思科下一代模拟器EVE-NG做一个ASAIPsec点对点互联实验

主要场景用于各地分公司内网网段互通，要求分公司出口为公网IP。

网络拓扑图如下：

最终实现VPC1和VPC2能互相ping通对方IP

1.防火墙1 asa1配置

#主机名，网卡ip配置
hostname asa1
interface GigabitEthernet0/0nameif outsidesecurity-level 0ip address 200.0.0.1 255.255.255.0no shutdowninterface GigabitEthernet0/1nameif insidesecurity-level 100ip address 10.1.1.254 255.255.255.0no shutdown#路由配置 设置静态路由，下一跳地址为200.0.0.2
route outside 0 0 200.0.0.2配置ISAKMP策略
crypto ikev1 enable outside //开启加密协议isakmp，名称ikev1，方向outside区域
crypto ikev1 policy 1 //设置加密协议isakmp策略为1encryption aes //使用aes加密hash sha //设置哈希算法为sha authentication pre-share //采用预共享密钥方式group 2 //指定DH算法的密钥长度为组2 DH group 2即将过失，将来版本可能废弃exit//退出设置加密协议isakmp  
tunnel-group 200.0.0.2 type ipsec-l2l  //设置隧道目标地址为200.0.0.2，类型为点对点方式
tunnel-group 200.0.0.2 ipsec-attributes //设置隧道的加密策略ikev1 pre-shared-key tedu //设置加密策略的预共享密钥为tedu exit //退出配置ac1
access-list 100 permit ip 10.1.1.0 255.255.255.0 192.168.1.0 255.255.255.0 //设置ac1允许10.1.1.0网段访问192.168.1.0网段配置IPSec策略（转换集）
crypto ipsec ikev1 transform-set yf-set esp-aes esp-sha-hmac //配置IPSec策略（转换集）配置加密映射集
crypto map yf-map 1 match address 100 //设置加密图yf-map匹配ac1 IPSEC_VPN 
crypto map yf-map 1 set peer 200.0.0.2 //建立加密图对端节点为200.0.0.2
crypto map yf-map 1 set ikev1 transform-set yf-set //设置加密图IPSec策略转换集
crypto map yf-map interface outside //将映射集应用在outside接口#允许ping配置
access-list OUTSIDE_IN_ACL permit icmp any any echo-reply
access-group OUTSIDE_IN_ACL in interface outside#保存
wr#重启
reload

2.防火墙2 asa2配置

hostname asa2
interface GigabitEthernet0/0nameif outsidesecurity-level 0ip address 200.0.0.2 255.255.255.0no shutdowninterface GigabitEthernet0/1nameif insidesecurity-level 100ip address 192.168.1.254 255.255.255.0no shutdown#路由配置 设置静态路由，下一跳地址为200.0.0.1
route outside 0 0 200.0.0.1配置ISAKMP策略
crypto ikev1 enable outside //开启加密协议isakmp，名称ikev1，方向outside区域
crypto ikev1 policy 1 //设置加密协议isakmp策略为1encryption aes //使用aes加密hash sha //设置哈希算法为sha authentication pre-share //采用预共享密钥方式group 2 //指定DH算法的密钥长度为组2exit //退出设置加密协议isakmp  
tunnel-group 200.0.0.1 type ipsec-l2l  //设置隧道目标地址为200.0.0.1，类型为点对点方式
tunnel-group 200.0.0.1 ipsec-attributes //设置隧道的加密策略ikev1 pre-shared-key tedu //设置加密策略的预共享密钥为tedu（双向密钥应唯一） exit //退出配置ac1
access-list 100 permit ip 192.168.1.0 255.255.255.0 10.1.1.0 255.255.255.0 //设置ac1允许192.168.1.0网段访问10.1.1.0网段配置IPSec策略（转换集）
crypto ipsec ikev1 transform-set yf-set esp-aes esp-sha-hmac //配置IPSec策略（转换集）配置加密映射集
crypto map yf-map 1 match address 100 //设置加密图yf-map匹配ac1 100 
crypto map yf-map 1 set peer 200.0.0.1 //建立加密图对端节点为200.0.0.1
crypto map yf-map 1 set ikev1 transform-set yf-set //设置加密图IPSec策略转换集
crypto map yf-map interface outside //将映射集应用在outside接口#允许ping配置
access-list OUTSIDE_IN_ACL permit icmp any any echo-reply
access-group OUTSIDE_IN_ACL in interface outside#保存
wr#重启
reload

3.VPC1配置

ip 10.1.1.1/24 10.1.1.254
show ip
save

4.VPC2配置

VPC2配置
ip 192.168.1.1/24 192.168.1.254
show ip
save

5.互ping测试

 6.查看sa管理状态

查看sa状态，当两端有相互ping或者有其他浏览的时候才能看到内容

#查看管理连接sa的状态
show crypto isakmp sa

 清除sa状态

#清除sa记录
clear crypto isakmp sa

本文来自互联网用户投稿，文章观点仅代表作者本人，不代表本站立场，不承担相关法律责任。如若转载，请注明出处。 如若内容造成侵权/违法违规/事实不符，请点击【内容举报】进行投诉反馈！