IPSec-VPN穿越NAT的通信實(shí)驗(yàn).doc

《IPSec-VPN穿越NAT的通信實(shí)驗(yàn).doc》由會(huì)員上傳分享，免費(fèi)在線閱讀，更多相關(guān)內(nèi)容在教育資源-天天文庫(kù)。

1、實(shí)驗(yàn)五IPSecVPN穿越NAT的通信實(shí)驗(yàn)【實(shí)驗(yàn)名稱】IPSecVPN穿越NAT的通信實(shí)驗(yàn)【實(shí)驗(yàn)?zāi)康摹繉W(xué)習(xí)配置SitetoSite的IPSecVPN隧道，加深對(duì)IPSec協(xié)議的理解。并且體會(huì)IPSecVPN穿越NAT的通信?！颈尘懊枋觥考僭O(shè)北京的某公司在上海開了新的分公司，分公司要遠(yuǎn)程訪問(wèn)總公司的各種服務(wù)器資源，例如：CRM系統(tǒng)、FTP系統(tǒng)等。Internet上的網(wǎng)絡(luò)傳輸本身存在安全隱患，這家公司希望通過(guò)采用IPSecVPN技術(shù)實(shí)現(xiàn)數(shù)據(jù)的安全傳輸。上海的分公司組網(wǎng)的時(shí)候使用私有地址，在出口部署NAT將私

2、有地址轉(zhuǎn)換為公有地址來(lái)接入互聯(lián)網(wǎng)，就是說(shuō)兩臺(tái)VPN網(wǎng)關(guān)之間還存在NAT設(shè)備。從原理來(lái)說(shuō)，NAT和IPSec存在一定的矛盾，因此當(dāng)在有NAT設(shè)備的環(huán)境，傳統(tǒng)的IPSecVPN會(huì)出現(xiàn)無(wú)法正常工作的現(xiàn)象。但銳捷VPN產(chǎn)品，遵循IETF公布的最新穿越NAT的標(biāo)準(zhǔn)，良好的實(shí)現(xiàn)了IPSecVPN對(duì)NAT設(shè)備的穿越。【需求分析】需求：解決上海分公司和北京總公司之間通過(guò)Internet進(jìn)行信息安全傳輸?shù)膯?wèn)題分析：IPSecVPN技術(shù)通過(guò)隧道技術(shù)、加解密技術(shù)、密鑰管理技術(shù)、和認(rèn)證技術(shù)有效的保證了數(shù)據(jù)在Internet網(wǎng)絡(luò)

3、傳輸?shù)陌踩?，是目前最安全、使用最廣泛的VPN技術(shù)。因此我們可以通過(guò)建立IPSecVPN的加密隧道，實(shí)現(xiàn)分公司和總公司之間的信息安全傳輸。另外，VPN設(shè)備還必須支持NAT穿越技術(shù)?！緦?shí)驗(yàn)拓?fù)洹縑PN設(shè)備Aeht0eht1eht0eht1PC1PC2NAT-RVPN設(shè)備BF0/0F0/1【實(shí)驗(yàn)設(shè)備】設(shè)備型號(hào)數(shù)量銳捷VPN設(shè)備RG-WALLV502臺(tái)銳捷路由器設(shè)備1臺(tái)Windows系統(tǒng)的PC機(jī)2臺(tái)直連線2根交叉線2根【預(yù)備知識(shí)】1、網(wǎng)絡(luò)基礎(chǔ)知識(shí)、網(wǎng)絡(luò)安全基礎(chǔ)知識(shí)、VPN基礎(chǔ)知識(shí)；2、IPSec協(xié)議的基本內(nèi)容

