四. NAT穿越內網路由v p n設置
如圖1所示，Router A爲某機構總部網關，Router D和Router E是兩個分支網關，Router B和Router C爲分支提供NAT轉換。要求：爲了接受協商發起端的訪問控制列表設置，Router A採用安全模板方式分別與Router D和Router E建立IPsec ***，爲總部和分支流量進行加密傳輸。
圖1 IPSec ***多分支安全模板NAT穿越功能的配置舉例組網圖
設備 | 接口 | IP地址 | 設備 | 接口 | IP地址 |
Router A | Eth0/0 | 1.0.0.60/24 | Router D | Eth0/0 | 10.0.1.2/24 |
Eth0/1 | 172.0.0.1/24 | Eth0/1 | 192.168.1.1/24 | ||
Router B | Eth0/0 | 1.0.0.1/24 | Router E | Eth0/0 | 10.0.2.2/24 |
Eth0/1 | 10.0.1.1/24 | Eth0/1 | 192.168.2.1/24 | ||
Router C | Eth0/0 | 1.0.0.2/24 | |||
Eth0/1 | 10.0.2.1/24 |
3.2 配置思路
· 爲了穿越NAT，總部與分支之間需要配置成野蠻模式。
· Router A採用安全模板方式時不需要配置ACL，接受協商發起端的ACL。但Router D和Router E需要配置ACL，使特定流量匹配安全策略；
· 爲了訪問總部外網接口，Router D和Router E必須配置靜態路由。
3.3 使用版本
本舉例是在Release 2317版本上進行配置和驗證的。
3.4 配置注意事項
· 在配置IPsec之前，需要保證總部與分支間路由可達。
· ACL一定不要最後添加一條deny ip的規則，該配置會導致不需要加密的流量被丟棄。
3.5 配置步驟
3.5.1 RouterA的配置
# 配置接口Ethernet0/1的IP地址。
<RouterA> system-view
[RouterA] interface ethernet 0/1
[RouterA-Ethernet0/1] ip address 172.0.0.1255.255.255.0
[RouterA-Ethernet0/1] quit
# 配置接口Ethernet0/0的IP地址。
[RouterA] interface ethernet 0/0
[RouterA-Ethernet0/0] ip address 1.0.0.60255.255.255.0
[RouterA-Ethernet0/0] quit
# 配置到NAT設備的靜態路由，目的地址爲NAT轉換後的地址。
[RouterA] ip route-static 11.0.0.0 255.0.0.01.0.0.1
[RouterA] ip route-static 12.0.0.0 255.0.0.01.0.0.2
# 配置到分支內網的靜態路由。
[RouterA] ip route-static 192.168.1.0255.255.255.0 1.0.0.1
[RouterA] ip route-static 192.168.2.0255.255.255.0 1.0.0.2
# 配置本端安全網關的名字爲center。
[RouterA] ike local-name center
# 創建一個IKE對等體branch1，並進入IKE-Peer視圖。
[RouterA] ike peer branch1
# 配置IKE第一階段的協商模式爲野蠻模式。
[RouterA-ike-peer-branch1] exchange-modeaggressive
# 選擇IKE第一階段的協商過程中使用ID的類型爲name。
[RouterA-ike-peer-branch1] id-type name
# 配置對端安全網關的名字。
[RouterA-ike-peer-branch1] remote-namebranch1
# 配置預共享密鑰。
[RouterA-ike-peer-branch1] pre-shared-key 123
# 啓用NAT穿越功能。
[RouterA-ike-peer-branch1] nat traversal
[RouterA-ike-peer-branch1] quit
# 配置IKE對等體branch2。
[RouterA] ike peer branch2
[RouterA-ike-peer-branch2] pre-shared-key 123
[RouterA-ike-peer-branch2] exchange-modeaggressive
[RouterA-ike-peer-branch2] id-type name
[RouterA-ike-peer-branch2] remote-namebranch2
[RouterA-ike-peer-branch2] nat traversal
[RouterA-ike-peer-branch2] quit
# 採用安全提議的缺省配置。
[RouterA] ipsec proposal def
# 配置ESP協議採用md5認證算法。
[RouterA-ipsec-transform-set-def] espauthentication-algorithm md5
[RouterA-ipsec-transform-set-def] quit
# 創建IPsec安全策略模板branch1。
[RouterA] ipsec policy-template branch1 1
[RouterA-ipsec-policy-template-branch1-1]ike-peer branch1
[RouterA-ipsec-policy-template-branch1-1]proposal def
[RouterA-ipsec-policy-template-branch1-1]quit
