最近很忙所以一个多星期没有更新过我的博客了，Juniper SRX的所有试验（SRX100能搞定的）都已经做完了，最近正在做PPT！IRONPORT邮件防火墙也已经把高级特×××完毕了，只等最后录像！还有就是最近YESLAB接了一个《思蜀援川》项目，汶川的朋友都到我们这里来学习了！最后就是我还在学开车，本周四还要考交规，这简直是个郁闷的事情！
SRX防火墙因为条件所限没有完成的试验如下，希望有条件的高人联系我，让小弟做做实验！
1.高可用性（毕竟我只有一台防火墙）
2.IPS（授权问题）
3.透明墙（传中说只有高端才能够支持）
实验六:Dynamic Virtual Tunnel Interface（DVTI）技术
我们曾经在第四章第四个试验中，介绍过VTI技术，并且对SVTI的配置进行了详细的介绍。VTI技术一共分为两大部分SVTI和DVTI，SVTI运用于站点到站点×××，用于替代传统静态crypto map的配置，并且创建一个虚拟隧道接口，我们可以在这个虚拟隧道接口上对×××流量运用各种网络技术，例如:IOS防火墙，QoS，NAT，动态路由协议等等。DVTI技术与SVTI技术类似，只是DVTI技术运用于远程访问的Ez×××，Cisco官方对DVTI的特点作了如下的介绍。
1. 替代传统的Dynamic map配置。
2. 支持加密单播与组播。
3. 支持QoS，FW，NetFlow，ACL，NAT和VRF技术（注意不支持在DVTI接口上的动态路由协议）。
4. 支持RADIUS服务器推送基于用户和组的策略。
5. 克隆虚拟模板(virtual template)配置，动态创建虚拟访问接口（virtual access interfaces）。
了解了DVTI的基本特性后，我们先来了解一下DVTI的具体配置命令，然后再介绍一下我对这个技术的理解。
第一部分:实验目标
介绍Ez××× DVTI配置方式。
第二部分:实际接线状况
图9-29:Ez××× DVTI实验实际接线图
第三部分:实验拓扑
图9-30: Ez××× DVTI实验拓扑
拓扑介绍:本次试验的主要目的是介绍Ez××× DVTI配置方式。Center模拟中心站点路由器，Branch模拟分支站点路由器。具体网段与地址如上图所示。采用DVTI技术之后，Ez×××一旦建立会在Ez×××服务器和客户端分别产生一个虚拟访问接口，这个接口的配置源自于对虚拟模板配置的克隆。Ez×××服务器和客户端通过这两个虚拟访问接口虚拟的连接在一起。我们可以在这个接口上配置IOS防火墙，QoS，NAT等等高级特性。
第四部分:基本网络配置
Center基本网络配置
| enable configure terminal ! hostname Center ! interface Loopback0 ip address 172.16.1.1 255.255.255.0 ! interface FastEthernet0/0 ip address 202.100.1.1 255.255.255.0 no shutdown ! ip route 0.0.0.0 0.0.0.0 202.100.1.10 ! end |
Internet基本网络配置
| enable configure terminal ! hostname Internet ! interface FastEthernet0/0 ip address 202.100.1.10 255.255.255.0 no shutdown ! interface FastEthernet1/0 ip address 61.128.1.10 255.255.255.0 no shutdown ! end |
Branch基本网络配置
| enable configure terminal ! hostname Branch ! interface Loopback0 ip address 10.1.1.1 255.255.255.0 ! interface FastEthernet1/0 ip address 61.128.1.1 255.255.255.0 no shutdown ! ip route 0.0.0.0 0.0.0.0 61.128.1.10 ! end |
第五部分:Ez××× DVTI配置
Center Ez××× DVTI服务器配置
| enable configure terminal ! aaa new-model ! aaa authentication login noacs line none aaa authentication login Ez×××-XAUTH local aaa authorization network Ez×××-MODE-CFG local ! username ipsecuser password 0 yeslabccies ! crypto isakmp policy 10 encr 3des hash md5 authentication pre-share group 2 ! crypto isakmp client configuration group ipsecgroup key yeslabccies pool Ez×××-Pool save-password crypto isakmp profile Ez×××-Profile match identity group ipsecgroup client authentication list Ez×××-XAUTH isakmp authorization list Ez×××-MODE-CFG client configuration address respond virtual-template 100 <在ISAKMP Profile下调用虚拟模板，关联ipsecgroup组的用户到这个虚拟模板100，我们可以在这个模板下配置访问控制列表，NAT地址转换或者QoS相关策略，这些策略自动会运用到这个组的用户。