端口映射VPN.docx

端口映射VPN.docx

《端口映射VPN.docx》由会员分享，可在线阅读，更多相关《端口映射VPN.docx（9页珍藏版）》请在冰点文库上搜索。

端口映射VPN

先给一个环境：

　　cisco路由器内网接口s1/0:

192.168.1.1255.255.255.0

　　外网接口s1/1:

10.0.0.1255.255.255.0

　　服务器ip：

192.168.1.100

　　首先配置好nat。

　　Router#conft#进入全局配置模式

　　Enterconfigurationcommands,oneperline.EndwithCNTL/Z.

　　Router（config）#access-list1permit192.168.1.00.0.0.255#建立访问控制列表准备做nat转换

　　Router（config）#ipnatinsidesourcelist1interfaces1/1#建立NAT转换，将192.168.1.0的地址转换为接口s1/1的地址

　　Router（config）#ints1/0#进入接口模式

　　Router（config-if）#ipnatinside#设定s1/0为NAT内部接口

　　Router（config-if）#ints1/1#进入S1/1的接口模式

　　Router（config-if）#ipnatoutside#设定S1/1为NAT外部接口

　　Router（config-if）#exit

　　此时已经启用了NAT，内网可以上网了。

　　现在开始端口映射，让外网访问内网服务器：

　　Router（config）#ipnatinsidesourcestatictcp192.168.1.1005631（端口号）10.0.0.15631extendable

　　Router（config）#ipnatinsidesourcestatictcp192.168.1.1005632（端口号）10.0.0.15632extendable#因为10.0.0.1这个地址已经应用在s1/1接口上并做了NAT转换的地址，这里必须加上extendable这个关键字，否则报错。

如果用另外的外网ip比如10.0.0.2，在这里就可以不加extendable。

　　现在外网的机器可以访问内网了。

　　命令showipnattranslations可以查看nat转换情况

　　showrun也可以找到相关配置

　　Router（config）#exit#退出全局配置模式，到特权模式下使用show命令

　　Router#showipnattranslations

　　ProInsideglobalInsidelocalOutsidelocalOutsideglobal

　　tcp10.0.0.1:

23192.168.1.100:

23------

　　tcp10.0.0.1:

23192.168.1.100:

2310.0.0.2:

4826810.0.0.2:

48268

　　tcp10.0.0.1:

5631192.168.1.100:

5631------

　　tcp10.0.0.1:

5632192.168.1.100:

5632------

　　附：

要删除哪条命令只要在命令前加no即可.补充：

你telnet的是5631端口，而服务器的telnet端口是23

　　你要telnet到服务器的5631端口就必须改服务器的telnet端口，在注册表改，服务器的防火墙也要打开相应端口。

　　如果你不改服务器端口也可以将5631的端口映射到服务器的23端口，命令如下：

　　Router（config）#ipnatinsidesourcestatictcp192.168.1.1002310.0.0.15631extendable

　　要先删掉5631到5631的映射，命令如下：

　　Router（config）#noipnatinsidesourcestatictcp192.168.1.100563110.0.0.15631extendable

