华三模拟器(路由器)实现ipsec穿越NAT实验

实验拓扑

接口及路由配置省略，R1和R3配置默认路由即可实现公网互通(测试两端公网互通即可开始操作)

接下来主要配置IPSEC VPN，如下配置

R1配置

R1配置

步骤一:在R1上创建感兴趣流，匹配两端私网地址网段
[R1] acl advanced 3500
[R1] rule 5 permit ip source 192.168.1.0 0.0.0.255 destination 172.16.1.0 0.0.0.255

步骤二:在 R1 上创建IKE提议，配置验证模式为预共享密钥，并配置加密算法
[R1]ike proposal 1
[R1-ike-proposal-1]authentication-method pre-share
[R1-ike-proposal-1]encryption-algorithm aes-cbc-128

步骤三:在 R1 上创建预共享密钥
[R1]ike keychain r3
[R1-ike-keychain-r3]pre-shared-key address 2.2.2.2 key simple 123456


步骤四:在 R1 上创建 IKE Profile，指定本端和对端公网地址，并调用预共享密钥和 IKE 提议
[R1]ike profile r3
[R1-ike-profile-r3]keychain r3
[R1-ike-profile-r3]local-identity address 1.1.1.1
[R1-ike-profile-r3]match remote identity address 2.2.2.2
[R1-ike-profile-r3]proposal 1


步骤五:在 R1 上创建IPsec 转换集，配置加密和验证算法。由于工作模式默认是隧道模式，且协议默认使用 ESP，所以无需配置
[R1]ipsec transform-set r3
[R1-ipsec-transform-set-r3]esp authentication-algorithm sha1
[R1-ipsec-transform-set-r3]esp encryption-algorithm aes-cbc-128


步骤六:在 R1 上创建 IPsec 策略，调用上述配置
[R1]ipsec policy r3 1 isakmp 
[R1-ipsec-policy-isakmp-r3-1]security acl 3500
[R1-ipsec-policy-isakmp-r3-1]ike-profile r3
[R1-ipsec-policy-isakmp-r3-1]transform-set r3
[R1-ipsec-policy-isakmp-r3-1]remote-address 2.2.2.2


步骤七:在 R1 的公网接口上下发 IPsec 策略
[R1-GigabitEthernet0/0]ipsec apply policy r3

R2配置

R2配置

步骤一:在R2上创建感兴趣流，匹配两端私网地址网段
[R2]acl advanced 3500
[R2]rule 5 permit ip source 172.16.1.0 0.0.0.255 destination 192.168.1.0 0.0.0.255

步骤二:在 R2 上创建IKE提议，配置验证模式为预共享密钥，并配置加密算法
[R2]ike proposal 1
[R2-ike-proposal-1]authentication-method pre-share
[R2-ike-proposal-1]encryption-algorithm aes-cbc-128

步骤三:在 R2 上创建预共享密钥
[R2]ike keychain r1
[R2-ike-keychain-r1]pre-shared-key address 1.1.1.1 key simple 123456


步骤四:在 R2 上创建 IKE Profile，指定本端和对端公网地址，并调用预共享密钥和 IKE 提议
[R2]ike profile r1
[R2-ike-profile-r1]keychain r1
[R2-ike-profile-r1]local-identity address 2.2.2.2
[R2-ike-profile-r1]match remote identity address 1.1.1.1
[R2-ike-profile-r1]proposal 1


步骤五:在 R2 上创建IPsec 转换集，配置加密和验证算法。由于工作模式默认是隧道模式，且协议默认使用 ESP，所以无需配置
[R2]ipsec transform-set r1
[R1-ipsec-transform-set-r1]esp authentication-algorithm sha1
[R1-ipsec-transform-set-r1]esp encryption-algorithm aes-cbc-128


步骤六:在 R2 上创建 IPsec 策略，调用上述配置
[R2]ipsec policy r1 1 isakmp 
[R2-ipsec-policy-isakmp-r1-1]security acl 3500
[R2-ipsec-policy-isakmp-r1-1]ike-profile r1
[R2-ipsec-policy-isakmp-r1-1]transform-set r1
[R2-ipsec-policy-isakmp-r1-1]remote-address 1.1.1.1
                
步骤七:在 R2 的公网接口上下发 IPsec 策略
[R2-GigabitEthernet0/0]ipsec apply policy r1

此时配置到这里，IPSEC全部结束，你以为就能互通了嘛，太天真了

测试

哈哈是不是不通，分析原理其实是IPSEC的acl与NAT的acl冲突。
解决方法是在NAT的acl中拒绝ipsec的acl，让他不进行nat转换

修改ACL

R1上修改
rule 4 deny ip source 192.168.1.0 0.0.0.255 destination 172.16.1.0 0.0.0.255 (2 times matched)
rule 5 permit ip source 192.168.1.0 0.0.0.255 (3 times matched)

R3上修改
rule 4 deny ip source 172.16.1.0 0.0.0.255 destination 192.168.1.0 0.0.0.255
rule 5 permit ip source 172.16.1.0 0.0.0.255 (2 times matched)

实验结果

PC_4与PC_5成功互访

ike sa

display ike sa

ipsec sa

display ipsec sa

路由器的ipsec穿越NAT很简单，下一篇文章我看能不能把防火墙的放出来。因为上午上课防火墙的ipsec穿越NAT实验没做出来，其实

都大差不差可能防火墙的策略问题吧，研究一下。
实验报告下载地址

链接：https://pan.baidu.com/s/1rqVXxhuFAFjr6BhodtOnBA 
提取码：mkt5