> ! crypto ipsec transform-set Ez×××-Trans esp-des esp-md5-hmac ! crypto ipsec profile IPSec-Profile set transform-set Ez×××-Trans set isakmp-profile Ez×××-Profile <在IPSec Profile下调用ISAKMP Profile，关联第一阶段策略和认证信息到第二阶段策略。> ! interface Virtual-Template100 type tunnel <配置时一定注意“type tunnel”关键字> ip unnumbered FastEthernet0/0 <注意一定要“unnumber”任何一个有IP地址的接口，“unnumber”没有配置IP地址的接口，或者随意手动配置一个IP地址都会造成Ez×××无法正常建立。> tunnel source FastEthernet0/0 <隧道的源一定是本地加密点地址。> tunnel mode ipsec ipv4 <“tunnel mode ipsec ipv4”这句话是VTI技术的关键> tunnel protection ipsec profile IPSec-Profile <在虚拟模板下调用IPSec Profile，这样所有动态产生的虚拟访问接口都会被这个IPSec Profile所保护> ! ip local pool Ez×××-Pool 123.1.1.100 123.1.1.200 ! line con 0 login authentication noacs line aux 0 login authentication noacs ! end |
Branch Ez××× DVTI客户端配置
| enable configure terminal ! crypto ipsec client ez*** Ez×××-Client connect auto group ipsecgroup key yeslabccies mode client peer 202.100.1.1 virtual-interface 56 <调用虚拟模板56，这个Ez×××建立以后产生的虚拟访问接口，会克隆虚拟模板56的配置而产生。> username ipsecuser password yeslabccies ! interface Loopback0 ip address 10.1.1.1 255.255.255.0 crypto ipsec client ez*** Ez×××-Client inside ! interface FastEthernet1/0 ip address 61.128.1.1 255.255.255.0 crypto ipsec client ez*** Ez×××-Client outside ! interface Virtual-Template56 type tunnel ip unnumbered Loopback0 <虚拟模板下只需要“ip unnumbered”命令即可，配置注意事项与Ez××× DVTI服务器端相同。> ! end |
第六部分:查看Ez××× DVTI状态
Center Ez××× DVTI状态
| Center#show crypto session Crypto session current status Interface: Virtual-Access2 <动态产生接口“Virtual-Access2”> Username: ipsecuser Profile: Ez×××-Profile <使用的ISAKMP Profile为“Ez×××-Profile”> Group: ipsecgroup Assigned address: 123.1.1.101 <为客户推送的地址为“123.1.1.101”> Session status: UP-ACTIVE Peer: 61.128.1.1 port 500 IKE SA: local 202.100.1.1/500 remote 61.128.1.1/500 Active IPSEC FLOW: permit ip 0.0.0.0/0.0.0.0 0.0.0.0/0.0.0.0 <感兴趣流为进入这个虚拟隧道接口的所有流量> Active SAs: 2, origin: crypto map Center#show ip route Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2 i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2 ia - IS-IS inter area, * - candidate default, U - per-user static route o - ODR, P - periodic downloaded static route Gateway of last resort is 202.100.1.10 to network 0.0.0.0 172.16.0.0/24 is subnetted, 1 subnets C 172.16.1.0 is directly connected, Loopback0 C 202.100.1.0/24 is directly connected, FastEthernet0/0 123.0.0.0/32 is subnetted, 1 subnets S 123.1.1.101 [1/0] via 0.0.0.0, Virtual-Access2 <通过“Virtual-Access2”去往地址池地址“123.1.1.101”> S* 0.0.0.0/0 [1/0] via 202.100.1.10 |
Branch Ez××× DVTI状态
