2019年EzVPN技术简介和在packet-tracer上模拟实验.docxVIP

技术简介 EzVPN是cisco独有的远程接入VPN技术，是在IPsec建立的两个阶段（IKE 阶段和IPSEC阶段）多了一个2.5阶段（用户认证阶段）。 以IPsec为基础来实现VPN功能，EzVPN能够自动去分析和完成VPN的配置和连接。以保证IPsec VPN的正常连接。 其中主要的设备： 分为EzVPN server 、EzVPN remote、 EzVPN client 本文主要将EzVPN和EzVPN client之间的技术原理和实现方法。 原理： EzVPN server 配置好各种策略，然后直接告诉EzVPN该使用什么样的IPsec策略。因为client使用的EzVPN软件已经预先集成了几乎所有的IPsec策略，当EzVPNclient收到server 推送的IPsec策略之后，就从自己预先定义好的策略库中选出完全匹配的策略来应用，最终在与EzVPN server双方IPsec保持一致之后建立IPsecVPN。 成功连接到EzVPN server之后的EzVPN client都会从EzVPN server获得一个靠DHCP自动分发的IP地址。默认掩码是/32，并且EzVPN server为了区分分配出去的IP地址分别对应着哪个EzVPN client，它会自动产生一个/32位的静态路由指向对应的EzVPN client。还包括将该路由重分布进各动态路由协议，重分布需要手动开启reverse route injection（RRI）才能启用。 还需要定义感兴趣的流量，区分是去访问总部内部网络还是Internet。隧道分离技术（split tunneling）让EzVPN client只将需要发到公司总部的流量才通过IPsec VPN加密发到EzVPN server，而其他流量发到Internet 的流量还是从正常接口出去。Split tunneling 是在EzVPN server上个配置的，配置之后会告知client区分发送的流量，通过ACL匹配相当的流量，并应用到crypto map。 EzVPN client断开之后EzVPN server不是马上就能知道的，在EzVPN client再次发起连接时。EzVPN server会在接到新的连接请求时候删除与该EzVPN client旧连接而接受新的连接，这是lnitial contact功能，默认是开启的。 名词解释： group-based policy control ： EzVPN client向EzVPN server发起认证的时，需要通过AAA认证。当通过认证之后，EzVPN server 根据一个ISAKMP组分配某些策略。如果EzVPN client提供的认证信息没有与定义好的ISAKMP组匹配，那么足与默认的IKAMP 组匹配。但默认的ISAKMP组也是需要定义的（一个ISAKMP组中所有的用户用到的策略都是相同的） User-based policy control ：为属于同一个ISAKMP组的不同用户分发不同的策略 User-based policy control （为属于同一个ISAKMP组的不同用户分发不同的策略）是基于特定用户分发的策略优先于group-based policy control。 配置示例： 实验拓扑 实验说明： 远程PC需要直接使用私有地址来访问总部的4.4.4.4/32。PC需要先和R1的公网出口能够通信，然后才能与私网之间建立穿越公网的通信。NAT-enable路由器负责最PC所在的网段30.1.1.0/24进行NAT转换。其实PT还是很强大的，GNS3模拟虽然更加真实，但是模拟EzVPN的时候却有各种很麻烦的事情。 配置基础网络环境 EzVPN-server路由器 Routeren Router#conf t Enter configuration commands, one per line. End with CNTL/Z. Router(config)#hostname EzVPN-server EzVPN-server(config)#int fa 0/0 EzVPN-server(config-if)#no sh EzVPN-server(config-if)#ip add 1iproute2.1.1.1 255.255.255.0 EzVPN-server(config-if)#int fa 0/1 EzVPN-server(config-if)#no sh EzVPN-server(config-if)#ip add 10.1.1.1 255.255.255.0 EzVPN-server(config-if)#ip route 0.0.0.0 255.255.255.255 10.1.1.4