扩展nat穿越第02章项目

1、“青鸟杯”IT 精英赛Y2 NAT 穿越项目1、环境描述：如图1 所示的网络环境，R2 路由器模拟ISP 服务提供商，R1 上配置PAT 实现内网对ernet的，要求 ASA端对等体成功建立 IPSec与R3 之间建立 IPSec连接。，连接穿过 NAT 设备，配置实现两图 1 网络环境2、环境搭建要求：2.1使用模拟器搭建实验环境，IP 地址请自行规划。3、提交结果要求：3.13.2编写实验，包括实验思路、实验步骤与截图、实验配置、结果验证截图。分析从 ASA 和 R3 两端发起的连接区别？一：IP 地址的设置asa 的 ip 地址ciscoasa# ciscoasa# conf tcisc

2、oasa(config)#e0/1ciscoasa(config-if)# ip add 172.16.10.1 255.255.255.0ciscoasa(config-if)# no shutciscoasa(config-if)ciscoasa(config-if)#if insidee0/0ciscoasa(config-if)# ip add 192.168.1.1 255.255.255.252ciscoasa(config-if)# no shutciscoasa(config-if)ciscoasa(config-if)#exitif outsidenat 的 ip 地址：R1

3、#conf tR1(config)#f0/0R1(config-if)#ip address 192.168.1.2 255.255.255.252R1(config-if)#no shutR1(config-if)#f0/1R1(config-if)#ip add 100.0.0.1 255.255.255.252 R1(config-if)#no shutR1(config-if)#exitisp 的 ip 地址：R2#conf tR2(config)#f0/1R2(config-if)#ip add 100.0.0.2 255.255.255.252R2(config-if)#no sh

4、utR2(config-if)#f0/0R2(config-if)#ip add 200.0.0.1 255.255.255.252R2(config-if)#no shutR3 的 IP 地址R3(config)#f0/0R3(config-if)#ip add 200.0.0.2 255.255.255.252R3(config-if)#no shutR3(config-if)#f0/1R3(config-if)#ip add 10.0.0.1 255.255.255.0 R3(config-if)#no shutR3(config-if)#exit二：路由的设置asa 的路由ciscoa

5、sa(config)# route outside 0 0 192.168.1.2nat 的路由：R1(config)#ip route 172.16.10.0 255.255.255.0 192.168.1.1R1(config)#ip route 0.0.0.0 0.0.0.0 100.0.0.2ISP 不设置路由R3 的路由R3(config)#ip route 0.0.0.0 0.0.0.0 200.0.0.1三：的配置asa 的ciscoasa(config)# crypto isakmp enable outside ciscoasa(config)# crypto isakmp

6、policy 1 ciscoasa(config-isakmp-policy)# encryption aesciscoasa(config-isakmp-policy)# hash shaciscoasa(config-isakmp-policy)# group 2ciscoasa(config-isakmp-policy)# authentication pre-share ciscoasa(config-isakmp-policy)# exitciscoasa(config)# crypto isakmp key benet address 200.0.0.2ciscoasa(confi

7、g)# acs-list 200 extended permit ip 172.16.10.0 255.255.255.0 10.0.0.0 255.255.255.0ciscoasa(config)# crypto ipsec transform-set benet-set esp-aes ciscoasa(config)# crypto map benet-map 1 match address 200 ciscoasa(config)# crypto map benet-map 1 set peer 200.0.0.2ciscoasa(config)# crypto map benet-

8、map 1 set transform-set benet-setciscoasa(config)# crypto map benet-maperface outsideciscoasa(config)# crypto isakmp nat-traversalR3 的：R3(config)#crypto isakmp policy 1 R3(config-isakmp)#hash sha R3(config-isakmp)#encryption aesR3(config-isakmp)#authentication pre-share R3(config-isakmp)#group 2R3(c

9、onfig-isakmp)#exitR3(config)#crypto isakmp key 6 benet address 100.0.0.1R3(config)#acs-list 100 permit ip 10.0.0.0 0.0.0.255 172.16.10.0 0.0.0.255R3(config)#crypto ipsec transform-set benet-set esp-aes R3(cfg-crypto-trans)#exitR3(config)#crypto map benet-map 1 ipsec-isakmp R3(config-crypto-map)#set

10、peer 100.0.0.1R3(config-crypto-map)#match address 100R3(config-crypto-map)#set transform-set benet-set R3(config-crypto-map)#exitR3(config)#f0/0R3(config-if)#crypto map benet-map R3(config-if)#endR3#debug crypto isakmpnat 穿越： R1(config)#ac R1(config)#acR1(config)#acs-list 101 deny ip 172.16.10.0 0.0

11、.0.255 10.0.0.0 0.0.0.255s-list 101 permit ip 172.16.10.0 0.0.0.255 anys-list 101 permit ip 192.168.1.0 0.0.0.3 anyR1(config)#ip nat inside source list 101erface f0/1 overloadR1(config)#ip nat inside sourR1(config)#ip nat inside souric udp 192.168.1.1 4500erface f0/1 4500ic udp 192.168.1.1 500erface f0/1 500R1(config)#f0/0R1(config-if)#ip nat insideR1(config-if)#f0/1R1(config-if)#ip nat outside为了测试，允许 icmp 报文穿越c