4、、其工作模式；3、IKE協(xié)議的基本工作原理；4、IPSecVPN不能穿越NAT的原因；5、IPSecVPN穿越NAT的原理?！緦?shí)驗(yàn)原理】?jī)蓚€(gè)局域網(wǎng)出口的VPN設(shè)備（A和B）之間通過(guò)IKE自動(dòng)協(xié)商建立起IPSec的VPN加密隧道。使得這兩個(gè)局域網(wǎng)內(nèi)部的PC機(jī)1和PC機(jī)2之間的通信，在這兩個(gè)局域網(wǎng)間（VPN設(shè)備A到VPN設(shè)備B的路徑）是被加密傳輸?shù)摹PN網(wǎng)關(guān)之間存在NAT設(shè)備，銳捷VPN網(wǎng)關(guān)已經(jīng)實(shí)現(xiàn)了NAT穿越，并且能自動(dòng)發(fā)現(xiàn)NAT設(shè)備，因此對(duì)于VPN設(shè)備而言配置中不需要對(duì)NAT環(huán)境作做任何特殊設(shè)置。但需

5、要注意，在NAT環(huán)境下，身份認(rèn)證方式必須采用預(yù)共享密鑰方式中的自定義標(biāo)識(shí)方式，或者是數(shù)字簽名方式，不可以采用預(yù)共享密鑰的地址標(biāo)識(shí)方式?！緦?shí)驗(yàn)步驟】第一步：準(zhǔn)備好PC1和PC2后，先在PC1和PC2上安裝VPN管理軟件（見隨機(jī)附帶的光盤）第二步：搭建圖示實(shí)驗(yàn)拓?fù)?，然后配置PC1、PC2、VPN設(shè)備A、VPN設(shè)備B、route的IP及必要路由，路由器上要配置NAT。IP地址配置如下：VPN設(shè)備A的eht1口地址：192.168.1.1VPN設(shè)備A的eth0口地址：10.1.1.1PC1的IP地址：192.1

6、68.1.2PC1的網(wǎng)關(guān)地址：192.168.1.1VPN設(shè)備B的eth1口地址：192.168.2.1VPN設(shè)備B的eth0口地址：10.1.2.1PC2的IP地址：192.168.2.2PC2的網(wǎng)關(guān)地址：192.168.2.1Route的F0/0地址:10.1.1.2Route的F0/1地址:10.1.2.2注意：PC機(jī)及路由器的詳細(xì)配置這里省略，請(qǐng)參考相關(guān)操作手冊(cè)。RG-WALLV50設(shè)備接口標(biāo)識(shí)為“WAN”口，對(duì)應(yīng)系統(tǒng)內(nèi)部顯示為“eth1”的接口；接口標(biāo)識(shí)為“LAN”口，對(duì)應(yīng)系統(tǒng)內(nèi)部顯示為“et

7、h0”的接口。環(huán)境中有NAT，需要指出那個(gè)設(shè)備是NAT設(shè)備，并且配置了怎樣的NAT規(guī)則。1、VPN設(shè)備A接口及缺省路由配置如下：1)通過(guò)PC1的超級(jí)終端，在命令行下配置VPN設(shè)備A的eth1口地址，操作如下：注意：銳捷VPN出廠時(shí)eth1口默認(rèn)地址即為192.168.1.1，因此你可以先查看接口配置，如果的確是如此則可以免去該配置步驟。2)通過(guò)PC1上的VPN管理軟件登錄VPN設(shè)備A，然后配置eth0口地址，操作如下：直接雙擊eht0接口圖標(biāo)設(shè)置eth0口地址：缺省路由直接在外出接口處配置2、VPN設(shè)備

8、B接口及缺省路由配置如下：1)通過(guò)PC2的超級(jí)終端，在命令行下配置VPN設(shè)備B的eth1口地址，操作如下：2)通過(guò)PC2上的VPN管理軟件登錄VPN設(shè)備B，然后配置eth0口地址，操作如下：需要設(shè)置那個(gè)接口就雙擊該接口的圖標(biāo)設(shè)置eth0口地址：缺省路由直接在外出接口處配置驗(yàn)證測(cè)試：PC1可以Ping通VPN設(shè)備A的eth1口；VPN設(shè)備A可Ping通VPN設(shè)備B（反之亦可）；PC2可以Ping通VPN設(shè)備B的eth1口。第三步：配置IPSe