VPN]: Настройка GRE-туннеля по IPSec при OSPF

Настройка GRE-туннеля по протоколу IPSec при помощи OSPF Содержание Общие сведения Предварительные условия Требования Используемые компоненты Условные обозначения Настройка Схема сети Конфигурации Проверка Устранение неполадок Команды диагностики Дополнительные сведения Введение Обычные настройки IP Security (IPSec) запрещают передачу по протоколам маршрутизации, таким как усовершенствованный внутренний протокол маршрутизации шлюзов (EIGRP) и протокол первоочередного предпочтения кратчайшего пути (OSPF), а также трафик не по протоколу IP, а, например, по IPX или AppleTalk.

Этот документ иллюстрирует процесс организации передачи данных между разными сетями, использующими протокол маршрутизации и передающими данные не по протоколу IP с IPSec. В данном примере используется общая инкапсуляция маршрутов (GRE) для реализации маршрутизации между различными сетями. Для получения информации о конфигурации сети со звездообразной топологией и протоколом IPSec для трех маршрутизаторов см. документ "Настройка звездообразной сети между маршрутизаторами с протоколом IPsec и связью между конечными точками". Для получения информации о настройке базовой конфигурации Cisco IOS® для GRE-туннеля с преобразованием сетевых адресов (NAT) см.

документ "Настройка протокола IPSec между маршрутизаторами (с предварительно распределяемыми ключами) в GRE- туннеле с брандмауэром IOS и NAT". Для получения информации о настройке VPN/IPsec с протоколом OSPF с помощью программного обеспечения Cisco PIX Security Appliance версии 7.x или Cisco Adaptive Security Appliance (ASA) см. документ "Настройка PIX/ASA 7.x VPN/IPsec с примером конфигурации OSPF". Предварительные условия Требования Прежде чем использовать эту конфигурацию, убедитесь, что выполняются следующие требования: Перед применением криптокарт убедитесь в работоспособности туннеля. Для получения информации о возможных проблемах с модулем MTU см.

документ "Настройка IP MTU, TCP MSS и PMTUD в операционных системах Windows и Sun". Используемые компоненты

Стр. 1

Сведения, содержащиеся в данном документе, касаются следующих версий программного и аппаратного обеспечения: Cisco 3600 с запускаемым программным обеспечением Cisco IOS, издание 12.4(8) Cisco 2600 с запускаемым программным обеспечением Cisco IOS, издание 12.4(8) Программное обеспечение PIX Firewall, издание 6.3(5) Программное обеспечение PIX Firewall, издание 6.3(5) Указанные в данном документе сведения по устройствам были получены в конкретной лабораторной среде. При написании данного документа использовались только устройства с чистой (стандартной) конфигурацией. В производственной сети необходимо изучить потенциальное воздействие всех команд.

Условные обозначения Дополнительные сведения об условных обозначениях в документах см. в документе "Условные обозначения технических терминов Cisco". Настройка В этом разделе приводятся сведения о настройке функций, описанных в данном документе. Примечание: для поиска дополнительной информации о командах, упоминаемых в данном документе, используйте средство Command Lookup Tool ( только для зарегистрированных пользователей ). Схема сети В данном документе используется следующая настройка сети: Примечание: схемы IP-адресации, которые использованы в данной конфигурации, запрещено распространять в Интернете. Это адреса RFC 1918 , которые использовались в лабораторной среде.

Конфигурации В данном документе используются следующие конфигурации: PIX Lion PIX Tiger Router Rodney Router House

Стр. 2

PIX Lion PIX версии 6.3(5) interface ethernet0 auto interface ethernet1 auto interface ethernet2 auto shutdown interface ethernet3 auto shutdown interface ethernet4 auto shutdown interface ethernet5 auto shutdown nameif ethernet0 outside security0 nameif ethernet1 inside security100 nameif ethernet2 intf2 security4 nameif ethernet3 intf3 security6 nameif ethernet4 intf4 security8 nameif ethernet5 intf5 security10 enable password 8Ry2YjIyt7RRXU24 encrypted passwd 2KFQnbNIdI.2KYOU encrypted hostname Lion fixup protocol dns maximum-length 512 fixup protocol ftp 21 fixup protocol h323 h225 1720 fixup protocol h323 ras 1718-1719 fixup protocol http 80 fixup protocol rsh 514 fixup protocol rtsp 554 fixup protocol sip 5060 fixup protocol sip udp 5060 fixup protocol skinny 2000 fixup protocol smtp 25 fixup protocol sqlnet 1521 fixup protocol tftp 69 names !--- Определяет целевой трафик, защищенный туннелем IPSec.

