《计算机网络安全防护技术（第二版）》 课件 第4章 任务4.2.2 配置SVTI VPN

第4章虚拟专用网技术编著：

秦燊劳翠金

任务4.2.2配置SVTIVPN任务4.2配置GREOverIPSec和SVTIVPN

IPSECVPN通过校验算法、验证算法和加密算法确保了数据在公网上传输时的安全性，但IOS12.4之前版本的IPSEC，无法使用虚拟隧道接口技术，难以很好的支持组播和路由协议等IP协议族中的协议，只适用于简单的网络环境。

GRE（GenericRoutingEncapsulation，通用路由封装），是一种通用的封装协议，采用的虚拟隧道接口，可以支持组播、广播和路由等协议，实现任意一种网络层协议在另一种网络层协议上的封装。但是GRE不能确保数据的私密性、完整性和源认证。

将IPSEC和GRE结合起来，综合了两者的优点，既能保证数据的安全性，又可以支持组播、广播，可以配置动态路由协议以及配置ACL、QoS等对数据流进行控制。

IOS12.4之后全新的虚拟隧道接口（VirtualTunnelInterface，VTI）技术不再需要依托GRE，可直接使用IPSec建立隧道接口，并且比GREOverIPSec少了4个字节的GRE头部。VTI技术分为SVTI(静态VTI)和动态VTI（DVTI），其中SVTI可用于替换传统的静态cryptomap配置，用于站点到站点的VPN。

本节将分别介绍GREOverIPSec和SVTIVPN的配置。

VTI技术分为静态VTI(SVTI)和动态VTI（DVTI），其中SVTI可用于替换传统的静态cryptomap配置，用于站点到站点的VPN。但SVTI技术需要IOS12.4之后的版本才能支持，一些老于12.4版本的设备只能采用GREOverIPSEC技术。一、基础配置VPCS1>ip192.168.1.1255.255.255.0192.168.1.254R1(config)#intg0/1R1(config-if)#ipadd192.168.1.254255.255.255.0R1(config-if)#noshuR1(config-if)#intg0/0R1(config-if)#ipadd192.168.2.1255.255.255.0R1(config-if)#noshu任务4.2.2配置SVTIVPNR2(config)#intg0/0R2(config-if)#ipadd192.168.2.2255.255.255.0R2(config-if)#noshuR2(config-if)#intg0/1R2(config-if)#ipadd200.1.1.1255.255.255.0R2(config-if)#noshuR3(config)#intg0/1R3(config-if)#ipadd200.1.1.2255.255.255.0R3(config-if)#noshuR3(config-if)#intg0/0R3(config-if)#ipadd200.2.2.1255.255.255.0R3(config-if)#noshuR4(config)#intg0/0R4(config-if)#ipadd200.2.2.2255.255.255.0R4(config-if)#noshuR4(config-if)#intg0/1R4(config-if)#ipadd192.168.3.254255.255.255.0R4(config-if)#noshuVPCS2>ip192.168.3.1255.255.255.0192.168.3.254配置Internet路由：R2(config)#iproute200.2.2.0255.255.255.0200.1.1.2R4(config)#iproute200.1.1.0255.255.255.0200.2.2.1二、配置SVTIVPN在R2上配置SVTIVPN：R2(config)#cryptoisakmppolicy10R2(config-isakmp)#encryptionaesR2(config-isakmp)#hashsha512R2(config-isakmp)#authenticationpre-shareR2(config-isakmp)#group2R2(config-isakmp)#exitR2(config)#cryptoisakmpkeyciscoaddress200.2.2.2（下面请空一行）R2(config)#cryptoipsectransform-settrans1esp-aesesp-sha512-hmacR2(cfg-crypto-trans)#exitR2(config)#cryptoipsecprofilepro1R2(ipsec-profile)#settransform-settrans1R2(ipsec-profile)#exitR2(config)#inttunnel0R2(config-if)#ipadd192.168.4.1255.255.255.0R2(config-if)#tunnelsource200.1.1.1R2(config-if)#tunneldestination200.2.2.2R2(config-if)#tunnelmodeipsecipv4R2(config-if)#tunnelprotectionipsecprofilepro1R2(config-if)#end三、R4上SVTI的配置R4(config)#cryptoisakmppolicy10R4(config-isakmp)#encryptionaesR4(config-isakmp)#hashsha512R4(config-isakmp)#authenticationpre-shareR4(config-isakmp)#group2R4(config-isakmp)#exitR4(config)#cryptoisakmpkeyciscoaddress200.1.1.1R4(config)#cryptoipsectransform-settrans1esp-aesesp-sha512-hmacR4(cfg-crypto-trans)#exitR4(config)#cryptoipsecprofileprofile1R4(ipsec-profile)#settransform-settrans1R4(ipsec-profile)#exitR4(config)#inttunnel0R4(config-if)#ipadd192.168.4.2255.255.255.0R4(config-if)#tunnelsource200.2.2.2R4(config-if)#tunneldestination200.1.1.1R4(config-if)#tunnelmodeipsecipv4R4(config-if)#tunnelprotectionipsecprofileprofile1R4(config-if)#end三、为私网配置动态路由：配置如下：R1(config)#routerospf1R1(config-router)#network192.168.1.00.0.0.255area0R1(config-router)#network192.168.2.00.0.0.255area0R2(config)#routerospf1R2(config-router)#network192.168.2.00.0.0.255area0R2(config-router)#network192.168.4.00.0.0.255ar