IPSec穿越NAT实验.docVIP

IPSec穿越NAT实验 实验目的: 掌握IPSec基本配置，熟悉IPSec穿越NAT特性原理，并且验证 拓扑说明.:R1,NAT,R2设备通过e0/0和e0/1口之间相互连接，如图，具体试验连接接口，按照自己的配置，中间NAT设备提供地址转换功能，保证了R1到R2设备的连通性，这里需要回顾NAT的配置，R1，R2设备上面各自有loopback0口 接口地址配置如下：R1-E0/0:192.168.1.2/24,R1-Loopback0:10.1.1.1/24 NAT-E0/0-:192.168.1.1/24 NAT-E0/1:202.106.0.20/24 R2-E0/0:202.106.0.21/24 R2-Loopack0:10..1.2.1/24 最终目标实现10.1.1.1到10.1.2.1地址的通信，保证使用了IPSEC加密，同时穿越了NAT设备并且注意这里的NAT是穿越运营商的NAT 配置过程： 首先配置各个设备的ip地址，保证设备的直连通信，同时保证了nat设备能够正常工作，保证了从R1的192.168.1.2地址可以ping通R2设备的202.106.0.21地址，但是反过来ping却不通，这是属于正常，因为中间有nat设备，做到这个效果，也就是nat的配置。 进行IPSEC的具体配置，感兴趣的数据流使用访问控制列表配置，IKE阶段一的配置，IKE阶段二配置，还有IPSEC策略配置，以及最后把策略运行在接口上面， 第一部分：配置所有接口的ip地址保证直连接通信，然后配置NAT特性 R1配置： Router(config)#hostname R1 设置R1设备主机名字 R1(config)#interface Loopback0 建立loopback口，并且给接口配置地址 R1(config-if)#ip address 10.1.1.1 255.255.255.0 R1(config-if)#exit R1(config)#interface Ethernet0/0 给e0/0接口配置ip地址保证设备之间连通性 R1(config-if)#ip address 192.168.1.2 255.255.255.0 R1(config-if)#no shutdown NAT设备配置： Router(config)#hostname NAT 设置NAT设备主机名字 NAT (config)#interface Ethernet0/1 给e0/1接口配置ip地址保证与R2设备之间连通性 NAT(config-if)#ip address 202.106.0.20 255.255.255.0 NAT (config-if)#no shutdown NAT (config-if)#ip nat outside 设置nat外网接口 NAT (config-if)#exit NAT (config)#interface Ethernet0/0 给e0/0接口配置ip地址保证与R1设备之间连通性 NAT (config-if)#ip address 192.168.1.1 255.255.255.0 NAT (config-if)#no shutdown NAT (config-if)#ip nat inside 设置nat内网接口 NAT (config)#access-list 10 permit 192.168.1.0 0.0.0.255 配置nat使用的访问控制列表 NAT (config)#ip nat inside source list 10 interface Ethernet0/1 overload 配置nat保证网连通 R2配置： Router(config)#hostname R2 设置R2设备主机名字 R2(config)#interface Loopback0 建立loopback口，并且给接口配置地址 R2(config-if)#ip address 10.1.2.1 255.255.255.0 R2(config)#interface Ethernet0/0 给E0/0接口配置地址保证与NAT设备之间的连通性 R2(config-if)#ip address 202.106.0.21 255.255.255.0 R2(config-if)#no shutdown 第二部分： 1，首先在R1和R2上面配置访问控制列表定义感兴趣的数据流，也就是ipsec需要保护的数据流，镜像配置 R1(config)#access-list 101 permit ip 10.1.1.0 0.0.0.