CISCO IPsec NAT 穿越.doc

CISCO IPsec NAT 穿越 一．案例拓扑 二．需求分析：如图，R2是BNET公司上海总公司的路由器，R1是BNET公司苏州分公司路由器，ISP1是长宽的路由，ISP2是电信路由器。R2的外部地址是公网地址，R1的 外部地址是私网地址。在实际的工程中我们遇到这种问题太正常了，但恰好我们又需要在R1和R2之间建立IPSEC VPN。NAT和IPSEC是互相冲突的，因为IPSEC保护私网地址和传输层内容，而NAT需要改这些。在CISCO设备中，我们只需要一条命令就可以解决这样的问题。R(config)#crypto isakmp nat keeplive 60 它自动检测是否经过NAT设备，如果发现时NAT设备，则用UDP封装。 三．配置参数 R1的配置 hostname R1 crypto isakmp policy 1 //配置IKE策略，同普通IPSEC VPN hash md5 authentication pre-share lifetime 60 crypto isakmp key cisco address crypto isakmp nat keepalive 60 //与普通IPSEC不同之处，在此启用IPSEC NAT穿越，并且保持活跃的时间是60秒 ! ! crypto ipsec transform-set tran1 esp-des esp-sha-hmac ! crypto map map1 1 ipsec-isakmp set peer set transform-set tran1 match address 101 ! ! ! ! interface Serial0/0 ip address serial restart-delay 0 crypto map map1 //接口绑定IPSEC策略 ! interface Serial0/1 no ip address shutdown serial restart-delay 0 ! interface Serial0/2 no ip address shutdown serial restart-delay 0 ! interface Serial0/3 no ip address shutdown serial restart-delay 0 ! interface FastEthernet1/0 ip address duplex auto speed auto ! ip http server no ip http secure-server ! ip route ! ! access-list 101 permit ip 55 55 //配置IPSEC保护流 ISP1的配置 ISP1#show run ISP1#show running-config hostname ISP1 interface Serial0/0 ip address //这个地址不是私网地址 ip nat inside //NAT的内部接口 ip virtual-reassembly serial restart-delay 0 ! interface Serial0/1 //公网地址 ip address 52 ip nat outside //NAT的外部接口 ip virtual-reassembly serial restart-delay 0 clock rate 64000 ! ip route 52 //到的路由，保证公网全网互通，真实化境中，我们应该跑路由协议的，并且ISP2是公网的边缘路由器，也可以使用默认路由 ! ip nat inside source list 1 interface Serial0/1 overload //网络地址转换——PAT ! access-list 1 permit 55 //允许访问外部的内网地址 ISP2的配置（没用的我给删掉了） Router#show running-config version 12.4 hostname Router ! no logging console interface Serial0/0 ip address 52 serial restart-delay 0 ! interface Serial0/1 ip address 52