ASA防火墙和路由器配置IPSec VPN

简介: ASA防火墙和路由器配置IPSec VPN

拓扑图:

1675845475658.png


推荐步骤:

防火墙、路由器、PC机配置IP地址

防火墙访问ISP的Lo0接口配置默认路由,R1路由器访问ISP的Lo0接口配置默认路由、ISP访问PC1和PC1配置静态路由全网互通

在ASA上开启NAT控制强流量被NAT转换并配置NAT,在路由器R1上配置NAT实现PC1访问Lo0接口流量被NAT转发,PC2访问ISP的Lo0接口流量被NAT转发

在ASA防火墙和R1路由器上配置IPSec VPN实现PC1访问PC2流量被NAT转换

实验步骤:


一、防火墙、路由器、PC机配置IP地址


1、防火墙配置IP地址


1)防火墙接口配置IP地址

ASA1(config)#interface ethernet 0/0       //进入防火墙ASA1的0/0接口
ASA1(config-if)#name outside              //外网接口
ASA1(config-if)#ip address 192.168.100.2 255.255.255.0    //配置IP地址和子网掩码
ASA1(config-if)#no shutdown               //激活接口
ASA1(config-if)#eixt                      //退出
ASA1(config)#interface ethernet 0/1       //进入ASA1的0/1接口
ASA1(config-if)#nameif inside             //内网接口
ASA1(config-if)#ip address 192.168.10.1 255.255.255.0      //配置IP地址和子网掩码
ASA1(config-if)#no shutdown               //激活接口
ASA1(config-if)#exit                      //退出


2)查看ASA接口配置的IP地址


ASA1#show interface ip brief              //查看配置的IP地址

1675845521073.png

2、R1路由器配置IP地址


1)给R1路由器接口配置IP地址

R1(config)#interface fastEthernet 1/0       //进入路由器R1的1/0接口
R1(config-if)#ip address 192.168.200.2 255.255.255.0       //配置IP地址和子网掩码
R1(config-if)#no shutdown                                  //激活接口
R1(config-if)#exit                         //退出
R1(config)#interface fastEthernet 0/0      //进入路由器R1的0/0接口
R1(config-if)#ip address 192.168.20.1 255.255.255.0       //配置IP地址和子网掩码
R1(config-if)#no shutdown                  //激活接口
R1(config-if)#exit                         //退出


2)查看R1路由器接口配置的IP地址

R1#show ip inte b            //查看配置的IP地址

3、ISP路由器配置IP地址

1)给ISP路由器接口配置IP地址

ISP(config)#interface fastEtheernet 0/0
ISP(config-if)#ip address 192.168.100.1 255.255.255.0
ISP(config-if)#no shutdown
ISP(config-if)#exit
ISP(config)#interface loopback 0
ISP(config-if)#ip address 192.168.30.1 255.255.255.0
ISP(config-if)#exit

2)查看ISP路由器接口配置IP地址

ISP#show ip interface b

1675845553091.png4、PC1计算机配置IP地址

1)给PC1接口配置IP地址


PC1(config)#no ip routing
PC1(config)#interface fastEthernet 0/0
PC1(config-if)#ip address 192.168.10.2  255.255.255.0
PC1(config-if)#no shutdown
PC1(config-if)#exit
PC1(config)#ip default-gateway 192.168.10.1
PC1(config)#end
PC1#show ip in b

1675845577806.png

5、PC2计算机配置IP地址

1)给PC2接口配置IP地址

PC2(config)#no ip routing
PC2(config)#interface fastEthernet 0/0
PC2(config-if)#ip address 192.168.20.2 255.255.255.0
PC2(conifg-if)#no shutdown
PC2(config-if)#exit
PC2(config)#ip default-gateway 192.168.20.1
PC2(config)#end
PC2#show ip int b


二、ASA防火墙访问ISP的Lo0接口配置默认路由,R1路由器访问ISP的Lo0接口配置默认路由、ISP访问PC1和PC1配置静态路由全网互通


1、ASA防火墙配置默认路由

1)在ASA1上配置默认路由

ASA1(config)#route outside 0 0 192.168.100.1
ASA1(config)#end

2)查看默认路由

ASA1#show route

1675845678081.png2、R1路由器配置默认路由

1)在R1路由器配置默认路由

R1(config)#ip route 0.0.0.0 0.0.0.0 192.168.200.1
R1(config)#end

2)查看R1路由表

R1#show ip route

1675845695058.png3、ISP路由器配置静态路由

1)在ISP路由器配置静态路由

ISP(config)#ip route 192.168.10.0 255.255.255.0 192.168.100.2
ISP(config)#ip route 192.168.20.0 255.255.255.0 192.168.200.2
ISP(config)#end

