IPSEC_VPN实践配置-总部和分支机构通过IPSec VPN互联并通过各自IPSec网关NAT后上网

案例介绍

本例介绍总部和分支机构的出口网关同时为NAT设备时如何建立IPSec隧道。

全文分为：

组网拓扑

配置思路

配置步骤

故障拍错

结果验证

设备信息

共六个部份来介绍。

一、组网拓扑

某企业分为总部(A)和分支机构（B）。

如下图所示：

（建议将上图画在草稿纸上，标好端口及IP，以便后续配置时候查看）

组网如下：

总部(A)和分支机构(B)分别通过FW_A和FW_B与Internet相连。

FW_A和FW_B公网路由可达。

总部FW_A和分支机构FW_B为固定公网地址。

FW_A和FW_B同时为NAT网关。

要求实现的需求如下：

PC1和PC2都可以直接访问公网。

FW_A和FW_B之间建立IPSec隧道。

分支机构PC2与总部PC1之间进行安全通信。

二、配置思路

完成FW_A和FW_B的接口、安全策略、路由等基本配置。

在FW_A和FW_B上完成源NAT的配置。终端PC1和PC2经过NAT后可以访问Internet的数据。

在FW_A和FW_B上完成IPSec的配置。终端PC1和PC2可以互访，经过IPSec隧道的数据流不需要经过NAT转换。

三、配置步骤

1、设备基础配置

总部USG防火墙FW_A接口配置

[HQ-A]interface GigabitEthernet1/0/0

[HQ-A-GigabitEthernet1/0/0] undo shutdown

[HQ-A-GigabitEthernet1/0/0] ip address 111.11.11.11 255.255.255.240

[HQ-A-GigabitEthernet1/0/0] service-manage ping permit

[HQ-A-GigabitEthernet1/0/0] service-manage ssh permit

[HQ-A-GigabitEthernet1/0/0]interface GigabitEthernet1/0/1

[HQ-A-GigabitEthernet1/0/1]undo shutdown

[HQ-A-GigabitEthernet1/0/1]ip address 10.1.255.1 255.255.255.0

[HQ-A-GigabitEthernet1/0/1]service-manage ping permit

[HQ-A-GigabitEthernet1/0/1]service-manage ssh permit

[HQ-A-GigabitEthernet1/0/1]service-manage telnet permit

[HQ-A-GigabitEthernet1/0/1]quit

[HQ-A]ip route-static 0.0.0.0 0.0.0.0 111.11.11.1

[HQ-A]ip route-static 10.1.1.0 255.255.255.0 10.1.255.2

总部交换机接口配置

HQ-SW01(config)interface Ethernet0/0

HQ-SW01(config-if)#no switchport

HQ-SW01(config-if)#no shutdown

HQ-SW01(config-if)#ip address 10.1.255.2 255.255.255.0

HQ-SW01(config-if)#exit

HQ-SW01(config)#exit

HQ-SW01#ping 10.1.255.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 10.1.255.1, timeout is 2 seconds:

...!!

Success rate is 40 percent (2/5), round-trip min/avg/max = 1/2/3 ms

HQ-SW01#configure terminal

Enter configuration commands, one per line. End with CNTL/Z.

