今天我们来测试下LAN-TO-LAN的ipsec  *** 技术及ipsec *** 穿越nat的情况,实验拓扑如下

 

首先IKE 分为两个协商阶段 第一阶段主要是协商出安全的密钥以及为第二阶段服务的,他并不涉及真正的数据加密,第二阶段是在第一阶段基础上进行真正的数据加密,等下我们会以抓包的形势把这两个阶段展现出来。

配置步骤 1、配置IKE第一阶段

                   2、配置IKE第二阶段

                   3、配置crypto map做前面配置的汇总

                   4.、在接口下调用

                   5、配置感兴趣的流量,即被ipsec保护的流量

我们先把IKE协商过程抓包来分析一下

 

从抓包中可以清楚的看到IKE协商分为两个阶段,第一阶段为主模式为6个包,第二个阶段为快速模式为3个包,后面所有的数据都是通过ESP在进行加密的

正常情况下R2模拟的Internet只含有直连网段公网的路由是不会有两边私网路由的,其次Internet也不会路由私网地址的,所以两边的Lan是不会正常通信的,此时我们通过Ipsec ***打条隧道从R1到R3来实现两边Lan的互通,

配置和debug的详细调试信息我会上传到附件中,我们来测试下两边Lan的互通

 

可以看到两边通信正常,我们再来看下他走的路劲

 

可以看到他只经过一跳就到了