Настройка туннеля GRE с использованием IPsec и NAT

Настройка протокола IPsec между маршрутизаторами (с предварительными общими ключами) для туннеля GRE с использованием межсетевого экрана IOS и NAT Содержание Введение Предварительные условия Требования Используемые компоненты Условные обозначения Базовые сведения Настройка Схема сети Конфигурации Проверка Устранение неполадок Команды устранения неполадок Дополнительные сведения Введение В этом документе приводится базовая конфигурация межсетевого экрана Cisco IOS® с использованием NAT (преобразование сетевых адресов). Эта конфигурация позволяет инициировать трафик из сетей 10.1.1.x и 172.16.1.x в Интернет и на пути использовать NAT.

К IP-туннелю и трафику IPX (Межсетевой пакетный обмен) между двумя частными сетями добавляется туннель GRE (Протокол туннелирования сетевых пакетов). Когда на исходящий интерфейс маршрутизатора поступает пакет и отправляется по туннелю, пакет сначала инкапсулируется при помощи протокола GRE и затем шифруется по протоколу IPsec. Другими словами, любой трафик, который может быть передан по туннелю GRE, также шифруется протоколом IPsec. Дополнительные сведения о настройке туннеля GRE поверх IPsec с использованием протокола OSPF (Open Shortest Path First, протокол предпочтения кратчайшего пути) см. в документе Настройка туннеля GRE по протоколу IPSec с использованием протокола OSPF.

Дополнительные сведения о настройке сети из трех маршрутизаторов с топологией звезды с помощью протокола IPsec см. в документе Настройка с помощью протокола IPsec звездообразной сети "маршрутизатор-маршрутизатор" с соединением между оконечными устройствами. Предварительные условия Требования В данном документе не выдвигается никаких особых требований. Используемые компоненты Сведения, содержащиеся в данном документе, касаются следующих версий программного и аппаратного обеспечения: ПО Cisco IOS версий 12.2(21a) и 12.3(5a);

Стр. 1

Cisco 3725 и 3640. Данные для этого документа были получены с помощью указанных устройств в специально созданных лабораторных условиях. Все устройства, используемые в этом документе, запускались с чистой (заданной по умолчанию) конфигурацией. Если сеть находится в коммерческой эксплуатации, при использовании каждой команды следует адекватно оценивать ее потенциальное воздействие. Условные обозначения Дополнительные сведения о применяемых обозначениях см. в документе Условные обозначения, используемые в технической документации Cisco. Базовые сведения В данном разделе приводятся указания по осуществлению необходимых настроек.

Для проверки возможности подключения к Интернету, введите в действие на обоих маршрутизаторах протокол NAT. Добавьте к конфигурации протокол GRE и протестируйте ее. Трафик, не подвергнутый шифрованию, необходимо передавать между частными сетями. Добавьте в конфигурацию протокол IPsec и протестируйте ее. Трафик между частными сетями должен быть зашифрован. Добавьте к внешним интерфейсам, в список контроля исходящего трафика и в список доступа для входящего трафика межсетевой экран Cisco IOS, а затем выполните тестирование этих настроек. Если используется версия Cisco IOS ранее 12.1.4, необходимо разрешить IP-трафик между 172.16.1.x и - 10.0.0.0 в списке доступа 103.

Дополнительные сведения см. в разделах по ошибкам Cisco: ID CSCdu58486 ( только для зарегистрированных пользователей ) и ID CSCdm01118 ( только для зарегистрированных пользователей ). Настройка В этом разделе приводится информация по настройке функций, описанных в данном документе. Примечание. Для поиска дополнительной информации о командах в данном документе используйте Средство поиска команд ( только для зарегистрированных клиентов ). Примечание. Схемы IP-адресации, приведенные в этой конфигурации, нельзя использовать для маршрутизации в Интернете. Это адреса RFC 1918, которые использовались в лабораторной среде. Схема сети В этом документе используются следующие параметры сети.

Стр. 2

Конфигурации В данном документе используются следующие конфигурации: конфигурация Daphne; конфигурация Fred. Конфигурация Daphne version 12.3 service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption ! hostname daphne ! boot-start-marker boot-end-marker ! enable secret 5 $1$r2sh$XKZR118vcId11ZGzhbz5C/ ! no aaa new-model ip subnet-zero ! ! !--- Конфигурация межсетевого экрана Cisco IOS и то, что необходимо проверить. !--- Подаваемый исходящий трафик на внешнем интерфейсе.

ip inspect name myfw tcp ip inspect name myfw udp ip inspect name myfw ftp ip inspect name myfw realaudio ip inspect name myfw smtp ip inspect name myfw streamworks ip inspect name myfw vdolive ip inspect name myfw tftp ip inspect name myfw rcmd ip inspect name myfw http ip telnet source-interface FastEthernet0/0 ! ip audit notify log ip audit po max-events 100 no ftp-server write-enable ! !--- Конфигурация протокола IPsec. ! crypto isakmp policy 10 authentication pre-share crypto isakmp key ciscokey address 192.168.2.2 ! ! crypto ipsec transform-set to_fred esp-des esp-md5-hmac ! crypto map myvpn 10 ipsec-isakmp set peer 192.168.2.2 set transform-set to_fred match address 101 ! ! ! ! !

!--- Одна сторона туннеля GRE. ! interface Tunnel0 ip address 192.168.3.1 255.255.255.0 !--- Туннель необходимо связать с физическим интерфейсом. tunnel source FastEthernet0/1

Стр. 3

tunnel destination 192.168.2.2 !--- Внутренняя сеть. interface FastEthernet0/0 ip address 10.0.0.2 255.255.255.0 ip nat inside speed 100 full-duplex ! !--- Внешний интерфейс и одна сторона туннеля GRE. interface FastEthernet0/1 ip address 192.168.1.1 255.255.255.0 ip access-group 103 in ip nat outside ip inspect myfw out speed 100 full-duplex crypto map myvpn ! !--- Необходимо определить пул NAT. ip nat pool ourpool 192.168.1.10 192.168.1.20 netmask 255.255.255.0 ip nat inside source route-map nonat pool ourpool overload ip classless ip route 0.0.0.0 0.0.0.0 192.168.1.2 !--- Необходимо принудительно направить трафик частной сети в туннель.

- ip route 172.16.1.0 255.255.255.0 192.168.3.2 ip http server no ip http secure-server ! ! !--- Весь трафик, который поступает в туннель GRE, шифруется протоколом IPsec. !--- Другие операторы ACE не требуются. access-list 101 permit gre host 192.168.1.1 host 192.168.2.2 !--- Список доступа в целях безопасности. Разрешение !--- трафика по протоколам IPsec и GRE между частными сетями. access-list 103 permit gre host 192.168.2.2 host 192.168.1.1 access-list 103 permit esp host 192.168.2.2 host 192.168.1.1 access-list 103 permit udp host 192.168.2.2 eq isakmp host 192.168.1.1 access-list 103 deny ip any any log !--- См.

раздел Базовые сведения, если для списка доступа 103 используется !--- версия Cisco IOS ранее 12.1.4. access-list 175 deny ip 10.0.0.0 0.0.0.255 172.16.1.0 0.0.0.255 access-list 175 permit ip 10.0.0.0 0.0.0.255 any !--- Для адресации в протоколе NAT используется список доступа в маршрутной карте. route-map nonat permit 10 match ip address 175 ! ! ! line con 0 exec-timeout 0 0 line aux 0 line vty 0 4 password ww login ! ! end

Стр. 4