HQ-SW01(config)#interface Vlan1

HQ-SW01(config-if)#shutdown

HQ-SW01(config-if)#vlan 110

HQ-SW01(config-if)#interface Vlan110

HQ-SW01(config-if)#no shutdown

HQ-SW01(config-if)#ip address 10.1.1.1 255.255.255.0

HQ-SW01(config-if)#interface Ethernet0/1

HQ-SW01(config-if)#no shutdown

HQ-SW01(config-if)#switchport access vlan 110

HQ-SW01(config-if)#exit

HQ-SW01(config)#ip route 0.0.0.0 0.0.0.0 10.1.255.1

分支机构ASA防火墙FW_B接口配置

Branch-B(config-if)# int g0/0

Branch-B(config-if)# no shutdown

Branch-B(config-if)# nameif outside

Branch-B(config-if)# security-level 0

Branch-B(config-if)# ip add 223.23.23.23 255.255.255.240

Branch-B(config-if)# int g0/1

Branch-B(config-if)# no shutdown

Branch-B(config-if)# nameif inside

Branch-B(config-if)# security-level 100

Branch-B(config-if)# ip add 10.2.255.1 255.255.255.0

Branch-B(config-if)# quit

Branch-B(config)# route outside 0.0.0.0 0.0.0.0 223.23.23.17

Branch-B(config)# route inside 10.2.2.0 255.255.255.0 10.2.255.2

分支机构交换机接口配置

Branch-SW01(config)#interface Ethernet0/0

Branch-SW01(config-if)#no shdown

Branch-SW01(config-if)#no switchport

Branch-SW01(config-if)#ip add 10.2.255.2 255.255.255.0

Branch-SW01(config-if)#int vlan 1

Branch-SW01(config-if)#shut

Branch-SW01(config-if)#vlan 100

Branch-SW01(config-vlan)#int vlan 100

Branch-SW01(config-if)#ip add 10.2.2.1 255.255.255.0

Branch-SW01(config-if)#no shdown

Branch-SW01(config-if)#exit

Branch-SW01(config)#int e0/1

Branch-SW01(config-if)#no shdown

Branch-SW01(config-if)#switchport access vlan 100

Branch-SW01(config-if)#exit

Branch-SW01(config)#ip route 0.0.0.0 0.0.0.0 10.2.255.1

Branch-SW01(config)#exit

Branch-SW01#ping 10.2.255.1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 10.2.255.1, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 1/2/5 ms

Branch-SW01#

2、NAT配置

总部USG防火墙NAT配置

[HQ-A]ip address-set to_Internet type object

[HQ-A-object-address-set-to_Internet] address 0 10.1.1.0 mask 24

[HQ-A-object-address-set-to_Internet]

[HQ-A-object-address-set-to_Internet]quit

[HQ-A]security-policy

[HQ-A-policy-security] default action permit

[HQ-A-policy-security]quit

[HQ-A]nat-policy

[HQ-A-policy-nat] rule name to_Internet

[HQ-A-policy-nat-rule-to_Internet] source-zone trust

[HQ-A-policy-nat-rule-to_Internet] destination-zone untrust

[HQ-A-policy-nat-rule-to_Internet] source-address address-set to_Internet

[HQ-A-policy-nat-rule-to_Internet] action nat easy-ip

[HQ-A-policy-nat-rule-to_Internet]qui

[HQ-A-policy-nat]qui

[HQ-A]

在总部交换机上ping公网地址

如下图所示：

在USG防火墙上查看内网地址NAT结果

如下图所示：

分支机构ASA防火墙NAT配置

Branch-B(config)# object network to-Internet

Branch-B(config-network-object)# subnet 0.0.0.0 0.0.0.0

Branch-B(config-network-object)# nat (inside,outside) dynamic interface

Branch-B(config-network-object)#

在分支机构交换机上ping公网地址

如下图所示：

在ASA防火墙上查看内网地址NAT结果

如下图所示：

3、VPN配置

总部USG防火墙VPN配置

、配置IPSec安全提议。缺省参数可不配置。

[HQ-A] ipsec proposal asa

[HQ-A-ipsec-proposal-tran1] esp authentication-algorithm md5

[HQ-A-ipsec-proposal-tran1] esp encryption-algorithm des

[HQ-A-ipsec-proposal-tran1] quit

、配置IKE安全提议。缺省参数可不配置。

[HQ-A] ike proposal 1

[HQ-A-ike-proposal-1] encryption-algorithm 3des

[HQ-A-ike-proposal-1] prf hmac-sha1

[HQ-A-ike-proposal-1] authentication-algorithm sha1

[HQ-A-ike-proposal-1] authentication-method pre-share

[HQ-A-ike-proposal-1] integrity-algorithm hmac-sha1-96

[HQ-A-ike-proposal-1] dh group2

[HQ-A-ike-proposal-1] quit

、配置IKE peer。

[HQ-A] ike peer asa

[HQ-A-ike-peer-asa] ike-proposal 1

[HQ-A-ike-peer-asa] remote-address 223.23.23.23

[HQ-A-ike-peer-asa] pre-shared-key Cisco@123

[HQ-A-ike-peer-asa] quit

、定义被保护的数据流。

配置高级ACL 3000，允许10.1.1.0/24网段访问10.1.2.0/24网段。

[HQ-A] acl 3000

[HQ-A-acl-adv-3000] rule 10 permit ip source 10.1.1.0 0.0.0.255 destination 10.2.2.0 0.0.0.255

