第十一章路由ppt课件.ppt

《第十一章路由ppt课件.ppt》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、课程回顾VPN的连接模式有哪两种？哪种模式会添加新的IP包头？常见的对称加密算法有哪三种？哪种最安全？常用的Hash算法有哪两种？ESP协议与AH协议的区别是什么？本章结构在ASA上配置实现IPSecVPNIPSec和地址转换防火墙和路由器的区别地址转换存在的问题及解决方案路由器实现NAT-T路由器的故障诊断与排查应用案例IPSecVPN故障排查IPSecVPN（二）防火墙的故障诊断与排查在ASA上配置实现IPSecVPN应用案例Internet172.16.10.0/2410.10.33.0/24100.0.0.1/30200.0.0.1/30开发数据服务器分公司其它客户端1

2、72.16.0.0/16开发项目小组ASA1ASA2IPSec和地址转换两台设备负载分担Internet公司内网IPSecNAT私有IPVPN网关地址？？地址转换存在的问题及解决方案AH协议不能与NAT设备一同工作，而ESP可以HMAC功能VPN通道地址转换加密数据验证失败解密失败修改包头信息地址转换存在的问题及解决方案ESP协议不能与PAT一同工作解决方案IP头ESP头密文数据ESP尾部TCP头或UDP头IPSecoverTCPIPSecoverUDPNAT-T（NAT穿越）路由器实现NAT-T外网发起建立管理连接或数据连接Router(config)#ipnatinside

3、sourcelistaccess-list-numberinterfacef0/1overloadRouter(config)#ipnatinsidesourcestaticudplocal-ip500interfacef0/1500Router(config)#ipnatinsidesourcestaticudplocal-ip4500interfacef0/14500IPSecVPN故障排查实验环境Internet1.1.1.0/2410.0.0.120.0.0.22.2.2.0/24路由器的故障诊断与排查管理连接的状态状态说明MM_NO_STATEISAKMPSA建立的初

4、始状态；管理连接建立失败也会处于该状态。MM_SA_SETUP对等体之间ISAKMP策略协商成功后处于该状态。MM_KEY_EXCH对等体通过DH算法成功建立共享密钥，此时还没有进行设备验证。MM_KEY_AUTH对等体成功进行设备验证，之后会过渡到QM_IDLE状态。QM_IDLE管理连接成功建立，即将过渡到阶段2的数据连接建立过程。路由器的故障诊断与排查debugcryptoisakmp初始状态阶段1策略协商生成随机数（用于验证）身份验证阶段1连接建立阶段2参数协商创建数据连接的SA教员演示操作过程路由器的故障诊断与排查故障实例一将路由器的加密算法由DES改为3DES故障实

5、例二将路由器的预共享密钥KEY改为与防火墙不同的密钥故障实例三修改路由器的CryptoACL教员演示操作过程路由器的故障诊断与排查debugcryptoipsec协商阶段2的传输集匹配cryptoACLSA建立协商完成教员演示操作过程路由器的故障诊断与排查故障实例四对等体间的传输集不匹配故障实例五配置的cryptoACL错误故障实例六cryptomap中的peer地址配置错误教员演示操作过程ASA的故障诊断与排查showcryptoisakmpsadebugcryptoisakmp阶段1策略协商密钥产生验证过程阶段1连接建立查找匹配的CryptoMap查找匹配的传输集检测Cry

6、ptoACL分配SPIdebugcryptoipsec教员演示操作过程本章总结在ASA上配置实现IPSecVPNIPSec和地址转换防火墙和路由器的区别地址转换存在的问题及解决方案路由器实现NAT-T路由器的故障诊断与排查应用案例IPSecVPN故障排查IPSecVPN（二）防火墙的故障诊断与排查第四章IPSecVPN（二）——上机部分BENET3.0第二学期课程实验案例1：配置实现IPSecVPN的NAT-T需求描述R2路由器模拟ISP服务提供商，R1上配置PAT实现内网对Internet的访问两台防火墙之间建立IPSecVPN，连接穿过NAT设备，配置实现两端对等体成功建立

7、IPSec连接ASA1ASA2ISPNAT-TR1R2实验案例1：配置实现IPSecVPN的NAT-T实现思路在ASA上配置IPSecVPN配置实现NAT穿越学员练习40分钟完成实验案例2：IPSecVPN常见故障排查需求描述观察IPSecVPN的几个常见故障现象及输出结果ASA1ASA2ISPNAT-TR1R2设置故障，查看debug信息实验案例2：IPSecVPN常见故障排查实现思路分别模拟以下故障，观察show、debug命令输出故障一：忘记启用ISAKMP协议故障二：阶段1传输集不匹