其他分享
首页 > 其他分享> > 手把手教你用eve模拟器玩IPsec *** (手工方式))

手把手教你用eve模拟器玩IPsec *** (手工方式))

作者:互联网

前面,我们分享过用华为ensp模拟器玩IPsec ***,本期我们也将使用eve模拟器玩一下IPsec***。

往期推荐

网络工程师如何利用IPsec ***技术实现分公司与总部互联?(手工方式)




随时企业业务范围不断扩大,企业就想在全国各地,甚至全球各地开设分公司,但是企业为了节省成本,又希望分公司使用总部的一些IT系统,如服务器上的文件资源,不愿意在分公司单独再搭建IT系统。要解决这个问题,就是如何让分公司内部网络与总部的内部网络互通? 采取专线,安全性没问题,但成本太高了,有没有成本相对便宜,又可以满足安全性的?  有,那就是IPsec ***,因为它是加密的(ESP),安全的。
本期与大家分享一个配置案例,相信看完,你会有所收获的。



1拓扑图



图片




2需求(目的)
利用IPsec ***在互联网上手工方式建立隧道,实现分公司的内部网络与总部内部网络互连,PC1 可以访问 总部的服务器 。



3配置思路
因为分公司和总部的内部网络,都是私有IP地址,互联网上是没路由的,出了网关设备,源目IP地址肯定会变,所以这里才有IPsec ESP封装协议,AH不适合,原因是:AH会校验源、目IP地址。

1、搭建好拓扑图环境,标出规划好的IP地址。2、修改网络设备默认名称、配置好IP地址。3、配置分公司与总部网关设备的路由,使之互通。(这里使用静态路由)4、利用ACL配置IPsec 感兴趣流
5、配置IPsec 提议(认证算法、加密算法)6、配置IPsec 策略7、把IPsec 策略调用到出接口下。



4配置过程



关于eve模拟器如何添加设备、如何使用VPC(模拟电脑)配置IP地址,可参考往期文章:


图片

手把手教你安装eve-ng模拟器,带你遨游网络技术世界!



步骤1:修改网络设备默认名称、配置好IP地址。


R1配置(分公司网关设备)


Router>ENRouter#config tEnter configuration commands, one per line.  End with CNTL/Z.Router(config)#hostname R1R1(config)#R1(config)#int e0/0R1(config-if)#ip add 192.168.1.100 255.255.255.0R1(config-if)#no shutR1(config-if)#int e0/1R1(config-if)#ip add 12.1.1.1 255.255.255.0R1(config-if)#no shutR1(config-if)#


R2配置(模拟ISP)


Router>en

Router#config tEnter configuration commands, one per line.  End with CNTL/Z.Router(config)#hostname  R2R2(config)#R2(config)#int e0/0R2(config-if)#ip add 12.1.1.2 255.255.255.0R2(config-if)#no shutR2(config-if)#int e0/1R2(config-if)#ip add 23.1.1.2 255.255.255.0R2(config-if)#no shut



R3配置(总部网关设备)


Router>enRouter#conf tEnter configuration commands, one per line.  End with CNTL/Z.Router(config)#hostname  R3R3(config)#int e0/0 R3(config-if)#ip add 23.1.1.3 255.255.255.0R3(config-if)#no shutR3(config-if)#int e0/1R3(config-if)#ip add 192.168.2.100 255.255.255.0R3(config-if)#no shutR3(config-if)#



模拟分公司PC1 IP地址设置:


VPCS> set pcname PC1

PC1>

PC1> 

PC1> ip 192.168.1.1 255.255.255.0 192.168.1.100

Checking for duplicate address...

PC1 : 192.168.1.1 255.255.255.0 gateway 192.168.1.100



模拟总部服务器IP地址设置:

VPCS> set pcname Server

Server>

Server> 

Server> ip 192.168.2.1 255.255.255.0 192.168.2.100

Checking for duplicate address...