　　不改服务器端口就必须将外网ip的5631端口映射到服务器的23端口。

然后你telnetip5631其实就是telnet服务器的23端口

很简单，首先在交换机上划分出VLAN102030三个vlan，然后在路由器上开启3个子接口，并且配置IP分别为（trunk自己配）

e0/0.1192.168.2.1

e0/0.2192.168.3.1

e0/0.3192.168.4.1

然后配置三个地址池：

servicedhcp

ipdhcppoolaa

network192.168.2.0255.255.255.0

ipdhcppoolbb

network192.168.3.0255.255.255.0

ipdhcppoolcc

network192.168.4.0255.255.255.0

就可以了。

先说明一点：

你的交换机和路由器相连的那个口必须是三层接口，只要在交换机上iprouting就ok了

1定义一个地址池，

2进入这个地址池且定义这个地址池的网段是多少

3为这个网段的所有主机指定一个网关

4在交换机上为每个VLAN启用DHCP中继代理（如果不启用的话就获得不到IP地址，vlan也是割段广播的）

具体的配置如下，

路由器我现在就起名为R1，交换机我就叫SW1吧

R1（config）#ipdhcppoolaa（在这里就是定义第一个地址池，名字无所谓）

R1（dhcp-config）#network192.168.1.0255.255.255.0（定义地址池里的网段）

R1（dhcp-config）#default-router192.168.1.254（我在这里拟定VLAN10的IP地址是这个）

R1（dhcp-config）#exit

SW1（config）#intvlan10

SW1（config-if）#iphelper-address192.168.100.254（我在这里将路由器上的一个物理接口拟定为这个IP地址，你在这里要注意一下，在配置VLAN的中继代理的时候，因为这不是真正的DHCP服务器，而是一台路由器，只要指向路由器上任何一个物理接口就OK了！

）

SW1（config-if）#exit

VPN是企业实现安全远程互联的有效方法。

本文根据一个应用实例，具体描述VPN的配置和实施过程。

其主要应用特点包括：

基于封装安全负载标准ESP-DES（EncapsulatingSecuriryPayload–DataEncryptionStandard）的IPSec；专有网络通过端口地址转换（PAT）技术访问Internet。

一、网络基本情况

----该单位公司总部在北京，全国有3个分支机构。

要求做到在4个地点的数据能够实时查询，便于业务员根据具体情况作出正确决策。

早期方案是使用路由器，通过速率为256Kbps的DDN专网连接北京总部。

但技术人员通过市场调研，发现该网络运营成本过高。

通过进一步的咨询和调整，最终方案是分支机构使用DDN在本地接入Internet，总部使用以太网就近接入Internet。

并对互联的路由器进行配置，使用VPN技术，保证内部数据通过Internet安全传输。

该企业的网络分布见附图。

二、配置过程及测试步骤

----在实施配置前，需要检查硬件和软件是否支持VPN。

对于Cisco路由器，要求IOS版本高于12.0.6（5）T，且带IPSec功能。

本配置在Cisco路由器上配置通过。

----以下是分支网络1的路由器实际配置过程，其他路由器的配置方法与此基本一致，只需修改具体的环境参数（IP地址和接口名称）即可。

----以下黑体字为输入部分，为键盘对应键，^Z为Ctrl+Z组合键。

----1.配置路由器的基本参数，并测试网络的连通性

----

（1）进入路由器配置模式

----将计算机串口与路由器console口连接，并按照路由器说明书配置“终端仿真”程序。

执行下述命令进入配置模式。

----Router>en

----Router#configterminal

----Router（config）#

----

（2）配置路由器的基本安全参数

----主要是设置特权口令、远程访问口令和路由器名称，方便远程调试。

----Router（config）#enablesecretxxxxxxx

----Router（config）#linevty04

----Router（config-line）#passwordxxxxxx

----Router（config-line）#exit

----Router（config）#hostnamehuadong

----huadong（config）#

----（3）配置路由器的以太网接口，并测试与本地计算机的连通性

----注意:

配置前，请将线缆与相关设备连接好。

其中ethernet0/0端口接内部网络，serial0/0端口接外部网络。

外部网络接口地址由ISP分配，至少一个地址，多者不限。

以下假定为一个，使用PAT模式，地址为210.75.32.9，上级路由器为210.75.32.10。

内部网络地址如附图所标示。

----关键是配置IP地址和启用以太网接口。

测试时，使用基本的测试命令ping。

----huadong（config）#intereth0/0

----huadong（config-if）#ipaddress172.17.1.1255.255.255.0

----huadong（config-if）#noshutdown

----以下是测试命令：

----huadong#ping172.17.1.1

----huadong#ping172.17.1.100

----在IP地址为172.17.1.100的计算机上:

----c:

