vpn-8查看和管理连接.pptVIP

VPN的查看和管理连接 routera#sh crypto ipsec sa routera#clear crypto sa 地址转换和状态防火墙 执行NAT、PAT中断H的连接，执行PAT会中断ESP的连接 解决方法： 1.通过地址转换设备或者PIX传输流量（NAT透穿）NAT-T 2.通过地址转换功能的路由器来传输流量，ESP穿越NAT NAT透穿技术 1.NAT-T 2.IPSEC over UDP 3.IPSEC over TCP VPN3000的集中设备，三种都支持，但是cisco路由器只支持第一种 1.路由器的NAT-T 在ISAKMP/IKE阶段一结束后，和阶段二开始之前，两边的对等体设备会交换一个厂商的字符串，用这个字符串来表示自己是支持NAT-T的 2.NAT keepalive 防止反复的建立NAT的转换 让路由器采用周期性的给对等体设备发送一个字节UDP的数据包 routera(config)#crypto isakmp nat keepalive ? 5-3600 Number of seconds between keep alives 值如果是600，模式是cisco路由器 值如果是1080，模式是cisco的pix Show crypto sa 3.ESP通过NAT 因为，路由器执行NAT后，他自己不是一个终端节点，后面拥有大量的设备需要共享端口转换，但是ESP不含端口，不能转换，远程的对方不知道应该怎么返回流量。 1.ESP在通过NAT阶段1 routera(config)#ip nat inside source static 192.168.1.0 192.168.2.1 2.ESP通过NAT阶段2 阶段1的端口号为500，需要修改 ESP通过阶段1用的是静态转换 remote模式需要用动态获取地址 3.保持端口500 routera(config)#ip nat service list 101 iKE preserve-port 4.ESP的SPI匹配 不需要做任何封装，就可以在PAT的路由器中传输 routera(config)#ip nat service list 101 esP spi-match 技术特点 正常的ipsec vpn是不能穿越pat的，cisco的ipsec vpn为了穿越pat提供了很多扩展的功能，比如nat-t，ipsec over udp，ipsec over tcp，应用层网关。 我们这个试验主要要演示应用层网关的功能，它是nat设备提供的一种扩展功能。 其他功能我们会在advance vpn部分讲解。 topology outside inside 10.1.1.0/24-R1-1.1.1.1-1.1.1.2-e0-NAT-e1-2.2.2.2-2.2.2.1-R2-10.1.2.0/24 Basic configuration R1: Ip route 0.0.0.0 0.0.0.0 e0 NAT: access-l 1 per 2.2.2.0 0.0.0.255 ip nat inside source list 1 interface e0 overload inter e0 ip nat outside inter e1 ip nat inside R2: ip route 0.0.0.0 0.0.0.0 2.2.2.2 IKE Phase I policy R1: crypto isakmp policy 1 authentication pre-shared hash md5 crypto isakmp key cisco address 1.1.1.2 R2: crypto isakmp policy 1 authentication per-shared hash md5 crypto isakmp key cisco address 1.1.1.1 IPSec Phase II policy R1: crypto ipsec transform-set cisco esp-des esp-sha-hmac access-list 101 permit ip 10.1.1.0 0.0.0.255 10.1.2.0 0.0.0.255 crypto map cisco 10 ipsec-isakmp set peer 1.1.1.2 set transform-set cisco set pfs match address 101 R2: crypto ipsec transform-set cisco es