2)查看路由表

ISP#show ip route

1675845709138.png4、ASA防火墙将ICMP协议添加状态列表验证全网互通

1)ASA将ICMP协议添加状态化列表、验证全网互通

ASA1(config)#fixup protocol icmp
ASA1(config)#end
ASA1#ping 192.168.20.2

395f7201146f2f2222b9cb3c33a22c1.png三、在ASA上开启NAT控制强流量被NAT转换并配置NAT,在路由器R1上配置NAT实现PC1访问Lo0接口流量被NAT转发,PC2访问ISP的Lo0接口流量被NAT转发

1、ASA配置NAT

1)开启NAT控制强制流量走NAT

ASA1(config)#nat-control

2)配置访问控制识别NAT的流量

ASA1(config)nat (inside) 1 192.168.10.0 255.255.255.0

3)将识别的流量映射到outside接口

ASA1(config)global (outside) 1 interface

4)访问ISP的Lo0接口

PC#ping 192.168.30.1

5)查看地址转换列表

ASA#show xlate detail

2、路由器R1配置NAT

1)接口开启NAT功能


R1(config)#interface fastEthernet 1/0
R1(config-if)#ip nat outside
R1(config-if)#exit
R1(config)#interfacce fastEtheernet 0/0
R1(config-if)#ip nat iside
R1(config-if)#exit

2)创建访问控制列表识别NAT流量VPN流量不能被NAT转换进行区分

R1(config)#access-list 100 deny ip 192.168.20.0 0.0.0.255 192.168.10.0 0.0.0.255
R1(config)#access-list 100 permit ip 192.168.20.0 0.0.0.255 any

3)将NAT的流量映射到路由器外网接口

R1(config)#ip nat inside source list 100 interface fastEthernet 1/0 over load

4)开启NAT跟踪

R1#debug ip nat

5) PC2访问ISP的Lo0接口IP地址

PC2#ping 192.168.30.1

5614d935f1afb0c9c9e6ea0407bb522.png6) 查看地址转换信息

252abedf0bb5c509f9838af1a83888e.png

四、在ASA防火墙和R1路由器上配置IPSec VPN实现PC1访问PC2流量被NAT转换

1、创建豁免访问控制列表并应用

1)创建豁免访问控制列表


ASA1(config)#access-list nonat permit ip 192.168.10.0 255.255.255.0 192.168.20 255.255.255.0

2)应用豁免

ASA1(config)#nat (inside) 0 access-list nonat

2、配置ASA防火墙配置IPSec VPN

1)创建安全策略

ASA1(config)#crypto isakmp policy 1
ASA1(config-isakmp-policy)#encryption aes
ASA1(config-isakmp-policy)#hash md5
ASA1(config-isakmp-poiicy)#authentication pre-share
ASA1(config-isakmp-policy)#group 2
ASA1(config-isakmp-policy)#exit

2)创建访问控制列表识别经过ipsec VPN转发的流量

ASA1(config)#access-list ipsecvpn permit ip 192.168.10.0 255.255.255.0 192.168.20.0 255.255.255.0

3)开启Outside接口允许IKE协商建立IPSec VPN连接

ASA1(config)#crypto isakmp enable outside

4) 配置共享密钥pwd@123和允许和对端IP地址192.168.200.2建立IPSec VPN

ASA1(config)#crypto isakmp key pwd@123 address 192.1668.200.2

5)创建传输集名字bj-set,加密使用aes验证使用md5

ASA1(config)#crypto ipsec transform-set bj-set esp-aes esp-md5-hmac

6)创建crypto map调用访问控制列表、调用对端建立ipsec vpn连接地址、调用传输集

ASA1(config)#crypto map bj-vpn 1 match address ipsecvpn
ASA1(config)#crypto map bj-vpn 1 set peer 192.168.200.2
ASA1(config)#crypto map bj-vpn 1 set transform-set bj-set

7)将crypto map应用到Outside接口

ASA1(config)#crypto map bj-vpn interface outside

8)配置访问控制列表允许低安全级别访问高

ASA1(config)#access-list out_to_in permit ip any any
ASA1(config)#access-group out_to_in in interface outside

3、配置路由器IPSec VPN

1)创建安全策略

R1(config)#crypto isakmp policy 1
R1(config-isakmp)#encryption aes
R1(config-isakmp)#hash md5
R1(config-isakmp)#authentication pre-share
R1(config-isakmp)#group 2
R1(config-isakmp)#lifetime 86400
R1(config-isakmp)#exit

2)创建访问控制列表设置经过ipsec VPN转发的流量

R1(config)#eccess-list 101 permit ip 192.168.20.0 0.0.0.255 192.168.10.0 0.0.0.255