| Branch#show crypto session Crypto session current status Interface: Virtual-Access2 <动态产生接口“Virtual-Access2”> Session status: UP-ACTIVE Peer: 202.100.1.1 port 500 IKE SA: local 61.128.1.1/500 remote 202.100.1.1/500 Active <两个加密点UDP/500之间的IKE安全关联> IPSEC FLOW: permit ip 0.0.0.0/0.0.0.0 0.0.0.0/0.0.0.0 <感兴趣流为进入这个虚拟隧道接口的所有流量> Active SAs: 2, origin: crypto map Branch#show crypto ipsec client ez*** Easy ××× Remote Phase: 6 Tunnel name : Ez×××-Client Inside interface list: Loopback0 Outside interface: Virtual-Access2 (bound to FastEthernet1/0) <这个Ez×××的外部接口为动态产生的虚拟访问接口“Virtual-Access2”> Current State: IPSEC_ACTIVE Last Event: MTU_CHANGED Address: 123.1.1.101 (applied on Loopback10000) Mask: 255.255.255.255 Save Password: Allowed Current Ez××× Peer: 202.100.1.1 Branch# show ip route Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2 i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2 ia - IS-IS inter area, * - candidate default, U - per-user static route o - ODR, P - periodic downloaded static route Gateway of last resort is 61.128.1.10 to network 0.0.0.0 202.100.1.0/32 is subnetted, 1 subnets S 202.100.1.1 [1/0] via 61.128.1.10 10.0.0.0/24 is subnetted, 1 subnets C 10.1.1.0 is directly connected, Loopback0 123.0.0.0/32 is subnetted, 1 subnets C 123.1.1.101 is directly connected, Loopback10000 61.0.0.0/24 is subnetted, 1 subnets C 61.128.1.0 is directly connected, FastEthernet1/0 S* 0.0.0.0/0 [1/0] via 61.128.1.10 [1/0] via 0.0.0.0, Virtual-Access2 <默认没有启用分割隧道技术，所以产生了一条默认路由出口为动态产生的虚拟访问接口“Virtual-Access2”，如果启用了分割隧道技术，应该产生一条去往中心内部网络的静态路由，下一条依然为“Virtual-Access2”。> |
实验七:GRE Over Ez×××完美解决方案
我们已经学过了很多×××技术，但是没有任何一个技术能够运用在，客户和服务器双动态地址，有隧道接口并且能够运用动态路由协议，这种极端复杂而苛刻的场合。虽然非常苛刻但却非常容易出现，例如：我公司和我家都是使用ADSL动态获取地址，但是我却希望配置一个站点到站点的×××（使用Ez×××拨号的感觉绝对不如站点到站点×××使用起来爽），还希望有隧道并且能够运行动态路由协议。（能够跑通动态路由协议，绝对是一件心情为之一爽的事情）。我们现在就对以前学习的×××技术逐个进行分析，了解他们运用在这种场合存在哪些缺陷？传统的站点到站点技术就不讨论了，属于什么都不支持什么都没有。传统的GRE，GRE Over IPSec和DM×××技术不支持双动态地址。GET×××就不是一个互联网技术，所以也不是讨论范围。Ez×××虽然能够支持动态地址（可以使用peer配置中心×××网关的域名），但是不管是Ez×××的哪种配置方式，都不能支持在隧道上运行动态路由协议，虽然DVTI有动态产生的虚拟访问接口，但却不能在这个接口上运行动态路由协议。综上所述我们以前学习的×××技术都不能运用在这种复杂而苛刻的场合，现在我就为大家介绍一下现任明教教主自创的GRE Over Ez×××完美解决方案，能够在最复杂和苛刻的×××网络环境中运用。
图9-32: GRE Over Ez×××完美解决方案
试验介绍:本次试验的主要目的是介绍GRE Over Ez×××完美解决方案，Center和Branch分别模拟中心和分支站点的×××网关路由器。由于基本网络环境和试验六完全相同，所以在本实验中省略了对设备基本网络配置的介绍。配置GRE Over Ez×××这个实验，我们首先需要在Center和Branch上创建两个环回口（Loopback100）。Center上环回口“loopback100”地址为1.1.1.1/32，Branch上环回口“loopback100”地址为2.2.2.2/32。配置完环回口后，就开始配置一个普通的Ez×××，唯一需要注意的就是Branch Ez×××的Inside接口为 “Loopback100”，这样保障了Ez×××感兴趣流在Branch端的通讯点地址为2.2.2.2/32。在Center上配置Ez×××服务器需要使用分割隧道技术，使用分割隧道技术把“1.1.1.1/32”这个网络推送给客户。通过在Ez×××服务器和客户端的努力我们让Ez×××的感兴趣流为中心站点的1.1.1.1/32到分支站点2.2.2.2/32之间的流量（注意：客户端使用网络扩展模式）。可能看到这里，很多人还没有看出门道，感觉我只是在做一个无聊的Ez×××演示实验。精彩的部分马上开始，紧接着要配置的就是GRE隧道，在Center上配置一个GRE隧道，隧道的源为“1.1.1.1”目的为“2.2.2.2”。正好相反在Branch上配置的GRE隧道，隧道的源为“2.2.2.2”目的为“1.1.1.1”。这个时候大家可以好好想想，是不是在Center和Branch之间这个GRE隧道的所有流量（1.1.1.1到2.2.2.2之间的GRE流量）都已经被预先配置Ez×××所加密了！实现了这个实验名字“GRE Over Ez×××”。在Center和Branch之间有了一个联通的虚拟隧道，后续的事情就变得比较简单了，只需要配置一个动态路由协议，把Center和Branch的身后网络，还有GRE隧道的网络加入到这个路由协议里，就大功告成了。
