easyvpn

easyvpn定义

EzVPN根据easy vpn的读音简写而来，是cisco的一个远程VPN技术，他使用向客户端推送策略的方式大大减轻了客户端的配置，方便了管理。

easyvpn配置步骤

Top如上：

注意：1,在做本实验的时候，请把VPNclient软件放在虚拟机的PC里边，如果是用本机来做remote VPN客户端，很可能只能ping到公网，不能ping通内网用户，实验是不能成功。

2,由于本实验两个VPN网关都存在NAT穿越，所以在定义转换集的时候最好不要用AH认证。因为NAT穿越会修改源目地址。

配置：

ezvpnserver#show run

hostname R1

aaa new-model//开启AAA

aaa authentication login ccie local/AAA登陆本地认证

aaa authorization network ccie local/AAA网络接入本地授权

ip cef

no ip domain lookup

username cisco password 0 cisco/本地认证授权数据库账户

crypto isakmp policy 10/定义IKE策略－第一阶段

encr 3des

hash md5/对于软件客户端必须要用MD5

authentication pre-share

group 2

crypto isakmp client configuration group client/配置客户端推送策略

key ccnp

dns 202.1.1.1

domain zengfei

pool pool

acl 101/隧道分离ACL

save-password/保存密码，客户可以不必每次开启时输入验证信息

netmask 255.255.255.0

crypto ipsec transform-set myset esp-3des esp-sha-hmac /定义转换集，IKE　1.5阶段

crypto dynamic-map map 10/由于远程用户是移动的，所以要定义动态MAP

set transform-set myset

reverse-route/开启反向路由注入，指向动态分配客户端网络的地址，下一跳为vpn peer地址

crypto map mymap client authentication list ccie/定义加密图，IKE第二阶段

crypto map mymap isakmp authorization list ccie

crypto map mymap client configuration address respond

crypto map mymap 10 ipsec-isakmp dynamic map

interface Loopback0

ip address 192.168.2.1 255.255.255.0

ip nat inside

interface Loopback1

ip address 192.168.6.1 255.255.255.0

!

interface FastEthernet0/0

ip address 202.1.1.1 255.255.255.0

ip nat outside

crypto map mymap/接口下应用加密图

ip local pool pool 192.168.5.1 192.168.5.10/定义本地为远程用户自动分配的地址池范围。

ip classless

ip route 0.0.0.0 0.0.0.0 FastEthernet0/0/总部一条指向公网的默认路由

ip nat inside source list 102 interface FastEthernet0/0 overload内网用户PAT

Access-list 102 deny 192.168.2.0 0.0.0.255 192.168.5.0 0.0.0.255

access-list 102 permit ip any any/PAT转换除了vpn之间的两个网段不用NAT转换。

internet配置：

hostname R2

ip cef

no ip domain lookup

interface FastEthernet0/0

ip address 202.1.1.2 255.255.255.0

interface FastEthernet0/1

ip address 202.1.2.1 255.255.255.0

客户端网关：

R3#show run

hostname R3

ip cef

no ip domain lookup

interface FastEthernet0/0

ip address 192.168.4.1 255.255.255.0

ip nat inside

interface FastEthernet0/1

ip address 202.1.2.2 255.255.255.0

ip nat outside

ip classless

ip route 0.0.0.0 0.0.0.0 FastEthernet0/1

ip nat inside source list 1 interface FastEthernet0/1 overload

access-list 1 permit 192.168.4.0 0.0.0.255