>ping172.17.1.1

----Pinging172.17.1.1with32bytesofdata:

----Replyfrom172.17.1.1:

bytes=32time=5msTTL=255

----结果证明连接及配置正确。

----（4）配置路由器的串口，并测试与上级路由器的连通性

----与以太网口的配置方法类似，而且需要指定带宽和包的封装形式。

同时，注意将Cisco设备特有的CDP协议关掉，保证基本的安全。

----huadong（config）#interserial0/0

----huadong（config-if）#ipaddress210.75.32.9255.255.255.252

----huadong（config-if）#bandwidth256

----huadong（config-if）#encapsulationppp

----huadong（config-if）#nocdpenable关闭思科cdp协议

----huadong（config-if）#noshutdown

----以下是测试命令：

----huadong#ping210.75.32.9

----……

----huadong#ping210.75.32.10

----……

----结果证明连接及配置正确。

----2.配置路由器NAT网络

----

（1）配置外出路由并测试

----主要是配置缺省路由。

----huadong（config）#iproute0.0.0.00.0.0.0210.75.32.9

----huadong#ping211.100.15.36

----……

----结果证明本路由器可以通过ISP访问Internet。

----

（2）配置PAT（端口地址转换），使内部网络计算机可以访问外部网络，但不能访问总部和分支机构

----主要是基于安全目的，不希望内部网络被外部网络所了解，而使用地址转换（NAT）技术。

同时，为了节约费用，只租用一个IP地址（路由器使用）。

所以，需要使用PAT技术。

使用NAT技术的关键是指定内外端口和访问控制列表。

----在访问控制列表中，需要将对其他内部网络的访问请求包废弃，保证对其他内部网络的访问是通过IPSec来实现的。

----huadong（config）#intereth0/0

----huadong（config-if）#ipnatinside

----huadong（config-if）#interserial0/0

----huadong（config-if）#ipnatoutside

----huadong（config-if）#exit

----以上命令的作用是指定内外端口。

----huadong（config）#route-mapabcpermit10##可以用于路由的再发布和策略路由

----huadong（config-route-map）#matchipaddress150##匹配ACL所指定的目标IP地址的路由

----huadong（config-route-map）#exit

----以上命令的作用是指定对外访问的规则名。

----huadong（config）#access-list150deny172.17.1.00.0.0.255172.16.0.00.0.255.255

----huadong（config）#access-list150deny172.17.1.00.0.0.255172.17.2.00.0.0.255

----huadong（config）#access-list150deny172.17.1.00.0.0.255172.17.3.00.0.0.255

----huadong（config）#access-list150permitip172.17.1.00.0.0.255any

----以上命令的作用是指定对外访问的规则内容。

例如，禁止利用NAT对其他内部网络直接访问（当然，专用地址本来也不能在Internet上使用），和允许内部计算机利用NAT技术访问Internet（与IPSec无关）。

----huadong（config）#ipnatinsidesourceroute-mapabcinterfaceserial0/0overload

----上述命令的作用是声明使用串口的注册IP地址，在数据包遵守对外访问的规则的情况下，使用PAT技术。

----以下是测试命令，通过该命令，可以判断配置是否有根本的错误。

例如，在命令的输出中，说明了内部接口和外部接口。

并注意检查输出与实际要求是否相符。

----huadong#showipnatstat

----Totalactivetranslations:

0（0static,0dynamic;0extended）

----Outsideinterfaces:

----Serial0/0

----Insideinterfaces:

----Ethernet0/0

----……

----在IP地址为172.17.1.100的计算机上，执行必要的测试工作，以验证内部计算机可以通过PAT访问Internet。

----c:

>ping210.75.32.10

----Replyfrom210.75.32.10:

bytes=32time=1msTTL=255

----c:

>ping

----Replyfrom211.100.15.36:

bytes=32time=769msTTL=248

----此时，在路由器上，可以通过命令观察PAT的实际运行情况，再次验证PAT配置正确。

----huadong#showipnattran

----ProInsideglobalInsidelocalOutsidelocalOutsideglobal

----icmp210.75.32.9:

