 IP 地址以節(jié)省 IP 地址由于其對外部隱藏了內(nèi)部 IP 地址在一定程度上改善了網(wǎng)絡(luò)的私密性和安全性 NAT重載可以將多個私有 IP地址映射到一個或幾個共有 IP地址目前大多數(shù)家用或社區(qū)路由器都配置 NAT 重載 IPsec 的設(shè)計和 NAT 存在沖突如 IPsec 中的 AHAuthenticaton Header 協(xié)議AH 用驗證算法保護(hù)包括 IP 頭在內(nèi)的整個 IP 報文不被修改如果到達(dá)執(zhí)行 NAT 功能的網(wǎng)關(guān) NAT 需要修改 IP 報文經(jīng)過修改的報文到達(dá)對方后因無法通過驗證會被丟棄則 VPN 隧道建立失敗 要使 NAT 與 VPN 在一臺設(shè)備上同時發(fā)揮作用關(guān)鍵是 IPsec VPN 和 NAT 的訪問控制列表不能沖突前往對方私用網(wǎng)絡(luò)的源 IP不要轉(zhuǎn)換成公網(wǎng) IP而去公網(wǎng)的源地址則轉(zhuǎn)換這是非常關(guān)鍵所在否則 VPN 將失效定義 ACL 語句如下 EnterpriseRconfigaccesslist 102 deny ip 0 255 0 255 EnterpriseRconfigaccesslist 102 deny ip 0 255 0 255 EnterpriseRconfigaccesslist 102 permit ip 0 255 any EnterpriseRconfigaccesslist 102 permit ip 0 255 any EnterpriseRconfigaccesslist 102 permit ip 0 255 any EnterpriseRconfigaccesslist 102 permit ip 0 255 any EnterpriseRconfigaccesslist 102 permit ip 0 255 any EnterpriseRconfigaccesslist 102 permit ip 0 255 any EnterpriseRconfigip nat inside source list 102 int serial000 overloadEnterpriseRconfigip nat inside source static 254 30EnterpriseRconfiginterface serial00 EnterpriseRconfigip nat outside EnterpriseRconfigint f001f10 EnterpriseRconfigip nat insideEnterpriseRconfigip route 0 0 s020 EnterpriseRconfigrouter eigrp 10 EnterpriseRconfigrouterpassiveinterface serial00 EnterpriseRconfigrouterredistribute static EnterpriseRconfigrouterexitBranchRconfigaaa newmodel BranchRconfigaaa authentication login vpn_auth group tacacs localBranchRconfigaaa authorization work vpn_auth localBranchRconfigtacacsserver host 100254 key BranchR 其次將 BranchR 配置為 VPN Server 命令操作如下 由于 client不可選因此 isakmp的策略必須配置為認(rèn)證為 preshare加密為aes 256 校驗為 md5group 為 2 BranchRconfigcrypto isakmp policy 10 BranchRAconfigisakmpencryption aes 256 BranchRconfigisakmpauthentication preshare BranchRconfigisakmpgroup 2 BranchR 隨機配的故使用 isakmp key 的命令配置無效因此這里使用 isakmp client configuration group group_name 作為定義 client 的 isakmp 策略包括KEY 為訪問總部而分配給 client 的地址池的名稱及其掩碼 BranchRconfig crypto isakmp client configuration group kyle BranchRconfigisakmpgroupkey kyle BranchRconfigisakmpgrouppool vpn_client BranchRconfigisakmpgroupmask 0 BranchRconfigip local pool vpn_client 1002 254 配置傳輸模式以及驗證的算法和加密的算法 my_trans 這里是給這個傳輸模式取個名字由于 client 不可選 ipsec 的 transformset 必須使用 esp3des 和espshahmac BranchRconfigcrypto ipsec transformset my_trans esp3des espshahmac Security Association 因此要使用 dynamicmap 等待 client 經(jīng)過認(rèn)證授權(quán)后動態(tài)建立 SA 并動態(tài)插入路由命令為 BranchRconfigcrypto dynamicmap mymap 10 BranchRconfigcryptomapset