3)配置共享密钥pwd@123和对端192.168.200.2IPSec VPN

R1(config)#crypto isakmp key 0 pwd@123 address 192.168.100.2

4)创建传输集

R1(config)#crypto ipsec transorm-set sh-set esp-aes esp-md5-hmac

5)创建crypto map调用访问控制列表、调用对端建立ipsec vpn连接地址、调用传输集

R1(config)#crypto map sh-vpn 1 ipsec-isakmp
R1(config-crypto-map)#match address 101
R1(config-crypto-map)#set peer 192.168.100.2
R1(config-crypto-map)#set transform-set sh-set
R1(config-crypto-map)#exit

6)将crypto map应用到接口

R1(config)#interface fastEthernet 1/0
R1(config)#crypto map sh-vpn

4、验证IPSec VPN

1)PC2访问PC1

PC2#ping 192.168.10.2

bc768ec2b7d28807b3d19ada7f7eb06.png2)查看路由器IPSec VPN连接状态

R1#show crypto isakmp sa

76841d5895aaa0aabf3e763d5e7f540.png3)查看IPSec VPN数据包转发状态

R1#show crypto ipsec sa

eda9a75cbc08f5b74936888c269af2c.png4)PC1访问PC2

PC1#ping 192.168.20.2

5)查看ASA防火墙IPSec VPN连接状态

ASA1#show crypto isakmp sa

54e826fe522a414e9a8143d09d2bad4.png6)查看ASA防火墙IPSec VPN数据转发情况


ASA1#show crypto ipsec sa

03e9e86368d7996bfcbf2eb0f0b7449.png5、验证NAT

1)PC1访问ISP的Lo0接口使用NAT


PC1#ping 192.168.30.1

a8776d5077a84e4c88f2e86158c1c48.png

ASA1#show xlate detail

a8776d5077a84e4c88f2e86158c1c48.png2)PC2访问ISP的Lo0接口使用NAT


PC2#ping 192.168.30.1

2cb4d2b3fe683c59852ceac33cdc561.png

R1#debug ip nat

2cbdd8944ff0f0bbb224459955fd71f.png

相关文章
|
25天前
|
网络安全 数据中心
百度搜索:蓝易云【Proxmox软件防火墙的配置教程】
现在,你已经完成了Proxmox软件防火墙的配置。请确保你的防火墙规则设置正确,以保护你的Proxmox VE环境免受未经授权的访问和网络攻击。
71 5
|
4月前
|
开发框架 网络协议 Ubuntu
【Linux】配置网络和firewall防火墙(超详细介绍+实战)
【Linux】配置网络和firewall防火墙(超详细介绍+实战)
876 0
|
7月前
|
网络协议 Linux 网络安全
Centos7 防火墙配置+端口设置
Centos7 防火墙配置+端口设置
146 0
Centos7 防火墙配置+端口设置
|
9天前
|
存储 弹性计算 负载均衡
ECS配置问题之配置OPENVPN报错如何解决
ECS配置指的是对阿里云Elastic Compute Service(弹性计算服务)实例的硬件和软件资源进行设置的过程;本合集将详述如何选择合适的ECS配置、调整资源配比以及优化实例性能,以满足不同应用场景的需求。
|
1月前
|
网络协议 Shell Linux
系统初始化shell,包括:挂载镜像、搭建yum、设置主机名及IP地址和主机名映射、配置动态IP、关闭防火墙和selinux
系统初始化shell,包括:挂载镜像、搭建yum、设置主机名及IP地址和主机名映射、配置动态IP、关闭防火墙和selinux
21 2
|
2月前
|
负载均衡 安全 网络安全
SD-WAN是否将终结IPsec VPN?
在网络架构的演进历程中,IPsec VPN一直扮演着至关重要的技术角色。而近年来备受关注的SD-WAN技术日益成熟,各大服务供应商纷纷将其与IPsec VPN进行对比,似乎预示着SD-WAN必然替代传统的IPsec VPN。 然而事实究竟如何?SD-WAN等于IPsec VPN的替代吗?经过几年的发展,我们对这个技术变革的实际影响也有了更为清晰的认识。
SD-WAN是否将终结IPsec VPN?
|
3月前
|
网络协议 Linux 网络安全
suse 12 配置ip,dns,网关,hostname,ssh以及关闭防火墙
suse 12 配置ip,dns,网关,hostname,ssh以及关闭防火墙
83 0
|
4月前
|
网络协议 网络虚拟化
MPLS VPN Hub&Spole理论及实验配置
MPLS VPN Hub&Spole理论及实验配置
59 0
|
4月前
|
安全 网络安全 网络虚拟化
企业路由器配置PPTP PC到站点模式VPN指南(外网访问内网资源)
企业路由器配置PPTP PC到站点模式VPN指南(外网访问内网资源)
101 0
|
4月前
|
安全 网络虚拟化 数据安全/隐私保护
Windows 10系统自带VPN客户端配置连接PPTP VPN服务器
Windows 10系统自带VPN客户端配置连接PPTP VPN服务器
479 1