【实战演练】Packet Tracer玩转CCNA实验18-IPSec VPN

本文欢迎转载，转载请注明出处和作者。

在第16篇，我们将内网私网地址访问外网时进行NAT，使得私网地址能够在访问外网时转换为公网地址，从而达到与外网网络可达的目标。如果不做NAT，私网地址是不能够在公网上路由的，因此，企业总部与分支机构，无法直接网络互通。

解决的方法有两种：

1、向运营商申请价格昂贵的点对点专线，运营商可以协助直接点对点拉通总部与分支机构。这样就与在同一个地方直连没有任何区别了，可以直接二层通信。

2、使用能够上互联网的链路，配置IPSec VPN。

本篇用Packet Tracer，通过配置IPSec VPN，实现总部与分支机构的私网地址互通。

1、网络拓扑

注意R1与R3要选用2811路由器，这个上面才支持IPSec VPN的命令。

另外2811默认只有两个百兆网口，需要点开物理设备标签，点击电源按钮关机，然后添加一张串口卡，再打开电源键。

2、预配置

R1：

en
conf t
host R1
int lo 0
ip add 1.1.1.1 255.255.255.0
int se1/0
ip add 202.96.1.1 255.255.255.0
clock rate 64000
no shut
int fa0/0
ip add 192.168.1.1 255.255.255.0
no shut

R3：

en
conf t
host R3
int lo 0
ip add 3.3.3.3 255.255.255.0
int se1/0
ip add 14.23.112.3 255.255.255.0
no shut
int fa0/0
ip add 192.168.2.1 255.255.255.0
no shut

ISP:相当于运营商的路由器

en
conf t
host ISP
int lo 0
ip add 2.2.2.2 255.255.255.0
int s2/0
ip add 202.96.1.2 255.255.255.0
no shut
int s3/0
ip add 14.23.112.2 255.255.255.0
clock rate 64000
no shut

SW：只做傻瓜式二层交换机，什么都不用配置。

配置VPN前，需要需要R1与R3的出站接口网络可达，上面的拓扑由于比较简单，中间只有一跳路由器，可以直接在R1、R3上面配置默认路由出站即可。如果中间有多跳，可以考虑配置BGP模拟实际的出口接入ISP路由器。

R1:

ip route 0.0.0.0 0.0.0.0 202.96.1.2

R3:

ip route 0.0.0.0 0.0.0.0 14.23.112.2

当前PC0与PC1肯定是无法ping通的，因为ISP上面没有总部与分公司里面的私网网段的路由，因此ping包到达R2的时候会被丢弃。

3、IPSec VPN

R1：

crypto isakmp enable

配置ISAKMP策略

crypto isakmp policy 1
encryption 3des
hash md5
authentication pre-share
crypto isakmp key test address 14.23.112.3 
//目标端的出站接口地址
crypto ipsec transform-set testtag1 ah-md5-hmac esp-3des 
access-list 101 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255  
//本端私网地址，目标端私网地址
crypto map test-map 10 ipsec-isakmp
set peer 14.23.112.3
set transform-set testtag1
match address 101
interface se1/0
//本端出口路由器出站接口
crypto map test-map

R3：

crypto isakmp policy 1
encryption 3des
hash md5
authentication pre-share
crypto isakmp key test address 202.96.1.1
crypto ipsec transform-set testtag1 ah-md5-hmac esp-3des 
access-list 101 permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255
crypto map test-map 10 ipsec-isakmp
set peer 202.96.1.1
set transform-set testtag1
match address 101
interface se1/0
crypto map test-map

重新使用PC0分支机构的PC1，ping 192.168.2.2，发现已经可以ping通了。

(需要等待一会儿等VPN起来，之后再测试)