• 郑州北大必威betway866首页
  • 网站导航
  • 河南软件与网络工程师培养基地 河南拥有IT体验馆课程专业全、规模大校区河南多年连获全国教学质量奖2011-2019年获北大必威betway866总部荣誉奖
  • 首页 中心介绍 新闻动态 课程详解 师资力量 专家讲座 招生问答 学员活动 精彩专题 报名
    当前位置: > 学员活动 > 学术交流 >

    巧用路由器实现VPN的基本配置

    2010-09-08 08:43 来源:郑州北大必威betway866

    工作原理:一边服务器的网络子网为192.168.1.0/24路由器为100.10.15.1另一边的服务器为192.168.10.0/24路由器为200.20.25.1.执行下列步骤:
    1. 确定一个预先共享的密钥(保密密码)(以下例子保密密码假设为noIP4u)
    2. 为SA协商过程配置IKE.
    3. 配置IPSec,配置IKE:Shelby(config)#crypto isakmp policy 1
    注释:policy 1表示策略1,若多配几个VPN,可写成policy 2、policy3...Shelby(config-isakmp);#group 1注释:除非购买高端路由器,或是VPN通信比较少,否则最好使用group 1长度的密钥,group命令有两个参数值:1和2.参数值1表示密钥使用768位密钥,参数值2表示密钥使用1024位密钥,显然后一种密钥安全性高,但消耗更多的CPU时间。
    (1)Shelby(config-isakmp)#authentication pre-share
    注释:告诉路由器要使用预先共享的密码。
    (2)Shelby(config-isakmp)#lifetime 3600
    注释:对生成新SA的周期进行调整。这个值以秒为单位,默认值为86400,也就是一天。值得注意的是两端的路由器都要设置相同的SA周期,否则VPN在正常初始化之后,将会在较短的一个SA周期到达中断。
    (3)Shelby(config)#crypto isakmp key noIP4u address 200.20.25.1
    注释:返回到全局设置模式确定要使用的预先共享密钥和指归VPN另一端路由器IP地址,即目的路由器IP地址。相应地在另一端路由器配置也和以上命令类似,只不过把IP地址改成100.10.15.1.
    (4)配置IPSec:Shelby(config)#access-list 130 permit ip 192.168.1.0 0.0.0.255 172.16.10.0 0.0.0.255
    注释:在这里使用的访问列表号不能与任何过滤访问列表相同,应该使用不同的访问列表号来标识VPN规则。
    (5)Shelby(config)#crypto ipsec transform-set vpn1 ah-md5-hmac esp-des esp-md5-hmac
    注释:这里在两端路由器唯一不同的参数是vpn1,这是为这种选项组合定义的名称。在两端的路由器上,这个名称可以相同,也可以不同。以上命令是定义所使用的IPSec参数。为了加强安全性,要启动验证报头。由于两个网络都使用私有地址空间,需要通过隧道传输数据,因此还要使用安全封装协议。最后,还要定义DES作为保密密码钥加密算法。
    (6)Shelby(config)#crypto map shortsec 60 ipsec-isakmp
    注释:以上命令为定义生成新保密密钥的周期。如果攻击者破解了保密密钥,他就能够解使用同一个密钥的所有通信。基于这个原因,我们要设置一个较短的密钥更新周期。比如,每分钟生成一个新密钥。这个命令在VPN两端的路由器上必须匹配。
    (7)Shelby(config-crypto-map)#set peer 200.20.25.1
    注释:这是标识对方路由器的合法IP地址。在远程路由器上也要输入类似命令,只是对方路由器地址应该是100.10.15.1.
    (8)Shelby(config-crypto-map)#set transform-set vpn1
    Shelby(config-crypto-map)#match address 130
    注释:这两个命令分别标识用于这个连接的传输设置和访问列表。
    (9)Shelby(config)#interface s0
    Shelby(config-if)#crypto map shortsec
    注释:将刚才定义的密码图应用到路由器的外部接口。
    最后一步是不要忘记保存运行配置,否则所作的功劳白费了。VPN硬件设备应放置以下四个地点:MZ的防火墙之外;连接到防火墙的第三个网卡(服务网络);在防火墙保护的范围之内;与防火墙集成。

    ------分隔线----------------------------
    栏目列表
    联系我们
  • 学校地址:郑州市金水区文化路90号河南财经政法大
  • 学文南校区1号楼(文化路与东风路路交叉口文化路
  • 向南1000米)
  • 咨询热线:0371-63383521 63383522
  • 6路,28路,966路到文化路与俭学街站下车
  • 企业预订人才热线:0371-63383521
    就业服电话:0371-55902629
    教学监督:0371-55690491
    郑州北大必威betway866软件学院地址:郑州市文化路90号河南财经政法
    大学文南校区1号楼
    传真:0371-63383562 邮政编码:450000
    备案号:豫ICP备10022989
    版权归 郑州翔天信鸽科技有限公司
    咨询电话:0371-63383521 15225191462
    北大必威betway866APTECH(郑州翔天信鸽)授权培训软件学院
    教育改变生活