实验二:教主自创版DM××× + GET×××实验
第一部分:实验设计介绍
在第七章中我们学习过了DM×××,虽然DM×××是一种高可扩展性的IPSec ×××类型,但是在实际工程部署的时候,经常出现中心站点路由器负载过大的情况。通过分析发现,中心站点的负载压力主要出现在两个方面,第一就是中心站点IPSec安全关联过多,有多少个分支站点就有多少对IPSec安全关联,维护安全关联会消耗大量内存资源。第二就是动态路由协议的更新信息制造了过多加密包,加密数据包会消耗大量CPU资源。为了解决这两大问题,我设计了DM×××+GET×××这个实验,首先解决IPSec安全关联过多的问题,使用GET×××技术统一给DM×××中心站点和分支站点分发IPSec安全关联,密钥和感兴趣流(加密所有GRE流量),这样不管中心站点还是分支站点都只有一个IPSec安全关联,消除了中心站点安全关联过多的问题,降低了内存的消耗。其次在本实验中彻底取消了动态路由协议,我们使用第三阶段的DM×××加上静态路由来解决这个问题。因为采用了第三阶段的DM×××,分支机构可以配置汇总的静态路由到中心,中心可以通过NHRP的重定向技术来引导分支站点间直接建立GRE隧道,然后用GET×××分发的安全关联和密钥进行加密。
第二部分:实验目标
配置教主自创版DM××× + GET×××实验
第三部分:实际接线状况
图8-19: 教主自创版DM××× + GET×××实验实际接线图
第四部分:实验拓扑
图8-20: 教主自创版DM××× + GET×××实验物理拓扑
图8-21: 教主自创版DM××× + GET×××实验逻辑拓扑
拓扑介绍: 本次实验主要目的是使用第三阶段的DM×××加上GET×××技术,降低传统DM×××中心站点负载过大的问题。本次实验拓扑中一共有四台路由器,GM1-Hub(202.100.1.100)为DM×××的中心站点,也是GET×××的组成员一,GM2-Spoke1(202.100.1.1)为DM×××的分支站点一,也是GET×××的组成员二,GM3-Spoke2(202.100.1.2)为DM×××的分支站点二,也是GET×××的组成员三,KS(202.100.1.101)为GET×××的密钥服务器。192.168.X.0/24分别模拟各站点内部网络,172.16.1.0/24为MGRE隧道网络。本次试验不运行任何动态路由协议,通过在中心站点和分支站点配置静态路由来解决路由问题,并且使用第三阶段DM×××的NHRP重定向技术引导分支站点间直接建立隧道。GET×××的主要任务为给所有组成员分发安全关联,密钥和感兴趣流(所有GRE流量)。使用GET×××替代传统DM×××中的IPSec ×××来加密流量。减少IPSec安全关联的数量,提供了流量的及时加密。
第五部分:基本网络配置
GM1-Hub基本网络配置
enable configure terminal ! hostname GM1-Hub ! interface Loopback0 ! interface FastEthernet0/0 ! end |
KS基本网络配置
enable configure terminal ! hostname KS ! interface FastEthernet0/0 ! end |
GM2-Spoke1基本网络配置
enable configure terminal ! hostname GM2-Spoke1 ! interface Loopback0 ! interface FastEthernet0/0 ! end |
GM3-Spoke2基本网络配置
enable configure terminal ! hostname GM3-Spoke2 ! interface Loopback0 ! interface FastEthernet0/0 ! end |
第六部分:mGRE隧道配置
GM1-Hub mGRE隧道配置
GM1-Hub(config)#interface tunnel 0 GM1-Hub(config-if)#ip mtu 1400 GM1-Hub(config-if)#ip address 172.16.1.100 255.255.255.0 GM1-Hub(config-if)#tunnel source fastEthernet 0/0 GM1-Hub(config-if)#tunnel mode gre multipoint GM1-Hub(config-if)#tunnel key 12345 GM1-Hub(config-if)#ip nhrp network-id 10 GM1-Hub(config-if)#ip nhrp map multicast dynamic GM1-Hub(config-if)#ip nhrp redirect |
GM2-Spoke1 mGRE隧道配置
GM2-Spoke1(config)#interface tunnel 0 GM2-Spoke1(config-if)#ip mtu 1400 GM2-Spoke1(config-if)#ip address 172.16.1.1 255.255.255.0 GM2-Spoke1(config-if)#tunnel source fastEthernet 0/0 GM2-Spoke1(config-if)#tunnel mode gre multipoint GM2-Spoke1(config-if)#tunnel key 12345 GM2-Spoke1(config-if)#ip nhrp network-id 10 GM2-Spoke1(config-if)#ip nhrp map 172.16.1.100 202.100.1.100 GM2-Spoke1(config-if)#ip nhrp map multicast 202.100.1.100 GM2-Spoke1(config-if)#ip nhrp nhs 172.16.1.100 GM2-Spoke1(config-if)#ip nhrp shortcut |
GM3-Spoke2 mGRE隧道配置
GM3-Spoke2(config)#interface tunnel 0 GM3-Spoke2(config-if)#ip mtu 1400 GM3-Spoke2(config-if)#ip address 172.16.1.2 255.255.255.0 GM3-Spoke2(config-if)#tunnel source fastEthernet 0/0 GM3-Spoke2(config-if)#tunnel mode gre multipoint GM3-Spoke2(config-if)#tunnel key 12345 GM3-Spoke2(config-if)#ip nhrp network-id 10 GM3-Spoke2(config-if)#ip nhrp map 172.16.1.100 202.100.1.100 GM3-Spoke2(config-if)#ip nhrp map multicast 202.100.1.100 GM3-Spoke2(config-if)#ip nhrp nhs 172.16.1.100 GM3-Spoke2(config-if)#ip nhrp shortcut |
第七部分:静态路由配置
GM1-Hub 静态路由配置
GM1-Hub(config)#ip route 192.168.1.0 255.255.255.0 172.16.1.1 GM1-Hub(config)#ip route 192.168.2.0 255.255.255.0 172.16.1.2 使用此种解决方案唯一的复杂之处就在于中心站点需要配置很多的静态路由。 |
GM2-Spoke1 静态路由配置
GM2-Spoke1(config)#ip route 192.168.0.0 255.255.0.0 172.16.1.100 |
GM3-Spoke2 静态路由配置
GM3-Spoke2(config)#ip route 192.168.0.0 255.255.0.0 172.16.1.100 |