Server : 192.168.2.1 255.255.255.0 gateway 192.168.2.100



步骤2:配置分公司与总部网关设备的路由,使之互通


首先,虽然实验只是用了R2模拟互联网,但实际上互联网肯定有好多跳路由器的,不管多跳,分公司和总部的网关都连接互联网的,肯定有公网IP地址,就可以互通,所以做实验,确保两边的网关能互通。

其次,两边的网关设备,也需要再写一条关于内部网络的路由,这里也是用静态路由就好了,因为有了路由,后面IPsec隧道建立起来了,才能正确转发。不然隧道建立了,但是网关设备收到数据包,不知道怎么转发? 因为没有对方的内部路由。


图片




在R1配置静态路由,告诉R1去往23.1.1.0 、192.168.2.0怎么走:

R1(config)#ip route 23.1.1.0 255.255.255.0 12.1.1.2R1(config)#ip route 192.168.2.0 255.255.255.0 12.1.1.2
在R3配置静态路由,告诉R3去往12.1.1.0 、192.168.1.0怎么走:

R3(config)#ip route 12.1.1.0 255.255.255.0 23.1.1.2

R3(config)#ip route 192.168.1.0 255.255.255.0 23.1.1.2


测试一下,分公司网关设备是否可以ping通总部的网关设备:

图片



步骤3:利用ACL配置IPsec 感兴趣流


在R1配置IPsec 感兴趣流:分公司访问总部的流量(这里ACL你也可以写网段,我这里就写个host)

R1(config)#access-list 100 permit  ip host 192.168.1.1 host  192.168.2.1


在R3配置IPsec 感兴趣流:总部发往分公司的流量:R3(config)#access-list 100 permit ip host 192.168.2.1 host  192.168.1.1



步骤4:配置IPsec 提议(认证算法、加密算法)


两边配置一样的算法。


在R1配置如下提议:

crypto ipsec transform-set along-encrypt-des esp-des esp-sha-hmac 


在R3配置如下提议:


crypto ipsec transform-set along-encrypt-des esp-des esp-sha-hmac 



步骤5:配置IPsec 策略IPsec 策略配置,你会发现就是把感兴趣流、提议、隧道源目IP地址、SPI值、密钥关联起来。


R1上配置IPsec 策略:

R1(config)#crypto map along-case 1 ipsec-manual 

R1(config-crypto-map)# set peer 23.1.1.3

R1(config-crypto-map)#set session-key inbound esp 123456 cipher20201219 authenticator 2020 

R1(config-crypto-map)#set session-key outbound esp 654321cipher 20201219 authenticator 2020 

R1(config-crypto-map)# set transform-set along-encrypt-des 

R1(config-crypto-map)#match address 100  //关联ACL,匹配感兴趣流



R3上配置IPsec 策略:

R3(config)#crypto map along-case 1 ipsec-manual 

R3(config-crypto-map)# set peer 12.1.1.1

R3(config-crypto-map)#set session-key inbound esp 654321 cipher 20201219 authenticator 2020 

R3(config-crypto-map)#set session-key outbound esp 123456 cipher 20201219 authenticator 2020 

R3(config-crypto-map)# set transform-set along-encrypt-des 

R3(config-crypto-map)#match address 100  //关联ACL,匹配感兴趣流



其中,这里值得提醒一下是SPI ,它是双向的,注意同一方向数值要一致。龙哥,画图,你可能就明白了:

图片


步骤6:把IPsec 策略调用到出接口下


调用之前,我们先用PC1 ping 一下总部服务器,是不通的。(待会调用后做个对比)

图片



接下来,我们开始调用:


在R1上把刚刚配置的IPsec 策略调用到出接口下:

R1(config)#int e0/1

R1(config-if)#crypto map along-case



在R3上把刚刚配置的IPsec 策略调用到出接口下:

R3(config)#int e0/0

R3(config-if)#crypto map along-case





5测试验证
测试分公司的PC1 访问 总部内网服务器连通性:

图片


抓包,我们可以发现,ping报文的源目IP均替换成网关设备的出口IP地址了:

图片




图片


而且,当你去点击ESP,想继续查看ESP封装的IP负载,发现是空的,其实不是空的,只是抓包软件无法解析而已。看下图,你就明白IPsec 为啥是安全的?就算***截获了这些数据包,也不用怕,很难破解里面真正的数据内容。



从本次实验,我们可以清晰地了解到ESP的协议号为:50。之前我们也学过一些协议号,如OSPF 89,TCP 6,UDP 17等等。

图片


ok,本期就分享到这里了,如果您有更好地见解,欢迎在评论留言,我们一起探讨技术,一起成长!


标签:R1,R3,教你用,eve,192.168,crypto,config,IPsec
来源: https://blog.51cto.com/u_15127557/2701425