IPsec VPN高可用性实验报告

姓名：廖正有  

实验目的：公司总部搭建高可用性VPN，如果active设备出现故障了可以快速切换到standby设备上，实现数据的冗余备份作用。

1，搭建拓扑

2，根据拓扑规划IP地址和在branch，inside创建lo0口

Branch(config)#int lo0

Branch(config-if)#ip add 1.1.1.1 255.255.255.0

Branch(config-if)#int f0/0

Branch(config-if)#ip add 202.100.1.1 255.255.255.0

Branch(config-if)#no sh

Isp(config)#int f0/0

Isp(config-if)#ip add 202.100.1.10 255.255.255.0

Isp(config-if)#no sh

Isp(config-if)#int f0/1

Isp(config-if)#ip add 61.128.1.10 255.255.255.0

Isp(config-if)#no sh

Active(config)#int f0/0

Active(config-if)#ip add 61.128.1.1 255.255.255.0

Active(config-if)#no sh

Active(config-if)#int f0/1

Active(config-if)#ip add 10.1.1.10 255.255.255.0

Active(config-if)#no sh

standby(config)#int f0/0

standby(config-if)#ip add 137.75.5.1 255.255.255.0

standby(config-if)#no sh

standby(config-if)#int f0/1

standby(config-if)#ip add 10.1.1.20 255.255.255.0

standby(config-if)#no sh

inside(config)#int lo0

inside(config-if)#ip add 2.2.2.2 255.255.255.0

inside(config-if)#int f0/0

inside(config-if)#ip add 10.1.1.1 255.255.255.0

inside(config-if)#no sh

3，在branch和active，standby上配置一条默认路由，下一跳指向ISP

Branch(config)#ip route 0.0.0.0 0.0.0.0 202.100.1.10

Active(config)#ip route 0.0.0.0 0.0.0.0 61.128.1.10

standby(config)#ip route 0.0.0.0 0.0.0.0 137.75.5.10

4，测试，branch可以ping通active，standby

5，分别在active，standby和inside上启用ospf 10  area 0

Active(config)#router ospf 10

Active(config-router)#net 10.1.1.10 0.0.0.0 area 0

Active(config-router)#default-information originate always

standby(config)#router ospf 10

standby(config-router)#net 10.1.1.20 0.0.0.0 area 0

standby(config-router)#default-information originate always

inside(config)#router ospf 10               

inside(config-router)#net 2.2.2.2 0.0.0.0 area 0

inside(config-router)#net 10.1.1.1 0.0.0.0 area 0

5，在branch，active和standby上配置Ike的第一阶段，协商策略和认证，并开启DPD功能

Branch(config)#crypto isakmp policy 10

Branch(config-isakmp)#authen pre-share

Branch(config-isakmp)#exit

Branch(config)#crypto isakmp key 0 cisco address 61.128.1.1

Branch(config)#crypto isakmp key 0 h3c address 137.75.5.1

Branch(config)#crypto isakmp keepalive 10 periodic

Active(config)#crypto isakmp policy 10

Active(config-isakmp)#authen pre-share

Active(config-isakmp)#exit

Active(config)#crypto isakmp key 0 cisco address 202.100.1.1

Active(config)#crypto isakmp keepalive 10 periodic

standby(config)#crypto isakmp policy 10

standby(config-isakmp)#authen pre-share

standby(config-isakmp)#exit

standby(config)#crypto isakmp key 0 h3c address 202.100.1.1

standby(config)#crypto isakmp keepalive 10 periodic

6，在branch，active和standby上配置Ike的第二阶段，感兴趣流和加密

Branch(config)#crypto ipsec transform-set cisco esp-des esp-md5-hmac

Branch(cfg-crypto-trans)#mode tunnel

Branch(cfg-crypto-trans)#exit

Branch(config)#ip access-list extend 

Branch(config-ext-nacl)#permit ip host 1.1.1.1 host 2.2.2.2

Active(config)#crypto ipsec transform-set cisco esp-des esp-md5-hmac

Active(cfg-crypto-trans)#mode tunnel

Active(cfg-crypto-trans)#exit

Active(config)#ip access-list extend 

Active(config-ext-nacl)#permit ip host 2.2.2.2 host 1.1.1.1

standby(config)#crypto ipsec transform-set cisco esp-des esp-md5-hmac

standby(cfg-crypto-trans)#mode tunnel

standby(cfg-crypto-trans)#exit

standby(config)#ip access-list extend 

standby(config-ext-nacl)#permit ip host 2.2.2.2 host 1.1.1.1

7，在branch，active和standby上定义静态感兴趣流

Branch(config)#crypto map cisco 10 ipsec-isakmp

Branch(config-crypto-map)#match address 

Branch(config-crypto-map)#set peer 61.128.1.1 def

Branch(config-crypto-map)#set peer 137.75.5.1

Branch(config-crypto-map)#set transform-set cisco

Active(config)#crypto map cisco 10 ipsec-isakmp

Active(config-crypto-map)#match address 

Active(config-crypto-map)#reverse-route tag 10

Active(config-crypto-map)#set peer 202.100.1.1

Active(config-crypto-map)#set transform-set cisco

standby(config)#crypto map cisco 10 ipsec-isakmp

standby(config-crypto-map)#match address 

standby(config-crypto-map)#reverse-route tag 10

standby(config-crypto-map)#set peer 202.100.1.1

standby(config-crypto-map)#set transform-set cisco

8，在branch，active，standby上物理口调用

Branch(config-crypto-map)#int f0/0

Branch(config-if)#crypto map cisco

Active(config-crypto-map)#int f0/0

Active(config-if)#crypto map cisco

standby(config-crypto-map)#int f0/0

standby(config-if)#crypto map cisco

9，在active，standby上用route-map绑定静态路由

Active(config)#route-map  permit

Active(config-route-map)#match tag 10

standby(config)#route-map  permit 

standby(config-route-map)#match tag 10

9，在active，standby上将静态重分发进ospf中

Active(config)#router ospf 10

Active(config-router)#redistribute static route-map  subnets

standby(config)#router ospf 10

standby(config-router)#redistribute static route-map  subnets

10，测试，在branch上带源ping inside的lo0，走的路由是active

10，再次测试，在branch上带源ping inside的lo0，走的路由是standby