第八部分:配置密钥服务器KS
第一步:产生密钥
KS(config)#ip domain name yeslab.net KS(config)#crypto key generate rsa modulus 1024 label getvpnkey |
第二步:配置ISAKMP第一阶段策略
KS(config)#crypto isakmp policy 10 KS(config-isakmp)#authentication pre-share KS(config)#crypto isakmp key 0 cisco address 202.100.1.1 KS(config)#crypto isakmp key 0 cisco address 202.100.1.2 KS(config)#crypto isakmp key 0 cisco address 202.100.1.100 |
第三步:配置感兴趣流
KS(config)#ip access-list ex ALL-DM×××-Traffic KS(config-ext-nacl)#permit gre any any |
第四步:配置IPSec Profile
KS(config)#crypto ipsec transform-set cisco esp-des esp-md5-hmac KS(config)#crypto ipsec profile ipsecprof KS(ipsec-profile)#set transform-set cisco |
第五步:配置KS为密钥服务器
KS(config)#crypto gdoi group mygroup KS(config-gdoi-group)#identity number 88888 KS(config-gdoi-group)#server local KS(gdoi-local-server)#address ipv4 202.100.1.101 |
第六步:配置密钥更新
KS(gdoi-local-server)#rekey authentication mypubkey rsa getvpnkey KS(gdoi-local-server)#rekey transport unicast |
第七步:配置IPSec安全关联
KS(gdoi-local-server)#sa ipsec 1 KS(gdoi-sa-ipsec)#match address ipv4 ALL-DM×××-Traffic KS(gdoi-sa-ipsec)#profile ipsecprof |
第九部分:配置组成员(GM1-Hub)
GM1-Hub(config)#crypto isakmp policy 10 GM1-Hub(config-isakmp)#authentication pre-share GM1-Hub(config)#crypto isakmp key 0 cisco address 202.100.1.101 GM1-Hub(config)#crypto gdoi group mygroup GM1-Hub(config-gdoi-group)#identity number 88888 GM1-Hub(config-gdoi-group)#server address ipv4 202.100.1.101 GM1-Hub(config)#crypto map cisco 10 gdoi GM1-Hub(config-crypto-map)#set group mygroup GM1-Hub(config)# interface fastEthernet 0/0 GM1-Hub(config-if)#crypto map cisco |
第十部分:配置组成员(GM2-Spoke1)
GM2-Spoke1(config)#crypto isakmp policy 10 GM2-Spoke1(config-isakmp)#authentication pre-share GM2-Spoke1(config)#crypto isakmp key 0 cisco address 202.100.1.101 GM2-Spoke1(config)#crypto gdoi group mygroup GM2-Spoke1(config-gdoi-group)#identity number 88888 GM2-Spoke1(config-gdoi-group)#server address ipv4 202.100.1.101 GM2-Spoke1(config)#crypto map cisco 10 gdoi GM2-Spoke1(config-crypto-map)#set group mygroup GM2-Spoke1(config)#interface fastEthernet 0/0 GM2-Spoke1(config-if)#crypto map cisco |
第十一部分:配置组成员(GM3-Spoke2)
GM3-Spoke2(config)#crypto isakmp policy 10 GM3-Spoke2(config-isakmp)#authentication pre-share GM3-Spoke2(config)#crypto isakmp key 0 cisco address 202.100.1.101 GM3-Spoke2(config)#crypto gdoi group mygroup GM3-Spoke2(config-gdoi-group)#identity number 88888 GM3-Spoke2(config-gdoi-group)#server address ipv4 202.100.1.101 GM3-Spoke2(config)#crypto map cisco 10 gdoi GM3-Spoke2(config-crypto-map)#set group mygroup GM3-Spoke2(config)#interface fastEthernet 0/0 GM3-Spoke2(config-if)#crypto map cisco |
第十二部分:测试
GM2-Spoke1#ping 192.168.2.1 so 192.168.1.1 repeat 100 Type escape sequence to abort. Sending 100, 100-byte ICMP Echos to 192.168.2.1, timeout is 2 seconds: Packet sent with a source address of 192.168.1.1 !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! !!!!!!!!!!!!!!!!!!!!!!!!!!!!!! Success rate is 100 percent (100/100), round-trip min/avg/max = 176/253/540 ms GM2-Spoke1#ping 192.168.100.1 so 192.168.1.1 repeat 100 Type escape sequence to abort. Sending 100, 100-byte ICMP Echos to 192.168.100.1, timeout is 2 seconds: Packet sent with a source address of 192.168.1.1 !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! !!!!!!!!!!!!!!!!!!!!!!!!!!!!!! Success rate is 100 percent (100/100), round-trip min/avg/max = 144/283/568 ms GM2-Spoke1#show crypto engine connections active Crypto Engine Connections |