# 引用IPsec安全策略模板創建一條IPsec安全策略。
[RouterA] ipsec policy branch 1 isakmp templatebranch1
# 創建IPsec安全策略模板branch2。
[RouterA] ipsec policy-template branch2 1
[RouterA-ipsec-policy-template-branch2-1]ike-peer branch2
[RouterA-ipsec-policy-template-branch2-1]proposal def
[RouterA-ipsec-policy-template-branch2-1]quit
# 引用IPsec安全策略模板創建一條IPsec安全策略。
[RouterA] ipsec policy branch 2 isakmptemplate branch2
# 在接口Ethernet0/0上應用安全策略。
[RouterA] interface ethernet 0/0
[RouterA-Ethernet0/0] ipsec policy branch
[RouterA-Ethernet0/0] quit
3.5.2 RouerB的配置
# 配置接口Ethernet0/1的IP地址。
<RouterB> system-view
[RouterB] interface ethernet 0/1
[RouterB-Ethernet0/1] ip address 10.0.1.1255.255.255.0
[RouterB-Ethernet0/1] quit
# 配置接口Ethernet0/0的IP地址。
[RouterB] interface ethernet 0/0
[RouterB-Ethernet0/0] ip address 1.0.0.1255.255.255.0
[RouterB-Ethernet0/0] quit
# 創建NAT轉換地址池。
[RouterB] nat address-group 0 11.0.0.111.0.0.10
# 創建ACL2000,定義需要NAT轉換的數據流。
[RouterB] acl number 2000
[RouterB-acl-basic-2000] rule 0 permit source10.0.1.0 0.0.0.255
[RouterB-acl-basic-2000] quit
# 在接口下配置訪問控制列表和地址池關聯。
[RouterB] interface ethernet 0/0
[RouterB-Ethernet0/0] nat outbound 2000address-group 0
[RouterB-Ethernet0/0] quit
3.5.3 RouerC的配置
# 配置接口Ethernet0/0的IP地址。
<RouterC> system-view
[RouterC] interface ethernet 0/0
[RouterC-Ethernet0/0] ip address 1.0.0.2255.255.255.0
[RouterC-Ethernet0/0] quit
# 配置接口Ethernet0/1的IP地址。
[RouterC] interface ethernet 0/1
[RouterC-Ethernet0/1] ip address 10.0.2.1255.255.255.0
[RouterC-Ethernet0/1] quit
# 創建NAT轉換地址池。
[RouterC] nat address-group 0 12.0.0.112.0.0.10
# 創建ACL2000,定義需要NAT轉換的數據流。
[RouterC] acl number 2000
[RouterC-acl-basic-2000] rule 0 permit source10.0.2.0 0.0.0.255
[RouterC-acl-basic-2000] quit
# 在接口下配置訪問控制列表和地址池關聯。
[RouterC] interface ethernet 0/0
[RouterC-Ethernet0/0] nat outbound 2000address-group 0
[RouterC-Ethernet0/0] quit
3.5.4 RouerD的配置
# 配置接口Ethernet0/0的IP地址。
<RouterD> system-view
[RouterD] interface ethernet 0/0
[RouterD-Ethernet0/0] ip address 10.0.1.2255.255.255.0
[RouterD-Ethernet0/0] quit
# 配置接口Ethernet0/1的IP地址。
[RouterD] interface ethernet 0/1
[RouterD-Ethernet0/1] ip address 192.168.1.1255.255.255.0
[RouterD-Ethernet0/1] quit
# 配置訪問外網的默認路由。
[RouterD] ip route-static 0.0.0.0 0.0.0.010.0.1.1
# 創建ACL3000,定義需要IPsec保護的數據流。
[RouterD] acl number 3000
[RouterD-acl-adv-3000] rule 0 permit ip source192.168.1.0 0.0.0.255 destination
172.0.0.0 0.0.0.255
[RouterD-acl-adv-3000] quit
# 配置本端安全網關的名字爲branch1。
[RouterD] ike local-name branch1
# 創建一個IKE對等體，並進入IKE-Peer視圖。
[RouterD] ike peer center
# 配置IKE第一階段的協商模式爲野蠻模式。
[RouterD-ike-peer-center] exchange-modeaggressive
