站點間動態IP地址實現VPN配置實例

領測軟件測試網

　　 
　　利用Internet 出口線路建立VPN通道實現總、分公司之間的互聯，是目前許多公司熱衷的方案。以往要建立這樣的VPN，需要至少一端使用靜態的IP地址。當前很多公司都通過ADSL方式上網，如果要求電信提供靜態地址，費用將會大大增加（如深圳512K固定IP的ADSL月租是RMB5000）。

現在Cisco IOS 12.3(4)T中新增了根據DNS名稱來建立VPN peer 的命令，借助希網(3322.org)、88ip等動態域名解釋系統的配合，可以在VPN兩端都使用動態地址的ADSL線路,節省大筆費用。
　　
　　關鍵命令：
　　
　　set peer {host-name [dynamic] | ip-address}
　　
　　說明：
　　
　　host-name 指定IPSec peer的DNS主機名稱，如：myhost.example.com。
　　
　　dynamic (可選參數) 指定 IPSec peer 的主機名在需要建立IPSec通道的時候才通過DNS服務器解釋為IP地址。
　　
　　ip-address 直接給出IPSec peer的IP地址（傳統的配置方式）。
　　

　　實際環境中局域網內應在一臺機器上運行動態域名解釋客戶端程序，以將主機名nbo.3322.org注冊到服務器，注冊地址是路由器的外網端口地址。
　　
　　配置:
　　VPN-1(省略了部分無關配置):
　　
　　version 12.3
　　!
　　hostname vpn-1
　　!
　　aaa new-model
　　!
　　aaa authentication login authen group radius local
　　aaa authorization network author local
　　aaa session-id common
　　ip subnet-zero
　　!
　　ip cef
　　ip name-server 202.96.134.133
　　!
　　crypto isakmp policy 10
　　authentication pre-share
　　group 2
　　crypto isakmp key cisco address 0.0.0.0 0.0.0.0
　　!
　　crypto ipsec transform-set s2s esp-des esp-sha-hmac
　　!
　　crypto dynamic-map dymap 1
　　set transform-set s2s
　　match address 110
　　!
　　crypto map mymap 1 ipsec-isakmp dynamic dymap
　　!
　　interface FastEthernet0/0
　　description VPN
　　ip address 202.11.22.11 255.255.255.248
　　ip nat outside
　　crypto map mymap
　　!
　　interface FastEthernet0/1
　　description INSIDE_GATEWAY
　　ip address 172.16.10.110 255.255.0.0
　　ip nat inside
　　!
　　ip nat inside source route-map nonat interface FastEthernet0/0 overload
　　ip classless
　　ip route 0.0.0.0 0.0.0.0 FastEthernet0/0
　　no ip http server
　　!
　　access-list 110 permit ip 172.16.0.0 0.0.255.255 172.30.1.0 0.0.0.255
　　access-list 120 deny　 ip 172.16.0.0 0.0.255.255 172.30.1.0 0.0.0.255
　　access-list 120 permit ip 172.16.0.0 0.0.255.255 any
　　route-map nonat permit 10
　　match ip address 120
　　!
　　end
　　
　　VPN-2(省略了部分無關配置):
　　
　　version 12.3
　　!
　　hostname vpn-2
　　!
　　username mize password 0 http://mize.netbuddy.org
　　no aaa new-model
　　ip subnet-zero
　　!
　　ip cef
　　ip name-server 202.96.134.133
　　!
　　crypto isakmp policy 1
　　authentication pre-share
　　group 2
　　crypto isakmp key cisco hostname nbo.3322.org
　　!
　　crypto ipsec transform-set s2s esp-des esp-sha-hmac
　　!
　　crypto map mymap 10 ipsec-isakmp
　　set peer nbo.3322.org dynamic
　　set transform-set s2s
　　match address 110
　　!
　　interface FastEthernet0/0
　　ip address 202.11.22.43 255.255.255.248
　　ip nat outside
　　crypto map mymap
　　!
　　interface FastEthernet0/1
　　ip address 172.30.1.1 255.255.255.0
　　ip nat inside
　　!
　　ip nat inside source route-map nonat interface FastEthernet0/0 overload
　　ip classless
　　ip route 0.0.0.0 0.0.0.0 FastEthernet0/0
　　!
　　access-list 110 permit ip 172.30.1.0 0.0.0.255 172.16.0.0 0.0.255.255
　　access-list 120 deny　 ip 172.30.1.0 0.0.0.255 172.16.0.0 0.0.255.255
　　access-list 120 permit ip 172.30.1.0 0.0.0.255 any
　　route-map nonat permit 10
　　match ip address 120
　　!
　　end
　　
　　相關調試命令：
　　show cry isa sa
　　show cry ipsec sa

文章來源于領測軟件測試網 http://www.kjueaiud.com/