6.VPN实验 EZVPN-Work Blog

CIS 0 CCSP VPN 实验作者：现任明教教明教荣誉出品现任朋教教主 VPN 实验 EzVPN 验琥任明教教主出品 Easy VPN Overview · Easy VPN 也叫做 EzVPNC Cisco 为远程用户，分支 0 秆 ice 提供的一一过种 Remote Access VPN 解达方 0 （统一的框架） · EZVPN 提在了中心的 VPN 管理，动态的策略分发，降亍 Remote Access VPN 部署的复杂性，并且增加了扩展和灵活性。 VPN 实验 EzVPN 验琥任明教教主出品 Easy VPN 特点介绍 · Easy VPN 是 Cisco 私揀术《、尸罷运用在 Cisco 设备之间。 · Easy VPN 适用于》心点固定地址，客户端动态地址的环境（小超市，服装专卖店，或者彩票卓 0 · Easy VPN 在中心站点配置安全策略，并且当客户连接的时候推送给客户，降低了分支站点的管理负担。 ccspvpt•g• EzVPN Easy VPN tpseevpN tunnel Ipsec VPN Tunnel l. Cisco Easy VPN Server 2. Cisco Easy VPN Client A. Software Client B. Hardware Client LAN VPN 实验 EzVPN Easy VPN 验琥任明教教主出品三种操作模式 · Client Mode (also known as PAV mode): （客户获取地址，并且转换身狺网络到这个地址访问中心站点，只能客户访中心《中无法访问客户网络） · Network Extension Mode （客户不获取地址，客户使用真实的网络访问中心站点，客户和中心网络都能相互访问） · Network Extension Plus+ Mode. （类似于 Network Extension Mode ，只是客户会获取一个用于网管目的的 | P 地址） VPNre EzVPN Easy VPN IKE Phaselfr?d • Phase 1 1. Preshared key (AM) ( fLihICisco fifi{JGroup+Keyiki1Æjj R, 2. digital certificate (MM) VPN 实验验琥任明教教主出品 EzVPN AM 模式介绍：第一个包 IKE PI 略因为没有穫先协裔《 0 ．所以双力榧必酐置为 DH 密阴交认证信息明文传输 VPN 实验 EzVPN CCSPVPN-T•• 任明教教主出品 AM 模式介绍：第三个包 CKYR 《》 0 噁》吖町 SA P• 山以 d ，、面是摘自于考官书的 AM 示意图 CCSPVPNT-* EzVPN Easy VPN IKE Phasel • Phase 1. XAUTH (Extended Authentication) 2. MODE-CFC (Mode Configuration (IP}IUJIE, VPNa:» EzVPN CCSPVPNT-• Easy VPN IKE Phase 2 Easy VPN IKE Phase —R-RhJ esp-des esp-md5-hmacbi#esp-3des esp-md5-hamc%I'Zikfi 0 VPN 实验 CCSPVPN-T•• 任明教教主出品 EzVPN EasyVPN 实验拓扑（软件客户端） 100 」在 24 D ； 202 1 闐巧 (ESP'AH) DIP 巧 0t1 巧 0 二、通讯点： 3 ， 1 土 1 与 10 一 1 《 1 ，．，． 10 4 加密点： 6t12 & 1 ． 1 与 2 ． 0 土 1 ．意，加密点不等于通讯点为 Tunnel MO VPNa:» EzVPN CCSPVPNT-• Easy VPN ÅdY1:P1 Policy crypto isa pol 10 auth pre-share group 2 hash md5 crypto isakmpeiient config group ipsecgroup <iJsilT MJGroup + Key> key cisco VPN" EzVPN Software CCSPVPN" Client VPNa:» EzVPN CCSPVPNT-• EzVPN Feature 1:Split Tunneling Without Split Tunneling nttp%/wwwcisco.com/ Central Site VPN Head-End EzVPNtRikÄüå%Tunnel Everything, With Split Tunneling Central Site c, VPN Head-End EzVPNüJPUjåüEYSplit Tunnelingft*, WWI}, VPNa:» EzVPN CCSPVPNT-• ÅdYSplit Tunneling ip access-list extended Split-Tunn permit ip 10.1.1.0 0.0.0265 any crypto isakmp clienvconfig group ipsecgroup acl Split-Tunnel VPNa:» EzVPN i)llJijtS CCSPVPNT-• lit Tunneling VPNa:» EzVPN CCSPVPNT-• EzVPN Feature 2:save-password c, 00. VPNa:» EzVPN CCSPVPNT-• æysave-password crypto isakmp client config group ipsecgroub save-password 00. VPNa:» EzVPN user Cisco CCSPVPNT-• iUllJijtsave-password 202. 1.1 Cisco VPN 实验 EzVPN CCSPVPN-T•• 任明教教主出品 EzVPN Feature 3:backup-gateway · 当客户第一次连接成功篇，中心推送 backup-gateway 策略给客户，当下一次无法再连接主用站点时，可以连接备用网关《 VPNa:» EzVPN CCSPVPNT-• Phdhbackup-gateway crypto isakmp client config group ipsecgroub backup-gateway Secondgw.mingjiao.org backup-gateway thirdgw.mingjiao.org VPNa:» EzVPN CCSPVPNT-• il)llJiRbackup-gateway Entry: TEST T. st Only Most : CISCO Add VPN 实验 CCSPVPN-T•• 任明教教主出品 EzVPN EasyVPN 实验拓扑（硬件客户端）引 P; 12 & 1 ． 