VPN網(wǎng)絡(luò)搭建在路由器配置中是非常重要的一環(huán)，同時(shí)VPN也是企業(yè)實(shí)現(xiàn)安全遠(yuǎn)程互聯(lián)的有效方法。本文根據(jù)一個(gè)應(yīng)用實(shí)例，具體描述VPN的配置和實(shí)施過(guò)程。其主要應(yīng)用特點(diǎn)包括:基于封裝安全負(fù)載標(biāo)準(zhǔn)ESP-DES(Encapsulating Securiry Payload - Data Encryption Standard)的IPSec;專有網(wǎng)絡(luò)通過(guò)端口地址轉(zhuǎn)換(PAT)技術(shù)訪問(wèn)Internet。

網(wǎng)絡(luò)基本情況

該單位公司總部在北京，全國(guó)有3個(gè)分支機(jī)構(gòu)。要求做到在4個(gè)地點(diǎn)的數(shù)據(jù)能夠?qū)崟r(shí)查詢，便于業(yè)務(wù)員根據(jù)具體情況作出正確決策。早期方案是使用路由器，通過(guò)速率為256Kbps的DDN專網(wǎng)連接北京總部。但技術(shù)人員通過(guò)市場(chǎng)調(diào)研，發(fā)現(xiàn)該網(wǎng)絡(luò)運(yùn)營(yíng)成本過(guò)高。通過(guò)進(jìn)一步的咨詢和調(diào)整，最終方案是分支機(jī)構(gòu)使用DDN在本地接入Internet，總部使用以太網(wǎng)就近接入Internet。并對(duì)互聯(lián)的路由器配置，使用VPN技術(shù)，保證內(nèi)部數(shù)據(jù)通過(guò)Internet安全傳輸。

配置過(guò)程及測(cè)試步驟

在實(shí)施配置前，需要檢查硬件和軟件是否支持VPN。對(duì)于Cisco路由器，要求IOS版本高于12.0.6(5)T，且?guī)PSec功能。本配置在Cisco路由器配置通過(guò)。以下是分支網(wǎng)絡(luò)1的路由器配置過(guò)程，其他路由器配置方法與此基本一致，只需修改具體的環(huán)境參數(shù)(IP地址和接口名稱)即可。以下黑體字為輸入部分，< Enter >為鍵盤(pán)對(duì)應(yīng)鍵，^Z為Ctrl+Z組合鍵。

1. 路由器配置的基本參數(shù)，并測(cè)試網(wǎng)絡(luò)的連通性

(1) 進(jìn)入路由器配置模式，將計(jì)算機(jī)串口與路由器console口連接，并按照路由器說(shuō)明書(shū)配置"終端仿真"程序。執(zhí)行下述命令進(jìn)入配置模式。

Router>en
Router#config terminal
Router(config)#

(2)路由器配置的基本安全參數(shù)，主要是設(shè)置特權(quán)口令、遠(yuǎn)程訪問(wèn)口令和路由器名稱，方便遠(yuǎn)程調(diào)試。

Router(config)#enable secret xxxxxxx
Router(config)#line vty 0 4
Router(config-line)#password xxxxxx
Router(config-line)#exit
Router(config)#hostname huadong
huadong(config)#

(3)路由器配置的以太網(wǎng)接口，并測(cè)試與本地計(jì)算機(jī)的連通性，注意: 配置前，請(qǐng)將線纜與相關(guān)設(shè)備連接好。其中ethernet0/0端口接內(nèi)部網(wǎng)絡(luò)，serial0/0端口接外部網(wǎng)絡(luò)。外部網(wǎng)絡(luò)接口地址由ISP分配，至少一個(gè)地址，多者不限。以下假定為一個(gè)，使用PAT模式，地址為210.75.32.9，上級(jí)路由器為210.75.32.10。關(guān)鍵是配置IP地址和啟用以太網(wǎng)接口。測(cè)試時(shí)，使用基本的測(cè)試命令ping。

2. 路由器配置NAT網(wǎng)絡(luò)

(1) 配置外出路由并測(cè)試

huadong(config)#ip route 0.0.0.0 0.0.0.0 210.75.32.9
huadong#ping 211.100.15.36
……
!!!!!
……

結(jié)果證明本路由器配置可以通過(guò)ISP訪問(wèn)Internet。

(2) 配置PAT，使內(nèi)部網(wǎng)絡(luò)計(jì)算機(jī)可以訪問(wèn)外部網(wǎng)絡(luò)，但不能訪問(wèn)總部和分支機(jī)構(gòu)主要是基于安全目的，不希望內(nèi)部網(wǎng)絡(luò)被外部網(wǎng)絡(luò)所了解，而使用地址轉(zhuǎn)換(NAT)技術(shù)。同時(shí)，為了節(jié)約費(fèi)用，只租用一個(gè)IP地址(路由器使用)。所以，需要使用PAT技術(shù)。使用NAT技術(shù)的關(guān)鍵是指定內(nèi)外端口和訪問(wèn)控制列表。在訪問(wèn)控制列表中，需要將對(duì)其他內(nèi)部網(wǎng)絡(luò)的訪問(wèn)請(qǐng)求包廢棄，保證對(duì)其他內(nèi)部網(wǎng)絡(luò)的訪問(wèn)是通過(guò)IPSec來(lái)實(shí)現(xiàn)的。