思科ASA防火墙实现IPSec虚拟专用网,可跟做!

　　

通过博文思科路由器实现IPSec虚拟专用网原理及配置详解已经初步了解IPSec虚拟专用网的原理以及如何在思科的路由器上实现IPSec虚拟专用网技术。千万不要以为在思科路由器可以实现IPSec虚拟专用网,在思科ASA防火墙也可以实现,虽然原理是一致的,但是其配置过程,稍微有一些不同。下面主要讲解一下如何在思科ASA防火墙上实现IPSec虚拟专用网。

　　
　　

博文大纲:
一案例拓补;
二,案例需求,
三,案例实施。
四,思科防火墙与思科路由器的区别;
五,IPSec虚拟专用网故障排查;

　　 　　

一、案例拓补

　　

思科ASA防火墙实现IPSec虚拟专用网,可跟做!”> </p> 　　<h4>二、案例需求</h4> 　　<p> 1。PC1使用IPSec虚拟专用网访问生物;<br/> 2. PC1可以telnetPC2; </p> 　　<h4>三、案例实施</h4> 　　<h5> 1) ASA防火墙的基本设置h5> </<pre> <代码> ASA(配置)# int e0/0 　　ASA (config-if) # nameif里面 　　信息:安全级别为“内部”默认设置为100。//思科ASA防火墙内区域默认优先级为100 　　ASA (config-if) # ip添加192.168.1.1 255.255.255.0 　　ASA (config-if) #没有sh 　　ASA (config-if) # int e0/1 　　ASA (config-if) # nameif外面 　　信息:安全级别为“外”默认设置为0。//思科ASA防火墙外区域默认优先级为0 　　ASA (config-if) # ip添加100.1.1.1 255.255.255.0 　　ASA (config-if) #没有sh 　　ASA (config-if) # 0 0 100.1.1.2外路线//配置默认路由 　　ASA(配置)# nat-control//表示通过ASA防火墙的数据包都必须使用NAT地址转换技术 　　ASA(配置)# nat(内部)1 0 0 　　ASA(配置)全球(外)# 1 int 　　信息:外部接口地址添加到帕特池//将内部所有地址转换为外部接口地址,启用帕特的意思</代码> </pre> 　　<h5> 2)配置NAT豁免(带ACL的NAT 0) </h5> 　　<p>虚拟专用网和NAT之间存在一定的冲突,若希望既可以访问互联网又可以访问虚拟专用网,就需要配置NAT豁免,让访问虚拟专用网的流量不做NAT转换。</p> 　　<pre> <代码> ASA(配置)#访问列表nonat扩展允许ip 192.168.1.0 255.255.255.0 192.168.2.0 255.255.255.0 　　ASA(配置)# nat(内部)0访问列表nonat//注意nat-id为0表示使用NAT豁免,优先级最高</代码> </pre> 　　<h5> 3)建立ISAKMP h5> </<p>在路由器上,默认已经启用ISAKMP/艾克协议,但是在亚撒防火墙默认并没有启用!需要使用以下命令启用ISAKMP/艾克协议。</p> 　　<pre> <代码> ASA(配置)#加密isakmp启用外//启用ISAKMP/艾克协议</代码> </pre> 　　<h5> 4)配置管理连接策略h5> </<pre> <代码> ASA(配置)# 1加密isakmp政策//配置ISAKMP/艾克策略,序列号为1,数值越小越优先 　　ASA (config-isakmp-policy) # aes加密//指定用于身份验证采用aes加密算法(防火墙默认不可以使用des) 　　ASA (config-isakmp-policy) #散沙//验证数据完整性使用沙算法 　　pre-share ASA (config-isakmp-policy) #身份验证//设备验证方式采用预共享密钥 　　ASA (config-isakmp-policy) #组1//指定DH密钥组</代码> </pre> 　　<h5> 5)配置预共享密钥h5> </<pre> <代码> ASA(配置)# 123456地址200.1.1.2加密isakmp关键//指定对等体为200.1.1.2,密钥是123456 </代码> </pre> 　　<p> IOS7.0版本以上的防火墙一般使用隧道组来配置密钥</p> 　　<h5> 6)配置密码ACL h5> </<p>其实呢,配置NAT豁免的ACL就可以使用!仅限于本博文的拓补情况。</p> 　　<h5> 7)配置传输集</h5> 　　<pre> <代码> ASA(配置)#加密ipsec transform-set ASA-set esp-aes esp-sha-hmac//防火墙加密验证必须使用esp,不可使用啊验证</代码> </pre> 　　<h5> 8)配置加密地图/h5> 　　<p>这里的配置命令与路由器稍微有些不同!命令如下:</p> 　　<pre> <代码> ASA(配置)#加密地图ASA-map 1 nonat匹配地址//创建Crypto-Map,名称为ASA-map,序列号为1,调用名称为nonat的ACL 　　ASA(配置)#加密地图ASA-map 1组对等200.1.1.2//ASA-map对应的对等体为200.1.1.2 　　ASA(配置)#加密地图ASA-map 1组transform-set ASA-set//ASA-map调用刚才定义的传输集(ASA-set) </代码> </pre> 　　<h5> 9)将加密地图应用到外面接口上</h5> 　　<pre> <代码> ASA(配置)#加密地图ASA-map int之外</代码> </pre> 　　<p>到这里防火墙的配置基本已经完成! </p> 　　<h5> 10) R1路由的设置h5> </<pre> <代码> R1 # int f1/0(配置) 　　R1 (config-if) # ip添加100.1.1.2 255.255.255.0 　　R1 (config-if) #没有sh 　　R1 (config-if) # int f0/0 　　R1 (config-if) # ip添加11.1.1.1 255.255.255.0 　　R1 (config-if) #没有sh 　　R1 (config-if) # int f2/0 　　R1 (config-if) # ip添加200.1.1.1 255.255.255.0 　　R1 (config-if) #没有sh//仅配置IP地址即可。<h2 class=思科ASA防火墙实现IPSec虚拟专用网,可跟做!