1 》《 · ad “ S 12 ， 1 」． 1 Pe 0 “ d 旧： 202 100 ． 1 ． 1 (ESP'AHI DIP 1 1 · 1 、 10 通讯点： 1 刀． 1 ， 1 ， 1 与 10 ． 1 ， 1 ， 10 （客户碘式 S 咿不 1 12 1 ． 1 》 ad S ， n ， 1 孬 D 《， p P002 100 1 ． 1 { 下 S H } 1m1 ． f10 通讯点：閻． 1 ． 1 ． 10 与 10 ． 1 ． 1 ． 10 （网络扩展）加密点： 61 ． 128 ． 1 」与閥 2 ． 100 ． 1 ． 1 意：加密点不等于通讯点为 Tunn M 。 de $VPN 实验 EzVPN CCSPVPN-T•• 任明教教主出品 Easy \/PN Client 手动初始化命令 Client ：如果是 "connect manualt 用如下命令初始化连接 Client#crypto ipsee client ezvpn connect 如果需要 AUTH 使用如下命令输入用户名和密码 Client#crypto ipsec client ezvpn xauth$ VPNa:» EzVPN MEasy VPN Client how crypto ipsec client ezv n CCSPVPNT-• Easy VP enoe ase: •raotest Tunnel name : ni Inside interface sid.mr Outside interfa Outsid.an Current State: EzVPN Last Even Address : 25. Split Tunnel List: 1 : 10.1.1.0 Address Mask 255.255.255.0 Protocol . Oxo Source Port : Dest Port >åREzVPN Peer urren z eer : dC up a ewavs Secondgw . ningj iao.org (1): thirdgx.mingjiao.org VPN 实验 EzVPN 获得地址 PAT 古访叵 I 中心能否访问 Cli 凹 t CCSPVPN-T•• 任明教教主出品 Easy VPN 各种模式特点 Cl 濮、 1 （ 2 +TunnelSplit N 、、 Ork 不能不能 EzVPN CCSP VPN-T•* 任明教教主出品 DVT | 技术介绍替代传统的 Dynamic map 配置 · 支持加密单播与组播。支持 QoS ， FW TNetFlow ， ACL ， NAT 和 VRF 技术。 · 支持 RAD | US 服务器推送基于用户和组的策略。 · Clone （克隆） virtualtemplate 配置，动态创建 virtual access interfaces VPNa:» EzVPN user 1 Remote LAN 3rldge/ Router Single User Client with ISDN card Single user Client CCSPVPNT-• DVTlXf'FüE o DSL Physi:al interlace Local authorization Virtual auth template . interlace Virtual interface I. User I calls the router. 2. Router authenticates I-Jser 1. 3. IPsec clones virtual access interface from virtual tem late interface. VPNa:» CCSPVPNT-• EzVPN Packet Flow into the IPsec Tunnel 4. Encrypted packets are passed out ot the physical outside interface. 1. Clear-text IP packets enter the router. Inside interlace Forwarding engine Encryption 3. Encrypted packets are forwarded to the Insido forwarding engine. interlace Outside interlace 2. Packets are routed to virtual interlace. Outside interlace VPNA: 验 CCSPVPNC 验任明教教主出品 EZVPN D | 配置拓扑 VPNa:» EzVPN CCSPVPNT-• DVTI Server Policy crypto isa pol 10 auth pre-share group 2 hash md5 crypto isakmpeiient config group ipsecgroup <iJsilT MJGroup + Key> key cisco $VPNa:» EzVPN DVTI Server CCSPVPNT-• interface Virtual-TemplateIOO type tunnel\ ip unnumbered FastEthernetO/O ( unnumberedffÄ'$4fiip%hE ) tunnel source FastEthernetO/O tunnel mode ipsec ipv4 tunnel protection ipsec profile ipsecprof$ VPNa:» EzVPN CCSPVPNT-• DVTI Client 1 interface Virtual-Template56 type tunn ip unnumbered LoopbackO crypto ipsec client cist connect auto group ipsecgroup key cisco mode client peer 202.100.1.1 virtual-interface 56