Cisco EasyVPN 的三种模式的论述.doc

Cisco EasyVPN 的三种模式的论述 VPN_REMOTE# 配置文档及注释 crypto ipsec client ezvpn cisco /定义客户端ezvpn 名字为ciscoconnect auto /定义连接方式为自动连接group ezvpn key cisco123 mode network-plus /定义模式为network-plus方式 peer /定义vpn Server 端IP 地址 username cisco password ccie /定义vpn Server 本地验证用户名密码匹配 xauth userid mode local /定义扩展验证用户验证方式 (协商1.5） interface Loopback1 ip address 55 /自动生成Loopback口做PAT (仅client 模式和network-plus 模式) interface FastEthernet0/0 ip address 52 /ISP 外网接口 no ip redirects /关闭ip 直连 no ip unreachables speed 100 full-duplex crypto ipsec client ezvpn cisco /定义ezvpn outside PAT 端口 ! interface FastEthernet0/1 ip address /局域网内网接口 no ip redirects no ip unreachables speed auto full-duplex crypto ipsec client ezvpn cisco inside /定义ezvpn inside PAT 端口 ip route /定义外网默认路由 - VPN_SERVER# 配置文档及注释 username cisco password 0 ccie /定义Local 用户名 cisco 密码 ccie crypto isakmp policy 10 /定义isakmp 阶段1 策略10 encr 3des /定义加密方式为3倍的Des authentication pre-share /定义验证方式为预共享 group 2 /定义isakmp 密钥为1024bit crypto isakmp client configuration group ezvpn /定义isakmp Remote端的组名为ezvpn key cisco123 /定义密钥. (预共享的弊端) domain /定义域名 pool vpn-pool /定义地址池为本地pool为vpn-pool acl split-tunnel /定义分离通道 split-tunnel save-password /定义密码保存s crypto ipsec transform-set ccsp esp-3des esp-sha-hmac /定义isakmp 阶段2 的加密和校验方式 crypto dynamic-map ezvpn-dy 10 /定义动态策略图为vpnmap 10 set transform-set ccsp /定义绑定transfor-set ccsp reverse-route /定义路由注入s crypto map cisco client authentication list ezvpn-au /定义crypto map 客户端验证为ezvpn-au 组的方式 crypto map cisco isakmp authorization list ezvpn-au /定义crypto map isakmp 验证为ezvpn-au组的方式 crypto map cisco client configuration address respond /定义crypto map 客户端地址响应 crypto map cisco 10 ipsec-isakmp dynamic ezvpn-dy /定义crypto map ipsec-isakmp 为动态ezvpn-dy interface FastEthernet0/0 ip address 52 /ISP 地址 no ip redirects no ip unreachables no ip proxy-arp speed 100 full-duplex crypto map cisco /匹配策略图cisco interface FastEthernet0/1 ip address /定义内网地址 no ip redirects no ip unreachables speed 100 full-duplex ip local pool vpn-pool 00 /定义拨入地址vpn 用户地址池 ip route /定义ISP 外网默认路由 ip route 0 55 FastEthernet0/1 /定义内网静态路由 ip access-list extended split-tunnel /定义感兴趣流量VPN通道 permit ip any permit ip 55 any permit ip 55 any permit ip host any - /用一台路由器来模拟内网的FileServer FileServer# interface Loopback0 ip address 0 55 /测试Loopback地址 interface FastEthernet0/0 ip address 0 /内网地址 no ip redirects no ip unreachables speed 100 full-duplex interface FastEthernet1/0 no ip address shutdown duplex auto speed auto ! ip classless ip route /定义默认路由 ip http server /打开http Web 80 服务 - 实验结果： VPNRemote Client配置: crypto ipsec client ezvpn cisco mode Client Easy VPN Remote端会出现loopback口，当有用户需要访问Easy VPN Server后面的主机时，Easy VPN Remote会自动用loopback接口的地址做PAT；如果Server上设置了split tunnel，当Remote后面有用户需要访问Internet主机时，Easy VPN Remote会自动用外网接口的地址做PAT。client 模式，vpn client端内部网络采用nat方式与vpn server进行通信，vpn client端网络可以访问server端网络资源，server端网络不能访问client端内部网络资源. VPNRemote Network-extension配置: crypto ipsec client ezvpn cisco mode Network-extension Easy VPN Remote端不会出现loopback口，vpn server和vpn client两端的内部网络之间可以通过ip地址互相访问.network-extension模式，Vpnserver端和Vpnclient端封装IPsec 加密数据在两者之间,和Site-to-Site类似.不同的是Remote端可以用Vpn-client 登录Server端. VPNRemote Client 模式和network-extension 还有一个区别就是Client 模式对用户呈现的是一个域,而Network-extension模式对用户呈现的是具体的路由信息. VPNRemote Network-plus配置: crypto ipsec client ezvpn cisco mode Network-plus Network-extension一样效果，然而R