基于AAA的EASY VPN实验 PT5.3.docxVIP

基于AAA的EASY VPN 所谓AAA就是认证（Authentication），授权（Authorization），审计（Accounting）这三个英文单词的缩写。（在国内，审计常被称为计费。一切向“钱”看）。简单讲AAA的基本工作原理就是，一个事件先必须通过认证才能接入进来；然后根据相应的授权策略，下发相应的权限；审计则记录发生的每件事情。 实验的基本思路是这样的，一台路由器做总部VPN网关，一台路由模拟Internet网（就是没私有IP路由的路由器），一台路由路模拟能上Internet网的路由器（也就是做了NAT上网）。外出移动办公的笔记本通过能上Internet网的路由器Easy VPN连接到总部，并访问总部的web服务器。 左下角的AAA服务器配置如下： 双击服务器图标，选择Config，在选择AAA： AAA服务器配置简单说明：Clientname是随意的，Client IP是你所要管理的路由器或交换机等网络设备的IP地址。Secret是AAA服务器与管理的网络设备之间的密钥。ServiceType是协议类型，Radius是国际标准，Tacacs是cisco专有协议。本实验使用的Radius。配置用户名和密码如图所示，点“+”添加。 实验的基本配置如下: 总部路由器： R(config)#int f0/0 R(config-if)#ip address 192.168.1.254 255.255.255.0 R(config-if)#no shutdown R(config-if)#int f0/1 R(config-if)#ip address 100.1.1.2 255.255.255.0 R(config-if)#no shutdown R(config)#ip route 0.0.0.0 0.0.0.0 100.1.1.1 Internet路由器： R(config)#int F0/0 R(config-if)#ip address 200.1.1.1 255.255.255.0 R(config-if)#no shutdown R(config-if)#int F0/1 R(config-if)#ip address 100.1.1.1 255.255.255.0 R(config-if)#no shutdown 远端路由器的配置： R(config)#int F0/0 R(config-if)#ip address 200.1.1.2 255.255.255.0 R(config-if)#ip nat outside R(config-if)#no shutdown R(config0if)#int F0/1 R(config-if)#ip address 172.16.1.254 255.255.255.0 R(config-if)#ip nat inside R(config-if)#shutdown R(config)#ip nat inside source list 1 int F0/0 overload R(config)#ip route 0.0.0.0 0.0.0.0 200.1.1.1 R(config)#access-list 1 permit 172.16.1.0 0.0.0.255 现在在总部做Easy VPN的配置。其配置如下： R(config)#aaa new-model //开启AAA认证 R(config)#aaa authentication login eza group radius //使用AAA认证:命名eza，对eza认证 R(config)#aaa authorization network ezo group radius //命名ezo，对ezo的事件授权 R(config)#radius-server host 192.168.1.1 auth-port 1645 key 123（指点AAA服务器的IP地址和密钥，1645是Radius的默认端口号） R(config-isakmp)#crypto isakmp policy 10 // Ipsec 阶段一的安全参数配置 R(config-isakmp)#encr 3des R(config-isakmp)#hash md5 R(config-isakmp)#authentication pre-share R(config-isakmp)#group 2 R(config-isakmp)#exit R(config)#ip local pool ez 192.168.3.1 192.168.3.100