ipsec穿越nat实验

《ipsec穿越nat实验》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、IPSec穿越NAT实验实验目的:掌握IPSec基本配置，熟悉IPSec穿越NAT特性原理，并且验证拓扑说明.:R1,NAT,R2设备通过e0/0和e0/1口之间相互连接，如图，具体试验连接接口，按照自己的配置，中间NAT设备提供地址转换功能，保证了R1到R2设备的连通性，这里需要回顾NAT的配置，R1，R2设备上面各自有loopback0口接口地址配置如下：R1-E0/0:192.168.1.2/24,R1-Loopback0:10.1.1.1/24NAT-E0/0-:192.168.1.1/24NAT-E0/1:202.106.0.20/24R2-E0/0:202.106.0.

2、21/24R2-Loopack0:10..1.2.1/24最终目标实现10.1.1.1到10.1.2.1地址的通信，保证使用了IPSEC加密，同时穿越了NAT设备并且注意这里的NAT是穿越运营商的NAT配置过程：1，首先配置各个设备的ip地址，保证设备的直连通信，同时保证了nat设备能够正常工作，保证了从R1的192.168.1.2地址可以ping通R2设备的202.106.0.21地址，但是反过来ping却不通，这是属于正常，因为中间有nat设备，做到这个效果，也就是nat的配置。2，进行IPSEC的具体配置，感兴趣的数据流使用访问控制列表配置，IKE阶段一的配置，IKE阶段二配

3、置，还有IPSEC策略配置，以及最后把策略运行在接口上面，第一部分：配置所有接口的ip地址保证直连接通信，然后配置NAT特性R1配置：Router(config)#hostnameR1设置R1设备主机名字4R1(config)#interfaceLoopback0建立loopback口，并且给接口配置地址R1(config-if)#ipaddress10.1.1.1255.255.255.0R1(config-if)#exitR1(config)#interfaceEthernet0/0给e0/0接口配置ip地址保证设备之间连通性R1(config-if)#ipaddress192

4、.168.1.2255.255.255.0R1(config-if)#noshutdownNAT设备配置：Router(config)#hostnameNAT设置NAT设备主机名字NAT(config)#interfaceEthernet0/1给e0/1接口配置ip地址保证与R2设备之间连通性NAT(config-if)#ipaddress202.106.0.20255.255.255.0NAT(config-if)#noshutdownNAT(config-if)#ipnatoutside设置nat外网接口NAT(config-if)#exitNAT(config)#interf

5、aceEthernet0/0给e0/0接口配置ip地址保证与R1设备之间连通性NAT(config-if)#ipaddress192.168.1.1255.255.255.0NAT(config-if)#noshutdownNAT(config-if)#ipnatinside设置nat内网接口NAT(config)#access-list10permit192.168.1.00.0.0.255配置nat使用的访问控制列表NAT(config)#ipnatinsidesourcelist10interfaceEthernet0/1overload配置nat保证网连通R2配置：Rout

6、er(config)#hostnameR2设置R2设备主机名字R2(config)#interfaceLoopback0建立loopback口，并且给接口配置地址R2(config-if)#ipaddress10.1.2.1255.255.255.0R2(config)#interfaceEthernet0/0给E0/0接口配置地址保证与NAT设备之间的连通性R2(config-if)#ipaddress202.106.0.21255.255.255.0R2(config-if)#noshutdown4第二部分：1，首先在R1和R2上面配置访问控制列表定义感兴趣的数据流，也就是ip

7、sec需要保护的数据流，镜像配置R1(config)#access-list101permitip10.1.1.00.0.0.25510.1.2.00.0.0.255R2与R1的互相为镜像R2(config)#access-list101permitip10.1.2.00.0.0.25510.1.1.00.0.0.2552，配置R1与R2的IKE的第一个阶段所需要的参数R1的配置：R1(config)#cryptoisakmppolicy10R1(config-isa