V.P.N分类
第一大类：site-to-site v.p.n
1、gre
2、ipsec v.p.n
3、mpls v.p.n
第二大类：Remote access v.p.n
1、ipsec v.p.n
2、VPDN（虚拟私有拨号网络）
3、SSL v.p.n（安全套接层）
---------------------------GRE------------------------------
不要把公网路由放入私网协议中
先路由再NAT
触发NAT的两个条件：
1、出口为NAT的outside口
2、匹配感兴趣流
GRE和NAT配置无冲突，配置GRE不用考虑NAT
--------------------------IPSec-----------------------------
IPSec框架：
散列函数-算法：md5，sha-1 方式：hash，HMAC
加密算法-对称：des，3des，aes，rc4 非对称：rsa，dh，ecc 用途：密钥交换，数字签名
封装协议：ESP，AH（不支持加密，不能穿越NAT）
封装模式：传输模式（加密点等于通讯点【推荐，效率高】），隧道模式（加密点不等于通讯点【必须】）
密钥有效期：PFS（完美向前保密，每3600秒更换一次，无法推算）
执行这个协商任务的协议，就是IKE（协商过程）
IKE的任务：
1、对双方认证
2、通过密钥交换，产生用于加密和HMAC的随机密钥
3、协商五元素
协商的结果叫SA（安全联盟），约束加密双方使用的参数信息，可以理解成合同
SA两种：
1、IKE SA 用于维护安全防护（五元素）IKE协议的细节
2、IPSec SA 用于维护实际流量的安全细节
IKE的组成：
1、SKEME 决定IKE密钥交换方式，IKE只要使用DH来实现密钥交换
2、Oakley 决定IPSec的框架设计
3、ISAKMP 是IKE的核心，决定IKE协商包的封装格式、交换过程和模式切换
在实际谈论中，我们默认ISAKMP=IKE
第一阶段：IKE SA
1）主模式MM 6个包
1-2个包 发送方发送多个IKE策略，接收方选择一个IKE策略
3-4个包 通过DH交换密钥
5-6个包 在安全环境下进行认证
2）主动模式AM 3个包
第二阶段：IPSec SA
快速模式 3个包
1-3个包是为了交互IPSec策略
其中的安全参数索引（SPI） 可以理解成合同编号，后续交互时会在ESP中携带对方的SPI值
-------------------------------实验-------------------------------------
拓扑：R1-R2--R3-R4--R5-R6
R1/R6 通讯点
R2/R5 加密点
R3/R4 Internet
通讯点要有对方通讯点的路由；
加密点要有对方加密点的路由，以及本端通讯点和对端通讯点的路由；
Internet要有双方加密点的路由。
最基本路由：
R3/R4 ospf
R1/R6 默认路由
R2/R5 默认路由出，静态路由回
show run all 查看所有命令，包含隐藏命令
第一阶段：
crypto isakmp enable 开启IKE，默认开启
crypto isakmp key 0 CCIE address 8.8.45.5 接受8.8.45.5的预共享密钥
crypto isakmp policy 10
authentication pre-share
encrypto 3des
hash md5
group 2
第二阶段：
access-list 100 permit ip host 192.168.1.1 host 192.168.6.6
crypto ipsec transform-set TR esp-aes esp-sha-hmac
mode tunnel
crypto map ABC 10 ipsec-isakmp
match address 100
set transform-set TR
set peer 8.8.45.5
int e1/0 调用在出接口
crypto map ABC
show run | se cry|list
show crypto isakmp sa 显示QM-idle表示第一阶段协商正常
show crypto ipsec sa [detail] 查看第二阶段协商
show crypto session
show crypto peers
show crypto engine connection active 查看统计信息
NAT出包在IPSec加密之前，NAT将源IP转换后，无法匹配IPSec感兴趣流。因此在NAT配置时，要deny掉IPSec的感兴趣网段。
------------dynamic map------------
crypto isakmp key 0 CCIE address 0.0.0.0 接受所有的协商
不用写感兴趣流列表
默认tunnel模式
crypto dynamic-map DM 10
set transform-set TR
crypto map ABC 10 ipsec-isakmp dynamic DM 将动态map绑定到静态map
int e1/0
crypto map ABC
只能靠一端发起流量，才能建立隧道连接
-------------------------------------------------gre over ipsec------------------------------------------------------
感兴趣流写8.8.23.2到8.8.45.5
mode transport
把协议号47换成了50，最外层是ipsec
通过tunnel传递路由，解决路由传递问题
在tunnel可以做acl控制策略
感兴趣流好抓
不受nat影响
新格式和老格式兼容
新格式：
crypto ipsec profile ABC
set transform-set TR
int tun 0
tunnel protection ipsec profile ABC
-----------------------------------D.M.V.P.N---------------------------------
一个前提：各个站点的公网接口要互相能ping通
四大组件：
1、mGRE
2、NHRP
3、动态路由协议
4、IPSec
mGRE：
每个出口路由器，都建议一个tunnel接口，配置同网段地址。
R1:
int tunnel 0
tunnel mode gre multipoint
ip add 192.168.134.1 255.255.255.0
tunnel source 8.8.12.1
NHRP：下一跳解析协议
R4:
int tunnel 0
ip nhrp network-id 1 （id编号 本地有效）
ip nhrp map 192.168.134.1 8.8.12.1
ip nhrp nhs 192.168.134.1 (192.168.134.1是班长)
R1：
int tun 0
ip nhrp network-id 1
show ip nhrp [brief]
ip nhrp authentication CCIE
ip nhrp holdtime 7200 默认存在2小时
动态路由协议：
router eigrp 100
no auto
network 192.168.0.0 0.0.255.255
int tun 0
ip nhrp map multicast 8.8.12.1 支持发组播包
int tun 0
ip nhrp map multicast dynamic
no ip split-horizon eigrp 100
分支互访走捷径：（要测试两次）
spoke端：ip nhrp shortcut
hub端：ip nhrp redirect
nhrp表优先于路由表
IPSec：
crypto isakmp enable
crypto isakmp key 0 CCIE address 0.0.0.0
crypto isakmp policy 10
authen pre-share
crypto ipsec transform-set TR esp-aes esp-sha-hmac
mode transport
crypto ipsec profile D.M.V.P.N
set transform-set TR
int tun 0
tun pro ipsec profile D.M.V.P.N
切忌公网接口不要往私网协议里宣告，会导致邻居关系翻动。
D.M.V.P.N = mGRE over IPSec
---------------------FVRF-D.M.V.P.N------------------------
1、把公网接口放入vrf，并且默认路由改到vrf中。（tunnel属于global，不要放入vrf中）
2、为了GRE封装后，外层包头查询vrf路由表出包
interface tunnel 0
tunnel vrf ABC
3、crypto isakmp key CCIE address 0.0.0.0 0.0.0.0 从任何global接口收到的任意源地址来的isakmp协商，我都乐意
no crypto isakmp key CCIE address 0.0.0.0 0.0.0.0
crypto keyring KR vrf ABC
pre-shared-key address 0.0.0.0 0.0.0.0 key CCIE
----------------------IVRF-D.M.V.P.N-----------------------
除了公网接口外，其他接口都放入vrf