第一部分:配置换回口“Loopback100”
Center配置换回口“loopback100”
| Center(config)#interface loopback 100 Center(config-if)#ip address 1.1.1.1 255.255.255.255 |
Branch配置换回口“loopback100”
| Branch(config)#interface loopback 100 Branch(config-if)#ip address 2.2.2.2 255.255.255.255 |
第二部分:配置Ez×××
Center配置Ez×××服务器
| Center(config)#aaa new-model Center(config)#aaa authentication login noacs line none Center(config)#aaa authentication login Ez×××-XAUTH local Center(config)#aaa authorization network Ez×××-MODE-CFG local Center(config)#username ipsecuser password 0 yeslabccies Center(config)#crypto isakmp policy 10 Center(config-isakmp)# encr 3des Center(config-isakmp)# hash md5 Center(config-isakmp)# authentication pre-share Center(config-isakmp)# group 2 Center(config)#crypto isakmp client configuration group ipsecgroup Center(config-isakmp-group)# key yeslabccies Center(config-isakmp-group)# acl Split Center(config-isakmp-group)# save-password <注意配置分割隧道技术和保存密码。> Center(config)#crypto isakmp profile Ez×××-Profile Center(conf-isa-prof)# match identity group ipsecgroup Center(conf-isa-prof)# client authentication list Ez×××-XAUTH Center(conf-isa-prof)# isakmp authorization list Ez×××-MODE-CFG Center(conf-isa-prof)# client configuration address respond Center(config)# crypto ipsec transform-set IPSec-Trans esp-des esp-md5-hmac Center(config)#crypto dynamic-map Dynamic-Map 10 Center(config-crypto-map)# set transform-set IPSec-Trans Center(config-crypto-map)# set isakmp-profile Ez×××-Profile Center(config)# crypto map cry-map 1000 ipsec-isakmp dynamic Dynamic-Map Center(config)#interface FastEthernet0/0 Center(config-if)# ip address 202.100.1.1 255.255.255.0 Center(config-if)# crypto map cry-map Center(config)#ip access-list extended Split Center(config-ext-nacl)# permit ip host 1.1.1.1 any Center(config-cp)#line con 0 Center(config-line)# login authentication noacs Center(config-line)#line aux 0 Center(config-line)# login authentication noacs |
Branch配置Ez×××客户端
| Branch(config)#crypto ipsec client ez*** Ez×××-Client Branch(config-crypto-ez***)# connect auto Branch(config-crypto-ez***)# group ipsecgroup key yeslabccies Branch(config-crypto-ez***)# mode network-extension <使用网络扩展模式，实现2.2.2.2 到 1.1.1.1的感兴趣流。> Branch(config-crypto-ez***)# peer 202.100.1.1 Branch(config-crypto-ez***)# username ipsecuser password yeslabccies Branch(config-if)#interface Loopback100 Branch(config-if)# ip address 2.2.2.2 255.255.255.255 Branch(config-if)# crypto ipsec client ez*** Ez×××-Client inside <注意Ez×××的内部接口是“Loopback100”，本地通讯点。> Branch(config-if)#interface FastEthernet1/0 Branch(config-if)# ip address 61.128.1.1 255.255.255.0 Branch(config-if)# crypto ipsec client ez*** Ez×××-Client outside |