access-list 101 permit gre 192.168.4.0 255.255.255.0 192.168.3.0 255.255.255.0 !--- NAT не используется для передачи данных к другому брандмауэру PIX Firewall. access-list nonat permit gre 192.168.4.0 255.255.255.0 192.168.3.0 255.255.255.0 pager lines 24 mtu outside 1500 mtu inside 1500 mtu intf2 1500 mtu intf3 1500 mtu intf4 1500 mtu intf5 1500 ip address outside 10.64.10.16 255.255.255.224 ip address inside 192.168.4.1 255.255.255.0 !--- Выходные данные подавлены. global (outside) 1 interface !--- Не используйте NAT для передачи данных.

nat (inside) 0 access-list nonat nat (inside) 1 0.0.0.0 0.0.0.0 0 0 route outside 0.0.0.0 0.0.0.0 10.64.10.1 1 timeout xlate 3:00:00 timeout conn 1:00:00 half-closed 0:10:00 udp 0:02:00 rpc 0:10:00 h323 0:05:00 s0 timeout h323 0:05:00 mgcp 0:05:00 sip 0:30:00 sip_media 0:02:00 timeout sip-disconnect 0:02:00 sip-invite 0:03:00 timeout uauth 0:05:00 absolute aaa-server TACACS+ protocol tacacs+ aaa-server TACACS+ max-failed-attempts 3 aaa-server TACACS+ deadtime 10 aaa-server RADIUS protocol radius aaa-server RADIUS max-failed-attempts 3 aaa-server RADIUS deadtime 10 aaa-server LOCAL protocol local no snmp-server location no snmp-server contact snmp-server community public no snmp-server enable traps floodguard enable !--- Доверяйте трафику IPSec и избегайте прохождения !--- списков управления доступом (ACL)/NAT.

Стр. 3

sysopt connection permit-ipsec !--- Конфигурация IPSec. crypto ipsec transform-set pixset esp-des esp-md5-hmac crypto map pixmap 20 ipsec-isakmp crypto map pixmap 20 match address 101 crypto map pixmap 20 set peer 10.64.10.15 crypto map pixmap 20 set transform-set pixset crypto map pixmap interface outside isakmp enable outside !--- Параметры IKE.

isakmp key ******** address 10.64.10.15 netmask 255.255.255.255 isakmp identity address isakmp policy 20 authentication pre-share isakmp policy 20 encryption des isakmp policy 20 hash md5 isakmp policy 20 group 1 isakmp policy 20 lifetime 3600 telnet timeout 5 ssh 64.104.205.124 255.255.255.255 outside ssh timeout 5 terminal width 80 Cryptochecksum:d39b3d449563c7cd434b43f82f0f0a21 :

end PIX Tiger PIX версии 6.3(5) interface ethernet0 auto interface ethernet1 auto interface ethernet2 auto shutdown interface ethernet3 auto shutdown interface ethernet4 auto shutdown interface ethernet5 auto shutdown nameif ethernet0 outside security0 nameif ethernet1 inside security100 nameif ethernet2 intf2 security4 nameif ethernet3 intf3 security6 nameif ethernet4 intf4 security8 nameif ethernet5 intf5 security10 enable password 8Ry2YjIyt7RRXU24 encrypted passwd 2KFQnbNIdI.2KYOU encrypted hostname Tiger fixup protocol dns maximum-length 512 fixup protocol ftp 21 fixup protocol h323 h225 1720 fixup protocol h323 ras 1718-1719 fixup protocol http 80 fixup protocol rsh 514 fixup protocol rtsp 554 fixup protocol sip 5060 fixup protocol sip udp 5060 fixup protocol skinny 2000 fixup protocol smtp 25 fixup protocol sqlnet 1521 fixup protocol tftp 69 names access-list 101 permit gre 192.168.3.0 255.255.255.0 192.168.4.0 255.255.255.0 access-list nonat permit gre 192.168.3.0 255.255.255.0 192.168.4.0 255.255.255.0 mtu outside 1500 mtu inside 1500 mtu intf2 1500 mtu intf3 1500 mtu intf4 1500 mtu intf5 1500 ip address outside 10.64.10.15 255.255.255.224 ip address inside 192.168.3.1 255.255.255.0 !--- Выходные данные подавлены.

global (outside) 1 interface !--- Не используйте NAT для передачи данных.

Стр. 4