VPN实验小结－vpn access server的配置
时间:2007-12-23 来源:不详 作者:迈克DB
（一）vpn access server的配置
实验网络拓扑：
pc（vpn client 4.01）－－－switch－－－router1720 （vpn access server）
pc配置:
ip：10.130.23.242/28
gw：10.130.23.246
1720接口ip：
f0：10.130.23.246/28
lo0：172.16.1.1/24
1720的ios为c1700-k93sy7-mz.122-8.T5.bin
步骤：
1、配置isakmp policy：
crypto isakmp policy 1
encr 3des
authen pre-share
group 2
2、配置vpn client地址池
cry isa client conf address-pool local pool192
ip local pool pool192 192.168.1.1 192.168.1.254
3、配置vpn client有关参数
cry isa client conf group vclient-group
####vclient-group就是在vpn client的连接配置中需要输入的group authentication name。
key vclient-key
####vclient-key就是在vpn client的连接配置中需要输入的group authentication password。
内容来自dedecms
pool pool192 ####client的ip地址从这里选取
####以上两个参数必须配置，其他参数还包括domain、dns、wins等，根据情况进行配置。
4、配置ipsec transform-set
cry ipsec trans vclient-tfs esp-3des esp-sha-hmac
5、配置map模板
cry dynamic-map template-map 1
set transform-set vclient-tfs ####和第四步对应
6、配置vpnmap
cry map vpnmap 1 ipsec-isakmp dynamic template-map ####使用第五步配置的map模板
cry map vpnmap isakmp author list vclient-group ####使用第三步配置的参数authorization
cry map vpnmap client conf address respond ####响应client分配地址的请求
7、配置静态路由
ip route 192.168.1.0 255.255.255.0 fastethernet0
说明几点：
（1）因为1720只有一个fastethernet口，所以用router1720上的lo0地址来模拟router内部网络。
（2）vpn client使用的ip pool地址不能与router内部网络ip地址重叠。
copyright dedecms
（3）10.130.23.0网段模拟公网地址，172.16.1.0网段用于1720内部地址，192.168.1.0网段用于vpn通道。
（4）没有找到设置vpn client获取的子网掩码的办法。看来是ios还不支持这个功能。
（5）关于split tunnel。配置方法：首先，设置access 133 permit ip 172.16.1.0 0.0.0.255 any，答应1720本地网络数据通过tunnel，然后在第三步骤中添加一个参数：acl 133。
1720的完整配置：
VPN1720#sh run
Building configuration...
Current configuration : 1321 bytes
!
version 12.2
service timestamps debug uptime
service timestamps log uptime
no service password-encryption
!
hostname VPN1720
!
enable secret 5 $1$aNmA$b0AqzlCr3MfM5XU0IAmED.
!
mmi polling-interval 60
no mmi auto-configure
文章评论
共有位Admini5网友发表了评论 查看完整内容