实验四 site-to-site Ipsec VPN(主模式).docVIP

实验四 site-to-site Ipsec VPN（主模式） 一、实验目的: 1.了解CISCO 路由器下IPSec VPN的配置方法； 2.掌握站点—站点（site-to-site）IPSec VPN的配置命令； 3.掌握阶段1中主模式IKE的配置命令。 二、实验环境： 三、实验内容及步骤： 步骤一 网络连通性配置 1. 路由器基本配置：（略） 2. 路由器接口配置：（略） 3. 路由器路由配置： R1(config)#ip route 0.0.0.0 0.0.0.0 172.16.1.2 R2(config)#ip route 0.0.0.0 0.0.0.0 172.16.1.1 4. 网络连通性测试 保证PC1可以访问R2的S0/0接口，PC2可以访问R1的S0/0接口 配置VPC客户端： 选择节点类型为“host”，拖入拓扑区 打开VPC，输入“show” 右击“host”选配置 选择“NIO UDP”,将本地端口和远程端口做一个对应 再打开vpc.exe，为vpc配置IP地址，就可以ping通路由器了 步骤二 感兴趣流量配置 R1(config)# access-list 100 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255 R2(config)#access-list 100 permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255 // 192.168.1.0/24和192.168.2.0/24网段可以进行VPN隧道连接 步骤三 ISAKMP策略配置 R1(config)# crypto isakmp enable //激活ISAKMP R1(config)# crypto isakmp policy 10//创建ISAKMP策略 R1(config-isakmp)# encryption 3des R1(config-isakmp)# hash md5 R1(config-isakmp)# authentication pre-share R1(config-isakmp)# group 2 R2(config)# crypto isakmp enable R2(config)#crypto isakmp policy 10 R2(config-isakmp)#encryption 3des R2(config-isakmp)#hash md5 R2(config-isakmp)#authentication pre-share R2(config-isakmp)# group 2 步骤三 生成和交换预共享密钥 R1(config)#crypto isakmp key hngy address 172.16.1.2 R2(config)#crypto isakmp key hngy address 172.16.1.1 // 密钥必须相同 步骤四 配置转换集 R1(config)#crypto ipsec transform-set hngy esp-3des esp-md5-hmac R1(cfg-crypto-trans)# mode tunnel R1(cfg-crypto-trans)# exit R2(config)#crypto ipsec transform-set fb esp-3des esp-md5-hmac R2(cfg-crypto-trans)#mode tunnel R2(cfg-crypto-trans)#exit 步骤五 配置密码图 R1(config)#crypto map hngy 2 ipsec-isakmp R1(config-crypto-map)#set peer 172.16.1.2 R1(config-crypto-map)#set transform-set hngy R1(config-crypto-map)# match address 100 R1(config-crypto-map)#exit R2(config)#crypto map fb 12 ipsec-isakmp R2(config-crypto-map)#set peer 172.16.1.1 R2(config-crypto-map)#set transform-set fb R2(config-crypto-map)#match address 100 步骤六 应用到节点 R1(config)#int S0/0 R1(config-if)#cryto map hngy R1(config-if)#exit R2(config)#int S0/0 R2(config-if)#c