transformset my_transBranchRconfigcryptomapreverserouteBranchRconfigcrypto map mymap client authentication list vpn_auth BranchRconfigcrypto map mymap isakmp authorization list vpn_auth BranchRconfigcrypto map mymap client configuration address respond BranchRconfigcrypto map mymap 10 ipsecisakmp dynamic mymap 應(yīng)用安全策略關(guān)聯(lián)到接口 BranchRconfiginterface FastEther0BranchRconfigifcrypto map mymap BranchR 還作為 PPPoE Server 允許用戶動態(tài)撥號上網(wǎng)命令簡單介紹如下 建立撥入的用戶賬戶 kitty 啟用路由器的虛擬專用撥號網(wǎng)絡(luò)建立名字為home0 的 VPDN 組可以有很多個組設(shè)置允許撥入將路由器當(dāng) PPPOE Server 用acceptdialin 允許客戶端撥入命令若是將路由器當(dāng) PPPOE client 用requestdialin 向服務(wù)器發(fā)出請求接入信息 BranchRconfigvpdn enable 配置 BranchR 的接口 IP 地址并啟用 PPPoE BranchRconfiginterface FastEther0BranchRconfigifno shutdown BranchRconfigifpppoe enableBranchRconfigifexit 結(jié)束語 從畢業(yè)設(shè)計選題到現(xiàn)在已經(jīng)有四個月的時間了在這漫長的時光中有一籌莫展的苦悶也有舒展顏容的喜悅在這樣一段汗水與歡笑交織的過程中我不僅將過去四年學(xué)到的知識經(jīng)行了一次系統(tǒng)性的匯總和提高還學(xué)習(xí)到了很多以前 未曾接觸的網(wǎng)絡(luò)相關(guān)知識對以后的工作打下了良好的基礎(chǔ)比如在設(shè)計過程中用到的二層交換機三層交換機以及邊緣路由器平時對它們的功能和配置都不是十分了解但經(jīng)過此次的設(shè)計我對于以上網(wǎng)絡(luò)設(shè)備都有了深入的了解和認(rèn)識為能圓滿完成本次課程設(shè)計任務(wù)我在圖書館和互聯(lián)網(wǎng)上查閱了很多資料和書籍學(xué)到了不少相關(guān)的技術(shù)知識比如如 VPN配置 AAA的配置 VPN客戶服務(wù)器模式的配置 PPPoE撥號上網(wǎng)鏈路聚合技術(shù)等等 四個月的歷程辛苦甜蜜混合的生活人生中最快樂的事情就是在完成任務(wù)的同時還能收獲滿足設(shè)計的過程中有著這樣那樣的不知所措那是的我會迷茫會憤恨但在經(jīng)過辛勤的查找解決了難題后那份成就感十分甜蜜在漫長的探索過程中我逐步熟悉了 VPN的原理以及其基本配置此外通過配置 VPN客戶服務(wù)器模式以及模擬 PPPOE撥號上網(wǎng)讓我對 VPN的技術(shù)有了很好的掌握與此同時為更好的模擬現(xiàn)實環(huán)境在此次模擬方案中我在 NAT 下實現(xiàn) VPNNAT 技術(shù)是把私網(wǎng)地址轉(zhuǎn)換成公網(wǎng)地址以便私網(wǎng)地址用戶擁有公網(wǎng)地址后可以訪問公網(wǎng)的服務(wù)是一種把私轉(zhuǎn)為公的方法但 VPN 技術(shù)是在需要安全通信的雙方建立加密的安全隧道使得通信雙方可以保持自己的私有性地址特別是在站點到站點的這種方式中在遠(yuǎn)程接入的VPN 方式中我 們可以發(fā)現(xiàn)客戶端是可以獲得一個虛擬的 IP 地址此 IP 就是 VPN 網(wǎng)關(guān)分配給其的一個私網(wǎng)地址可見 VPN11 月份設(shè)計題目選好后王老師對我的關(guān)心一直讓我非常感動作為一個不太積極主動地學(xué)生每次都是王老師主動聯(lián)系我并耐心的給予指導(dǎo)給我提出 了很多的寶貴意見和解決方法讓我在其中有了較大的提高此外我也要對金庚同學(xué)對我的鼓勵和幫助表示衷心的感謝謝謝你在四個月中給我的支持和勸解少了你的幫助我也沒法將設(shè)計的任務(wù)按時完成畢業(yè)設(shè)計的過程不僅讓我總結(jié)提高了過去的知識而且學(xué)習(xí)掌握了很多新知識新技術(shù)是一段難得的人生經(jīng)歷最后我要再次向王志波老師和金庚同學(xué)致以最誠摯的謝意謝謝你們的無私關(guān)懷和幫助 參考文獻(xiàn) [1] Bob Vachon Rick Graziani 著等譯北京出版社 2021 年月 [2] Mark ADye Rick McDonald Antoon WRufi 著北京出版社 200 年 1 月 [3] Rick Graziani Allan Johnson 著北京出版社 200 年 1 月 [4] Wayne LewisPHD 著．思科系統(tǒng)公司譯 LAN 交換與無線 [M]．北京出版社 200 年月 [5] 劉天華孫陽黃淑偉等編著北京出版社 200 年月 [6] 雷震甲等編著北京出版社 200 年月 [7] Andrew STanenbaum著北京清華大學(xué)出版社 200年月 [8] 謝希仁編著西安電子工業(yè)出版社 200年月 [9] 唐寶民編著出版社 200[10] 郭紹青田富鵬編著出版社 200[11] 趙喆編著出。