《網(wǎng)絡(luò)安全技術(shù)配置與應(yīng)用》課件網(wǎng)絡(luò)安全項(xiàng)目二任務(wù)七 Gre Over IPSec VPN配置

項(xiàng)目二任務(wù)七：GreOverIPSecVPN配置一、任務(wù)介紹二、IPSec與NAT的業(yè)務(wù)沖突三、GreOverIPSecVPN原理四、GreOverIPSecVPN配置五、任務(wù)配置一、任務(wù)介紹

根據(jù)任務(wù)網(wǎng)絡(luò)拓?fù)浼捌髽I(yè)網(wǎng)絡(luò)需求，應(yīng)用GreOverIPSecVPN實(shí)現(xiàn)任務(wù)要求，理解IPSec與NAT業(yè)務(wù)沖突原因及解決思路，理解IPSecOverGreVPN對(duì)VPN與非VPN數(shù)據(jù)的分流封裝過(guò)程，掌握GreOverIPSecVPN的配置，學(xué)會(huì)應(yīng)用GreOverIPSecVPN技術(shù)。

二、IPSec與NAT的業(yè)務(wù)沖突NAT:內(nèi)網(wǎng)地址轉(zhuǎn)換，邊界設(shè)備替換源IP源IP包轉(zhuǎn)換后IP包IPSECVPN：內(nèi)網(wǎng)到內(nèi)網(wǎng)遠(yuǎn)程隧道網(wǎng)絡(luò)，邊界設(shè)備數(shù)據(jù)驗(yàn)證源IP包IPSECVPNIP包DataDataDataDataAH/ESP加密驗(yàn)證二、IPSec與NAT的業(yè)務(wù)沖突IPSECVPN&NAT---R1fa0/0:觸發(fā)IPSEC業(yè)務(wù)R1s0/0/0:觸發(fā)NAT業(yè)務(wù)DataDataAH/ESP加密驗(yàn)證hash1DataAH/ESP加密驗(yàn)證hash2二、IPSec與NAT的業(yè)務(wù)沖突

——沖突本質(zhì)VPN數(shù)據(jù)內(nèi)網(wǎng)到內(nèi)網(wǎng)IPSEC封裝，數(shù)據(jù)驗(yàn)證NAT數(shù)據(jù)內(nèi)網(wǎng)到外網(wǎng)替換源IP數(shù)據(jù)沒(méi)有區(qū)分，所有數(shù)據(jù)進(jìn)行了NAT和IPSECVPN封裝二、IPSec與NAT的業(yè)務(wù)沖突

——解決沖突內(nèi)網(wǎng)到內(nèi)網(wǎng)IPSECVPN內(nèi)網(wǎng)到外網(wǎng)NAT二、IPSec與NAT的業(yè)務(wù)沖突

——解決沖突設(shè)置規(guī)則實(shí)現(xiàn)數(shù)據(jù)分流ACL（PacketTracer不支持）路由：VPN走隧道數(shù)據(jù)

規(guī)則(路由)數(shù)據(jù)分流VPN走隧道NAT不走隧道三、GreOverIPSecVPN原理內(nèi)網(wǎng)到內(nèi)網(wǎng)兩端IP地址固定建立隧道符合內(nèi)網(wǎng)到內(nèi)網(wǎng)的數(shù)據(jù)進(jìn)隧道，不符合的不進(jìn)隧道三、GreOverIPSecVPN原理

建立tunnel隧道，GREVPN建立靜態(tài)路由（內(nèi)-內(nèi)）進(jìn)隧道，（內(nèi)-外）不進(jìn)隧道對(duì)隧道數(shù)據(jù)加密，IPSECVPN(注isakmpsa-隧道,ipsecsa-會(huì)話)DataAH/ESP加密驗(yàn)證Data三、GreOverIPSecVPN原理IPSECVPN數(shù)據(jù)IP數(shù)據(jù)包IPSEC隧道acIPSECOVERGREVPN數(shù)據(jù)IP數(shù)據(jù)包GRE隧道IPSEC隧道DataGRE加密驗(yàn)證AH/ESPGREIPSEC四、GreOverIPSecVPN配置IPSecOverGREVPN的關(guān)鍵是使用IPSEC封裝GRE數(shù)據(jù)包GRE數(shù)據(jù)封裝在路由之前（tunnel邏輯接口）GRE數(shù)據(jù)：R1(config)#iprouteIPSecVPN對(duì)GRE數(shù)據(jù)再封裝，之后路由IPSec數(shù)據(jù)R1(config)#access-list101permitgrehosthost210.28.144四、任務(wù)配置

下載任務(wù)素材GREVPN參考interfaceTunnel0//定義邏輯接口

ipaddress52tunnelsource//邏輯接口封裝的源IP地址

tunneldestination//邏輯接口封裝的目的IP地址

tunnelkey111111//隧道驗(yàn)證密碼，雙方一致!interfaceFastEthernet0/0ipaddress52!interfaceFastEthernet1/0ipaddress!iprouteTunnel0NAT參考復(fù)動(dòng)態(tài)（PAT，基于端口網(wǎng)絡(luò)地址轉(zhuǎn)換）1)定義內(nèi)部全局地址池Router(config)#

ipnatpool地址池名起始IP終止IPnetmask

2)定義一個(gè)標(biāo)準(zhǔn)的ACL，允許那些允許通過(guò)NAT的IP地

Router(config)#

access-list標(biāo)號(hào)permitx.x.x.x通配符

3)允許通過(guò)的訪問(wèn)列表與地址進(jìn)行綁定

Router(config)#

ipnatinsidesourcelistaccess-list地址池名overload

4