1975172.17.1.100:

1975210.75.32.10:

1975210.75.12.10:

1975

----……

----以上测试过程说明，NAT配置正确。

内部计算机可以通过安全的途径访问Internet。

当然，如果业务要求，不允许所有的内部员工/计算机，或只允许部分内部计算机访问Internet，那么，只需要适当修改上述配置命令，即可实现。

----3.配置ESP-DESIPSec并测试

----以下配置是配置VPN的关键。

首先，VPN隧道只能限于内部地址使用。

如果有更多的内部网络，可在此添加相应的命令。

----huadong（config）#access-list105permitip172.17.1.00.0.0.255172.16.0.00.0.255.255

----huadong（config）#access-list106permitip172.17.1.00.0.0.255172.17.2.00.0.0.255

----huadong（config）#access-list107permitip172.17.1.00.0.0.255172.17.3.00.0.0.255

----加密。

指定VPN在建立连接时协商IKE使用的策略。

方案中使用sha加密算法，也可以使用md5算法。

在IKE协商过程中使用预定义的码字。

----huadong（config）#cryptoisakmppolicy10

----huadong（config-isakmp）#hashsha

----huadong（config-isakmp）#authenticationpre-share

----huadong（config-isakmp）#exit

----针对每个VPN路由器，指定预定义的码字。

可以一样，也可以不一样。

但为了简明起见，建议使用一致的码字。

----huadong（config）#cryptoisakmpkeyabc2001address211.157.243.130

----huadong（config）#cryptoisakmpkeyabc2001address202.96.209.165

----huadong（config）#cryptoisakmpkeyabc2001address192.18.97.241

----为每个VPN（到不同的路由器，建立不同的隧道）制定具体的策略，并对属于本策略的数据包实施保护。

本方案包括3个VPN隧道。

需要制定3个相应的入口策略（下面只给出1个）。

----huadong（config）#cryptomapabc20ipsec-isakmp

----huadong（config-crypto-map）#setpeer211.157.243.130

----huadong（config-crypto-map）#settransform-setabc-des

----huadong（config-crypto-map）#matchaddress105（普通的150不可访问，必须通过加密的105访问）

----huadong（config-crypto-map）#exit

----使用路由器的外部接口作为所有VPN入口策略的发起方。

与对方的路由器建立IPSec。

----huadong（config）#cryptomapabclocal-addressserial0

----IPSec使用ESP-DES算法（56位加密），并带SHA验证算法。

----huadong（config）#cryptoipsectransform-setabc-desesp-desesp-sha-hmac

----指明串口使用上述已经定义的策略。

----huadong（config）#interserial0/0

----huadong（config-if）#cryptomapabc

----在IP地址为172.17.1.100的计算机上验证:

----c:

>ping172.16.1.100

----Replyfrom172.16.1.100:

bytes=32time=17msTTL=255

----huadong#showcryptoengineconnacti

----IDInterfaceIP-AddressStateAlgorithmEncryptDecrypt

----1setHMAC_SHA+DES_56_CB00

----2000Serial0/0210.75.32.9setHMAC_SHA+DES_56_CB0452

----2001Serial0/0210.75.32.9setHMAC_SHA+DES_56_CB6940

----同时，这种连接使用了IPSec，而没有使用NAT技术。

三、测试

----将所有路由器按照上述过程，根据具体的环境参数，做必要修改后，完成VPN的配置。

网络部分任务完成，可以顺利开展业务应用了。

----在调试时，需要注意，在对应路由器上也执行相应的调试命令。

然后，在一台客户机（172.17.1.100）上执行如下命令:

----c:

>ping172.16.1.100-n1

----最后，对比2个路由器的输出，观察出现问题的提示——这是隧道不能建立的主要原因。

针对此提示，做必要的修改工作，便可圆满完成VPN的配置计划。