[HQ-A-acl-adv-3000] quit

、配置IPSec策略。

[HQ-A] ipsec policy ipsec 10 isakmp

[HQ-A-ipsec-policy-isakmp-ipsec-10] security acl 3000

[HQ-A-ipsec-policy-isakmp-ipsec-10] proposal asa

[HQ-A-ipsec-policy-isakmp-ipsec-10] ike-peer asa

[HQ-A-ipsec-policy-isakmp-ipsec-10] quit

、在接口GE1/0/0上应用IPSec策略组

[HQ-A] interface GigabitEthernet 1/0/0

[HQ-A-GigabitEthernet1/0/1] ipsec policy ipsec

[HQ-A-GigabitEthernet1/0/1] quit

分支机构ASA防火墙VPN配置

、配置IKE

Branch-B(config)# crypto ikev1 enable outside

Branch-B(config)# crypto ikev1 policy 1

Branch-B(config-ikev1-policy)# authentication pre-share

Branch-B(config-ikev1-policy)# encryption 3des

Branch-B(config-ikev1-policy)# hash sha

Branch-B(config-ikev1-policy)# group 2

Branch-B(config-ikev1-policy)# lifetime 86400

Branch-B(config-ikev1-policy)# quit

Branch-B(config)tunnel-group 111.11.11.11 type ipsec-l2l

Branch-B(config)# tunnel-group 111.11.11.11 ipsec-attributes

Branch-B(config-tunnel-ipsec)# ikev1 pre-shared-key Cisco@123

Branch-B(config-tunnel-ipsec)# quit

、配置IPSec

Branch-B(config)# crypto ipsec ikev1 transform-set trans esp-des esp-md5-hmac

Branch-B(config)# quit

、定义感兴趣流

Branch-B(config)# access-list to-HQ EXtended PERmit ip 10.2.2.0 255.255.255.0 10.1.1.0 255.255.255.0

Branch-B(config)# quit

、关联IPSec策略

Branch-B(config)# crypto map l2l 10 match address to-HQ

Branch-B(config)# crypto map l2l 10 set peer 111.11.11.11

Branch-B(config)# crypto map l2l 10 set ikev1 transform-set trans

Branch-B(config)# quit

、在outside接口上调用l2l策略

Branch-B(config)# crypto map l2l interface outside

四、故障排错

以上配置完成后，在PC2执行ping命令，触发IKE协商。

若IKE协商成功，隧道建立后可以ping通PC1。

反之，IKE协商失败，隧道没有建立则PC2不能ping通PC1。

故障展示，如下图所示：

在防火墙上通过show xlate可看到源地址没有被穿越，而是直接NAT成了公网地址。如下图所示：

解决方法：

在分支机构ASA防火墙上定义10.2.2.0/24到10.1.1.0/24的流量不进行NAT转换，从VPN隧道转发，而访问Internet的流量不匹配该策略，则NAT转化后转发。

配置如下：

Branch-B(config)# object network local-address

Branch-B(config-network-object)# subnet 10.2.2.0 255.255.255.0

Branch-B(config-network-object)# quit

Branch-B(config)# object network remote-address

Branch-B(config-network-object)# subnet 10.1.1.0 255.255.255.0

Branch-B(config-network-object)# quit

Branch-B(config)# nat (inside,outside) source static local-address local-address destination static remote-address remote-address

同样，在总部USG防火墙上定义10.1.1.0/24到10.2.2.0/24的流量不进行NAT转换，从VPN隧道转发，而访问Internet的流量不匹配该策略，则NAT转化后转发。

配置如下：

[HQ-A]ip address-set local_address type object

[HQ-A-object-address-set-local_address] address 0 10.1.1.0 mask 24

[HQ-A-object-address-set-remote_address]quit

[HQ-A] ip address-set remote_address type object

[HQ-A-object-address-set-remote_address] address 0 10.2.2.0 mask 24

[HQ-A-object-address-set-remote_address]quit

[HQ-A]

[HQ-A]nat-policy

[HQ-A-policy-nat] rule name nonat

[HQ-A-policy-nat-rule-nonat] source-zone trust

[HQ-A-policy-nat-rule-nonat] destination-zone untrust

[HQ-A-policy-nat-rule-nonat] source-address address-set local_address

[HQ-A-policy-nat-rule-nonat] destination-address address-set remote_address

[HQ-A-policy-nat-rule-nonat] action no-nat

五、结果验证

1、发起ping操做

在总部交换机和分支机构交换机上带网关地址发起ping操做.

如下图所示：

2、查看IKE信息

在分支机构ASA防火墙上可看到IKE已协商成功，IPSec也已建立成功.

如下图所示：

同样，在总部USG防火墙上也可看到相应的IKE信息.

如下图所示：

六、设备信息

本实验中

ASA设备版本：Version 9.4(1)200

USG设备版本：Version 5.160

交换机设备版本：无特殊要求，支持三层即可