Ezvpn基于ASA和路由器的软硬件客户端.doc

Easy VPN 软件客户端（基于路由器）试验目的：配置Easy VPN和软件客户端。实现pc远程访问内网R-PC试验步骤：1按照拓扑图进行基本配置。Ip地址、pc网关、vpn默认路由（略）。2 测试。VPN ping 通图中的两个pc3 配置vpn-SERVER 1）定义AAA R3-VPN-SER(config)#aaa new-model R3-VPN-SER(config)#aaa authentication login vpn_authen local R3-VPN-SER(config)#aaa authorization network vpn_author local R3-VPN-SER(config)#username liubiqian password liu=LIU 2）定义阶段1的SA参数 R3-VPN-SER(config)#crypto isakmp policy 10 R3-VPN-SER(config-isakmp)#encryption 3des R3-VPN-SER(config-isakmp)#hash sha R3-VPN-SER(config-isakmp)#authentication pre-share R3-VPN-SER(config-isakmp)#group 2 3）定义IP地址池 R3-VPN-SER(config)#ip local pool vpn_pool 10.10.10.10 10.10.10.20 4）定义ACL分离隧道 R3-VPN-SER(config)#access-list 120 permit ip 192.168.1.0 0.0.0.255 any 5）定义Easy VPN组及参数 R3-VPN-SER(config)#crypto isakmp client configuration group vpn-group R3-VPN-SER(config-isakmp-group)#key groupkey R3-VPN-SER(config-isakmp-group)#pool vpn_poolR3-VPN-SER(config-isakmp-group)#acl 1206）定义传输集 R3-VPN-SER(config)#crypto ipsec transform-set vpn_transform esp-aes esp-sha-hmac7）定义动态的Crypto Map 条目R3-VPN-SER(config)#crypto dynamic-map vpn_dymap 10R3-VPN-SER(config-crypto-map)#set transform-set vpn_transform8）定义静态的Crypto Map 条目和XAUTH R3-VPN-SER(config)#crypto map mymap client authentication list vpn_authen R3-VPN-SER(config)#crypto map mymap isakmp authorization list vpn_author R3-VPN-SER(config)#crypto map mymap client configuration address respond R3-VPN-SER(config)#crypto map mymap 1000 ipsec-isakmp Dynamic vpn_dymap9）将Crypto Map 应用到VPN的公网接口 R3-VPN-SER(config)#interface f1/0 R3-VPN-SER(config-if)#crypto map mymap4 配置软件客户端（PC）1）在pc上安装 Cisco VPN Clinet 软件2）运行软件单击NEW如下图所示： VPN 公网ip Easy vpn 组名 预共享密钥 确认预共享密钥 然后单击Save出现如下对话框 定义AAA时的用户名和密码然后单击OK然后单击connect 如果拨入成功将如此显示测试：查看主机的ip地址（本地连接2）试验成功试验总结：远程站点的主机在VPN连接中使用VPN-server 分配的地址。Easy VPN 硬件客户端（基于路由器）试验目的：配置Easy VPN和硬件客户端实现pc远程访问内网R4-PC试验步骤：1按照拓扑图进行基本配置。Ip地址、pc网关、vpn默认路由、sw默认路由（略）。2测试。Vpn-server ping 通R4-PC 和vpn-client。Vpn-client ping PC3配置vpn-server， 与上个试验配置相同（Easy VPN 软件客户端）（略）4配置SW1） sw(config)#crypto ipsec client ezvpn myeasyvpnsw(config-crypto-ezvpn)#connect manualsw(config-crypto-ezvpn)#group vpn_group key groupkeysw(config-crypto-ezvpn)#mode clientsw(config-crypto-ezvpn)#peer 202.1.1.1sw(config-crypto-ezvpn)#username liubiqian password liu=LIUsw(config)#interface f1/10sw(config-if)#crypto ipsec client ezvpn myeasyvpn insidesw(config-if)#interface f1/6sw(config-if)#crypto ipsec client ezvpn myeasyvpn outside2） 手动连接VPN-serversw#crypto ipsec client ezvpn xauth会要求输入用户名和密码Username: liubiqian Password:从下图可以看出连接成功3） 在PC上ping R4-PC（从下图可以看出通了）试验成功4） 在R2-inter 上使用debug ip packet 然后在pc 上ping R2-inter从上图可以看出进行了PAT转换。试验总结：硬件客户端的客户端模式也称PAT模式，在这种模式下，远程站点的主机在进行vpn 连接时会转换成硬件客户端的公网ip地址。Easy VPN 软件客户端（基于ASA）试验目的：配置Easy VPN和软件客户端。实现pc远程访问内网R-PC试验步骤：1按照拓扑图进行基本配置。Ip地址、pc网关、vpn默认路由（略）。2测试。VPN ping 通图中的两个pc3配置ASA-vpn 1） 定义XAUTH（用户）验证 ciscoasa(config)# username liubiqian password liu=LIU定义阶段1的SA参数ciscoasa(config)# crypto isakmp enable outsideciscoasa(config)# crypto isakmp policy 10ciscoasa(config-isakmp-policy)# encryption aesciscoasa(config-isakmp-policy)# hash shaciscoasa(config-isakmp-policy)# authentication pre-shareciscoasa(config-isakmp-policy)# group 2定义ip地址池ciscoasa(config)# ip local pool vpn_pool 10.10.10.10-10.10.10.20定义ACL用于分离隧道ciscoasa(config)# access-list split_tunnel permit ip 192.168.1.0 255.255.255.0 any定义组策略ciscoasa(config)# group-policy vpn_group_policy internalciscoasa(config)# group-policy vpn_group_policy attributesciscoasa(config-group-policy)# split-tunnel-policy tunnelspecifiedciscoasa(config-group-policy)# split-tunnel-network-list value split_tunnel建立隧道组ciscoasa(config)# tunnel-group vpn_group type ipsec-raciscoasa(config)# tunnel-group vpn_group general-attributesciscoasa(config-tunnel-general)# address-pool vpn_poolciscoasa(config-tunnel-general)# default-group-policy vpn_group_policyciscoasa(config)# tunnel-group vpn_group ipsec-attributesciscoasa(config-tunnel-ipsec)# pre-shared-key groupkey定义传输集ciscoasa(config)# crypto ipsec transform-set vpn_transform esp-aes esp-sha-hmac定义动态的Crypto Map 条目ciscoasa(config)# crypto dynamic-map vpn_dymap 10 set transform-set vpn_transform定义静态的Crypto Map 条目ciscoasa(config)# crypto map mymap 1000 ipsec-isakmp dynamic vpn_dymap将Crypto Map 应用到接口ciscoasa(config)# crypto map mymap int outside4配置PC1）在pc上安装 Cisco VPN Clinet 软件2）运行软件单击NEW如下图所示： VPN-server公网ip Easy vpn 组名 预共享密钥 确认预共享密钥 然后单击Save出现如下对话框 定义XAUTH时的用户名和密码然后单击OK然后单击connect 如果拨入成功将如此显示测试：查看主机的ip地址（本地连接2）试验成功试验总结：远程站点的主机在VPN连接中使用VPN-server 分配的地址。Easy VPN 硬件客户端（基于ASA）试验目的：配置Easy VPN-