一、搭建实验环境:

DynamipsGUI、SecureCRT、unzip-c3640-ik9o3s-mz.124-10.bin的CiscoIOS镜像文件

R1模拟分部路由器,R2模拟Internet, R3模拟总部路由器。

并且在R1及R3上使用回环接口模拟各自内部局域网主机

具体IP地址及路由如下:
            R1: fa0/0:10.1.1.1/30

Loopback1:172.16.0.1/24

            R2: fa/0: 10.1.1.2/30

     fa0/1:20.2.2.2/30

R3: fa0/1:20.2.2.1/30

  Loopback1:192.168.0.3/24

1、打开小凡DynamipsGUI设置界面,设置路由器个数为3个,设备类型为3640,根据类型选择unzip-c3640-ik9o3s-mz.124-10.bin的CiscoIOS镜像文件,接着就是计算idle的值了,点击“计算idle”,确定。在弹出的命令提示行下按任意键启动路由器,然后按“Ctrl+]+i”来计算idle的值。

由于idle值的计算是根据计算机的硬件来得出结果,为了避免误差,降低内存利用率,建议多计算几次,取出出现次数最多的数值。将得出的idle值填入idle-pc中,设置输出目录到指定位置,点击“下一步”。

2、选择3个路由器的端口模块,然后点击下一步。

3、连接各个路由器的端口,Router1的fa0/0与Router2的fa0/0相连,Router2的fa0/1与Router3的fa0/1相连,并使他们生成.Bat文件,然后退出,OK!3个模拟路由器已经建立成功,接下来就是用SecrueCRT来连接这3个路由器了。

4、当然,首先是要启动者三个路由器啦,

5、打开SecureCRT的主界面,使用Telnet来连接这三台路由器。具体参数设置为使用Telnet协议,主机名设为127.0.0.1,Router1的端口为2001,Router2的端口为2002,Router3的端口为2003。这写端口号是Console端口,可以在选择3个路由器的端口模块时看到这三个端口。

三个路由器启动之后,通过SecureCRT连接并修改hostname为R1、R2、R3。

二、×××实验配置:

1、

R1路由器的基本配置:

添加默认路由为10.1.1.2

R2路由器的基本配置:

R3路由器的基本配置:

添加默认路由为20.2.2.2

2、在R1上可以ping通R3的fa0/1端口,但是ping不通loopback 1端口。在R3上也是类似情况。

3、在R1上配置IKE

crypto isakmp enable //开启isakmp;

crypto isakmp policy 10 //配置优先级为10的IKE策略。(策略编号1-1000,号越小,优先级越高。假如想多配几个×××,可以写成policy 2policy3……);

encryption aes //指定加密算法为aes

hash md5 // 指定散列算法为md5

authentication pre-share //指定验证为预共享

group 2 //指定交换密钥D-H算法密钥强度为group 2

4、配置对等体的预共享密钥为linuxtro

5、配置Ipsec变换集

crypto ipsec transform-set r1_to_r3 esp-aes //创建一个r1_to_r3的变换集,指定变换为esp-aes。 Esp-aes主要来提供加密。但也可以提供认证和完整性。

mode transport //指定ipsec的传输模式为transport

6、配置加密访问列表

7、配置加密映射表

Set peer 20.2.2.1 //指定对等体的地址

Set tran r1_to_r3 //指定交换集

Match addre 100 //指定加密访问列表

8、将加密映射表应用到fa0/0接口上

到此为止,R1的配置就完成了,R3的配置与此类似,不同之处如下:

通过Ipsec加密数据时,对等体的IP地址为10.1.1.1

配置Ipsec交换集时,创建交换集名称为r3_to_r1

配置加密访问列表时,源地址和目标地址不同

R3的具体配置如下:

R3#show running-config

Building configuration...

Current configuration : 1661 bytes

!

version 12.4

service timestamps debug datetime msec

service timestamps log datetime msec

no service password-encryption

!

hostname R3

!

boot-start-marker

boot-end-marker

!

!

no aaa new-model

memory-size iomem 5

!

!

ip cef

no ip domain lookup

!

!

crypto isakmp policy 10

encr aes

hash md5

authentication pre-share

group 2

crypto isakmp key linuxtro address 10.1.1.1

!

crypto ipsec transform-set r3_to_r1 esp-aes

mode transport

!

crypto map R3 100 ipsec-isakmp

set peer 10.1.1.1

set transform-set r3_to_r1

match address 100

interface Loopback1

ip address 192.168.0.3 255.255.255.0

!

interface FastEthernet0/0

!

interface FastEthernet0/1

no switchport

ip address 20.2.2.1 255.255.255.252

crypto map R3

ip route 0.0.0.0 0.0.0.0 20.2.2.2

!

!

access-list 100 permit ip 192.168.0.0 0.0.0.255 172.16.0.0 0.0.0.255

!

control-plane

line con 0

line aux 0

line vty 0 4

!

!

End

三、×××实验验证

先在R1上通过loopback 1端口来pingR3的loopback1端口,结果显示是可以ping通的,说明×××建立成功。

查看IKE阶段的安全关联性是否成功。出现QM_IDLE字样说明是成功的。

查看ipsec关联性,出现以下详细的内容证明IPSEC 安全关联建立成功。

再到R3上测试一下:可以看到实验结果也是正确的。