172.16.10.0/24  该网络主机可以通过×××访问总公司开发数据服务器



思科***_第1张图片

思路与配置：

     1.配置R0：

                    0端口ip：172.16.20.254 255.255.255.0

                    1端口ip：172.16.10.254 255.255.255.0


          2端口ip：172.16.30.1 255.255.255.0

                    配置默认路由

                    ip route 0.0.0.0 0.0.0.0 172.16 30.254



思科***_第2张图片



 2.配置R1：

    0端口ip：172.16.30.254 255.255.255.0

    1端口ip：100.0.0.1 255.255.255.252

                    配置默认路由

                    ip route 0.0.0.0 0.0.0.0 100.0.0.2

                    配置静态路由

                    ip route 172.16.10.0 255.255.255. 0 172.16.30.1

                    ip route 172.16.20.0 255.255.255. 0 172.16.30.1


思科***_第3张图片


 3.配置ISP：

                    0端口ip：100.0.0.2 255.255.255.252

                    1端口ip：200.0.0.2 255.255.255.252

                   

思科***_第4张图片


  4.配置R2：

                    0端口ip：200.0.0.1 255.255.255.252

                    1端口ip：10.10.33.254 255.255.255.0

                    配置默认路由

                    ip route 0.0.0.0 0.0.0.0 200.0.0.2

思科***_第5张图片



 5.此时pc机只能ping到R1  而不能到达外网

思科***_第6张图片


                在R1上配置NAT  使pc0可以访问外网

                    access-list 1 permit 172.16.20.0 0.0.0.255

                    ip nat inside sourse list 1 interface f0/1 overload

 

                    interface f0/1 

              ip nat outside

                    interface f0/0

                         ip nat inside

                    

        思科***_第7张图片



     此时pc0可以访问外网  即 ping同外网


思科***_第8张图片

 6.在R1和R2上配置×××  是研发小组可以ping 通研发服务器

               配置R1  

                    配置ISKMP策略

                          cryption isakmp policy 1

                       encryption 3des

                          hash sha

                          authentication pre-share

                          group 2

 

                               cryption isakmp key tedu address 200.0.0.1


思科***_第9张图片

               配置ACL

                      access-list 100 permit ip 176.16.10.0 0.0.0.255 10.10.33.0 0.0.0.255

                   配置IPsec策略（转换集）

                        crypto ipsec transform-set yf-set esp-des esp-sha-hmac

                    配置加密映像集

                         crypto map yf-map 1 ipsec-isakmp

                         set peer 200.0.0.1

                         set transform-set yf-set

                         match address 100

                     将映射集应用在接口  

                         interface f0/1

                              crypto map yf-map

思科***_第10张图片

       配置R2  

                    配置ISKMP策略

                          cryption isakmp policy 1

                          encryption 3des

                          hash sha

                          authentication pre-share

                          group 2

 

                               crypto isakmp key tedu address 100.0.0.1

                         



思科***_第11张图片


      配置ACL

                         access-list 100 permit ip 10.10.33.0 0.0.0.255 172.16.10.0 0.0.0.255

                     配置IPsec策略（转换集）

                         crypto ipsec transform-set yf-set esp-des esp-sha-hmac

                     配置加密映像集

                         crypto map yf-map 1 ipsec-isakmp

                         set peer 100.0.0.1

                         set transform-set yf-set

                         match address 100

                     将映射集应用在接口  

                         interface f0/0

                              crypto map yf-map

思科***_第12张图片

   此时pc1研发小组 可以 ping 通 server0研发服务器

思科***_第13张图片

   此时pc1研发小组 可以 访问 server0研发服务器的web


思科***_第14张图片

1.流量走PAT  不走×××

     配置R1

               accecc-list 1 permit 172.16.10.0 0.0.0.255

               ip nat inside source list 1 interface f0/1 overload

               

               interface f0/1

               ip nat outside

 

               interface f0/0

               ip nat inside

2.流量可以走PAT, 也可以走×××

     配置R1

               access-list 110 deny ip 172.16.10.0 0.0.0.255 10.10.33.0 0.0.0.255

               access-list 110 permit ip any any

               ip nat inside source list 110 interface f0/1 overload

               

               interface f0/1

               ip nat outside

 

               interface f0/0

               ip nat inside