# 配置預共享密鑰。
[RouterD-ike-peer-center] pre-shared-key 123
# 選擇IKE第一階段的協商過程中使用ID的類型爲name。
[RouterD-ike-peer-center] id-type name
# 配置對端安全網關的名字。
[RouterD-ike-peer-center] remote-name center
# 配置遠端地址爲總部網關的出接口地址。
[RouterD-ike-peer-center] remote-address1.0.0.60
# 啓用NAT穿越功能。
[RouterD-ike-peer-center] nat traversal
[RouterD-ike-peer-center] quit
# 採用安全提議的缺省配置。
[RouterD] ipsec proposal def
# 配置ESP協議採用md5認證算法。
[RouterD-ipsec-transform-set-def] espauthentication-algorithm md5
[RouterD-ipsec-transform-set-def] quit
# 創建IPsec安全策略center，其協商方式爲isakmp。
[RouterD] ipsec policy center 1 isakmp
[RouterD-ipsec-policy-isakmp-center-1]security acl 3000
[RouterD-ipsec-policy-isakmp-center-1]ike-peer center
[RouterD-ipsec-policy-isakmp-center-1]proposal def
[RouterD-ipsec-policy-isakmp-center-1] quit
# 在接口Ethernet0/0上應用安全策略。
[RouterD] interface ethernet 0/0
[RouterD-Ethernet0/0] ipsec policy center
[RouterD-Ethernet0/0] quit
3.5.5 RouerE的配置
# 配置接口Ethernet0/0的IP地址。
<RouterE> system-view
[RouterE] interface ethernet 0/0
[RouterE-Ethernet0/0] ip address 10.0.2.2255.255.255.0
[RouterE-Ethernet0/0] quit
# 配置接口Ethernet0/1的IP地址。
[RouterE] interface ethernet 0/1
[RouterE-Ethernet0/1] ip address 192.168.2.1255.255.255.0
[RouterE-Ethernet0/1] quit
# 配置訪問外網的默認路由。
[RouterE] ip route-static 0.0.0.0 0.0.0.010.0.2.1
# 創建ACL3000,定義需要IPsec保護的數據流。
[RouterE] acl number 3000
[RouterE-acl-adv-3000] rule 0 permit ipsource 192.168.2.0 0.0.0.255 destination
172.0.0.0 0.0.0.255
[RouterE-acl-adv-3000] quit
# 配置本端安全網關的名字爲branch2。
[RouterE] ike local-name branch2
# 創建一個IKE對等體，並進入IKE-Peer視圖。
[RouterE] ike peer center
# 配置IKE第一階段的協商模式爲野蠻模式。
[RouterE-ike-peer-center] exchange-modeaggressive
# 配置預共享密鑰。
[RouterE-ike-peer-center] pre-shared-key 123
# 選擇IKE第一階段的協商過程中使用ID的類型爲name。
[RouterE-ike-peer-center] id-type name
# 配置對端安全網關的名字。
[RouterE-ike-peer-center] remote-name center
# 配置遠端地址爲總部網關的出接口地址。
[RouterE-ike-peer-center] remote-address1.0.0.60
# 啓用NAT穿越功能。
[RouterE-ike-peer-center] nat traversal
[RouterE-ike-peer-center] quit
# 採用安全提議的缺省配置。
[RouterE] ipsec proposal def
# 配置ESP協議採用md5認證算法。
[RouterE-ipsec-transform-set-def] espauthentication-algorithm md5
[RouterE-ipsec-transform-set-def] quit
# 創建IPsec安全策略center，其協商方式爲isakmp。
[RouterE] ipsec policy center 1 isakmp
[RouterE-ipsec-policy-isakmp-center-1]security acl 3000
[RouterE-ipsec-policy-isakmp-center-1]ike-peer center
[RouterE-ipsec-policy-isakmp-center-1]proposal def
[RouterE-ipsec-policy-isakmp-center-1] quit
# 在接口Ethernet0/0上應用安全策略。
[RouterE] interface ethernet 0/0
[RouterE-Ethernet0/0] ipsec policy center
[RouterE-Ethernet0/0] quit