测试Ez×××
| Branch#show crypto session Crypto session current status Interface: FastEthernet1/0 Session status: UP-ACTIVE Peer: 202.100.1.1 port 500 IKE SA: local 61.128.1.1/500 remote 202.100.1.1/500 Active IPSEC FLOW: permit ip host 2.2.2.2 host 1.1.1.1 Active SAs: 2, origin: crypto map Branch#ping 1.1.1.1 source 2.2.2.2 repeat 100 Type escape sequence to abort. Sending 100, 100-byte ICMP Echos to 1.1.1.1, timeout is 2 seconds: Packet sent with a source address of 2.2.2.2 !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! !!!!!!!!!!!!!!!!!!!!!!!!!!!!!! Success rate is 100 percent (100/100), round-trip min/avg/max = 136/259/600 ms Branch#show crypto engine connections active Crypto Engine Connections ID Interface Type Algorithm Encrypt Decrypt IP-Address 3 Fa1/0 IPsec DES+MD5 0 100 61.128.1.1 4 Fa1/0 IPsec DES+MD5 100 0 61.128.1.1 1003 Fa1/0 IKE MD5+3DES 0 0 61.128.1.1 |
第三部分:配置GRE隧道
Center配置GRE隧道
| Center(config)#interface tunnel 0 Center(config-if)#ip address 192.168.1.1 255.255.255.0 Center(config-if)#tunnel source 1.1.1.1 Center(config-if)#tunnel destination 2.2.2.2 |
Branch配置GRE隧道
| Branch(config)#interface tunnel 0 Branch(config-if)#ip address 192.168.1.2 255.255.255.0 Branch(config-if)#tunnel source 2.2.2.2 Branch(config-if)#tunnel destination 1.1.1.1 |
Branch测试GRE隧道
| Branch#ping 192.168.1.1 Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 192.168.1.1, timeout is 2 seconds: !!!!! Success rate is 100 percent (5/5), round-trip min/avg/max = 260/301/348 ms |
第三部分:动态路由协议
Center配置动态路由协议
| Center(config)#router ospf 1 Center(config-router)#network 192.168.1.0 0.0.0.255 area 0 Center(config-router)#network 172.16.1.0 0.0.0.255 area 0 |
Branch配置动态路由协议
| Branch(config)#router ospf 1 Branch(config-router)#network 192.168.1.0 0.0.0.255 area 0 Branch(config-router)#network 10.1.1.0 0.0.0.255 area 0 |
Branch测试动态路由协议
| Branch#show ip ospf neighbor Neighbor ID Pri State Dead Time Address Interface 172.16.1.1 0 FULL/ - 00:00:39 192.168.1.1 Tunnel0 Branch#show ip route ospf 172.16.0.0/32 is subnetted, 1 subnets O 172.16.1.1 [110/11112] via 192.168.1.1, 00:09:21, Tunnel0 Branch#ping 172.16.1.1 source 10.1.1.1 repeat 10 Type escape sequence to abort. Sending 10, 100-byte ICMP Echos to 172.16.1.1, timeout is 2 seconds: Packet sent with a source address of 10.1.1.1 !!!!!!!!!! Success rate is 100 percent (10/10), round-trip min/avg/max = 252/296/336 ms |