《計(jì)算機(jī)網(wǎng)絡(luò)安全防護(hù)技術(shù)（第二版）》 課件 第4章 任務(wù)4.2.2 配置SVTI VPN

第4章虛擬專用網(wǎng)技術(shù)編著：

秦?zé)鰟诖浣?/p>

任務(wù)4.2.2配置SVTIVPN任務(wù)4.2配置GREOverIPSec和SVTIVPN

IPSECVPN通過(guò)校驗(yàn)算法、驗(yàn)證算法和加密算法確保了數(shù)據(jù)在公網(wǎng)上傳輸時(shí)的安全性，但I(xiàn)OS12.4之前版本的IPSEC，無(wú)法使用虛擬隧道接口技術(shù)，難以很好的支持組播和路由協(xié)議等IP協(xié)議族中的協(xié)議，只適用于簡(jiǎn)單的網(wǎng)絡(luò)環(huán)境。

GRE（GenericRoutingEncapsulation，通用路由封裝），是一種通用的封裝協(xié)議，采用的虛擬隧道接口，可以支持組播、廣播和路由等協(xié)議，實(shí)現(xiàn)任意一種網(wǎng)絡(luò)層協(xié)議在另一種網(wǎng)絡(luò)層協(xié)議上的封裝。但是GRE不能確保數(shù)據(jù)的私密性、完整性和源認(rèn)證。

將IPSEC和GRE結(jié)合起來(lái)，綜合了兩者的優(yōu)點(diǎn)，既能保證數(shù)據(jù)的安全性，又可以支持組播、廣播，可以配置動(dòng)態(tài)路由協(xié)議以及配置ACL、QoS等對(duì)數(shù)據(jù)流進(jìn)行控制。

IOS12.4之后全新的虛擬隧道接口（VirtualTunnelInterface，VTI）技術(shù)不再需要依托GRE，可直接使用IPSec建立隧道接口，并且比GREOverIPSec少了4個(gè)字節(jié)的GRE頭部。VTI技術(shù)分為SVTI(靜態(tài)VTI)和動(dòng)態(tài)VTI（DVTI），其中SVTI可用于替換傳統(tǒng)的靜態(tài)cryptomap配置，用于站點(diǎn)到站點(diǎn)的VPN。

本節(jié)將分別介紹GREOverIPSec和SVTIVPN的配置。

VTI技術(shù)分為靜態(tài)VTI(SVTI)和動(dòng)態(tài)VTI（DVTI），其中SVTI可用于替換傳統(tǒng)的靜態(tài)cryptomap配置，用于站點(diǎn)到站點(diǎn)的VPN。但SVTI技術(shù)需要IOS12.4之后的版本才能支持，一些老于12.4版本的設(shè)備只能采用GREOverIPSEC技術(shù)。一、基礎(chǔ)配置VPCS1>ip192.168.1.1255.255.255.0192.168.1.254R1(config)#intg0/1R1(config-if)#ipadd192.168.1.254255.255.255.0R1(config-if)#noshuR1(config-if)#intg0/0R1(config-if)#ipadd192.168.2.1255.255.255.0R1(config-if)#noshu任務(wù)4.2.2配置SVTIVPNR2(config)#intg0/0R2(config-if)#ipadd192.168.2.2255.255.255.0R2(config-if)#noshuR2(config-if)#intg0/1R2(config-if)#ipadd200.1.1.1255.255.255.0R2(config-if)#noshuR3(config)#intg0/1R3(config-if)#ipadd200.1.1.2255.255.255.0R3(config-if)#noshuR3(config-if)#intg0/0R3(config-if)#ipadd200.2.2.1255.255.255.0R3(config-if)#noshuR4(config)#intg0/0R4(config-if)#ipadd200.2.2.2255.255.255.0R4(config-if)#noshuR4(config-if)#intg0/1R4(config-if)#ipadd192.168.3.254255.255.255.0R4(config-if)#noshuVPCS2>ip192.168.3.1255.255.255.0192.168.3.254配置Internet路由：R2(config)#iproute200.2.2.0255.255.255.0200.1.1.2R4(config)#iproute200.1.1.0255.255.255.0200.2.2.1二、配置SVTIVPN在R2上配置SVTIVPN：R2(config)#cryptoisakmppolicy10R2(config-isakmp)#encryptionaesR2(config-isakmp)#hashsha512R2(config-isakmp)#authenticationpre-shareR2(config-isakmp)#group2R2(config-isakmp)#exitR2(config)#cryptoisakmpkeyciscoaddress200.2.2.2（下面請(qǐng)空一行）R2(config)#cryptoipsectransform-settrans1esp-aesesp-sha512-hmacR2(cfg-crypto-trans)#exitR2(config)#cryptoipsecprofilepro1R2(ipsec-profile)#settransform-settrans1R2(ipsec-profile)#exitR2(config)#inttunnel0R2(config-if)#ipadd192.168.4.1255.255.255.0R2(config-if)#tunnelsource200.1.1.1R2(config-if)#tunneldestination200.2.2.2R2(config-if)#tunnelmodeipsecipv4R2(config-if)#tunnelprotectionipsecprofilepro1R2(config-if)#end三、R4上SVTI的配置R4(config)#cryptoisakmppolicy10R4(config-isakmp)#encryptionaesR4(config-isakmp)#hashsha512R4(config-isakmp)#authenticationpre-shareR4(config-isakmp)#group2R4(config-isakmp)#exitR4(config)#cryptoisakmpkeyciscoaddress200.1.1.1R4(config)#cryptoipsectransform-settrans1esp-aesesp-sha512-hmacR4(cfg-crypto-trans)#exitR4(config)#cryptoipsecprofileprofile1R4(ipsec-profile)#settransform-settrans1R4(ipsec-profile)#exitR4(config)#inttunnel0R4(config-if)#ipadd192.168.4.2255.255.255.0R4(config-if)#tunnelsource200.2.2.2R4(config-if)#tunneldestination200.1.1.1R4(config-if)#tunnelmodeipsecipv4R4(config-if)#tunnelprotectionipsecprofileprofile1R4(config-if)#end三、為私網(wǎng)配置動(dòng)態(tài)路由：配置如下：R1(config)#routerospf1R1(config-router)#network192.168.1.00.0.0.255area0R1(config-router)#network192.168.2.00.0.0.255area0R2(config)#routerospf1R2(config-router)#network192.168.2.00.0.0.255area0R2(config-router)#network192.168.4.00.0.0.255ar