Настройка Site-to-Site VPN (Router-Router)

Инструкция демонстрирует процесс настройки Site-to-Site VPN, обеспечивая прозрачный доступ к внутренним ресурсам между территориально разделенными сетями.
Эмуляция выполнена средствами сетевой лаборатории UNetLab с использованием образов маршрутизаторов Dynamips c3725-adventerprisek9-mz124-15.image, а также qemu машин Windows XP SP3.

Оборудование
Маршрутизатор центрального офиса (CO-GW) Dynamips c3725
Маршрутизатор удаленного офиса (FIL-GW) Dynamips c3725

Маршрутизатор (Internet) Dynamips c3725 эмулирует сеть Интернет

Компьютер (CO-Host) qemu машина Windows XP SP3 - эмуляция клиента в Центральном офисе

Компьютер (FIL-Host) qemu машина Windows XP SP3 - эмуляция клиента в Удаленном офисе

Сети и адреса

2.2.1.2 - внешний IP для сети Центрального офиса

192.168.1.1 - основной шлюз для сети Центрального офиса (внутренний интерфейс CO-GW)

192.168.1.0/24 - внутренняя сеть Центрального офиса

2.2.2.2 - внешний IP для сети Удаленного офиса

192.168.2.1 - основной шлюз для сети Удаленного офиса (внутренний интерфейс FIL-GW)

192.168.2.0/24 - внутренняя сеть Удаленного офиса

Эмуляция сети Интернет

enable
configure terminal
interface FastEthernet0/0
description site1
ip address 2.2.1.1 255.255.255.252
no shutdown
interface FastEthernet0/1
description site2
ip address 2.2.2.1 255.255.255.252
no shutdown
exit
write mem

Конфигурация маршрутизатора Центрального офиса (CO-GW)

enable
configure terminal
int fa0/0
ip nat outside
exit
int fa0/1
ip nat inside
exit
ip access-list extended FOR-NAT
deny ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
permit ip 192.168.1.0 0.0.0.255 any
exit
ip nat inside source list FOR-NAT interface fa0/0 overload
ip route 0.0.0.0 0.0.0.0 2.2.1.1
crypto isakmp policy 1
encryption 3des
hash md5
authentication pre-share
group 2
exit
crypto isakmp key cisco address 2.2.2.2
crypto ipsec transform-set TS esp-3des esp-md5-hmac
exit
ip access-list extended FOR-VPN
permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
exit
crypto map CMAP 10 ipsec-isakmp
set peer 2.2.2.2
set transform-set TS
match address FOR-VPN
exit
interface fa0/0
crypto map CMAP
exit
interface FastEthernet0/0
ip address 2.2.1.2 255.255.255.252
no shutdown
exit
interface FastEthernet0/1
ip address 192.168.1.1 255.255.255.0
no shutdown
exit
exit
write mem

Конфигурация маршрутизатора Удаленного офиса (FIL-GW)

enable
configure terminal
int fa0/0
ip nat outside
exit
int fa0/1
ip nat inside
exit
ip access-list extended FOR-NAT
deny ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255
permit ip 192.168.2.0 0.0.0.255 any
exit
ip nat inside source list FOR-NAT interface fa0/0 overload
ip route 0.0.0.0 0.0.0.0 2.2.2.1
crypto isakmp policy 1
encryption 3des
hash md5
authentication pre-share
group 2
exit
crypto isakmp key cisco address 2.2.1.2
crypto ipsec transform-set TS esp-3des esp-md5-hmac
exit
ip access-list extended FOR-VPN
permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255
exit
crypto map CMAP 10 ipsec-isakmp
set peer 2.2.1.2
set transform-set TS
match address FOR-VPN
exit
interface fa0/0
crypto map CMAP
exit
interface FastEthernet0/0
ip address 2.2.2.2 255.255.255.252
no shutdown
exit
interface FastEthernet0/1
ip address 192.168.2.1 255.255.255.0
no shutdown
exit
exit
write mem

Проверка
Проверка связи. Выполнить команду ping с компьютера Центрального офиса в Филиал, и наоборот.

Проверка технологического туннеля на маршрутизаторах. Выполнить команду show crypto isakmp sa из привилегированного режима.

Проверка ipsec туннеля. Выполнить команду show crypto ipsec sa из привилегированного режима.