企业网组网设计与仿真实现(8)

企业网组网设计与仿真实现

3、NAT-T配置

正常的IPsec VPN 是不能穿越PAT的，CISCO的IPsec VPN为了穿越PAT提供了很多扩展的功能.例如: NAT-T，ipsec over udp，ipsec over tcp，应用层网关。此次我们将使用工业标准的NAT-T技术。在CISCO防火墙上默认开启了NAT-T功能，因此不需要我们再手动配置。我们只需要增加对防火墙E0口（outside）的静态端口映射即可。

IPsec VPN使用的是UDP 500和4500端口，必须把这两个端口映射出公网，才能让外网连接上防火墙来建立VPN。

Gateway(config)#ip nat inside source static udp 192.168.0.9 500 interface s0/0 500

Gateway(config)#ip nat inside source static udp 192.168.0.9 4500 interface s0/0 4500

现在就完成了IPsec VPN的配置。

4.3.2 移动办公VPN配置

为了向远距离工作者或工作在外的员工所提供的远程访问类型的VPN，我们使用RemoteVPN解决方案。RemoteVPN是EZVPN的一种，它使用客户端软件连接服务端来实现VPN连接的，其使用向客户端推送策略的方式大大减轻了客户端的配置，方便了管理。远程工作者在自己的电脑上安装一个“Cisco VPN Client”的软件，稍微设置一下参数，即可连接上配置好相关参数的服务端，建立一条安全加密的虚拟隧道。

图4.12 Cisco VPN Client

本小节针对远程工作者与总部的连接，使用RemoteVPN来实现加密的数据传输。如

35

企业网组网设计与仿真实现

图4.13所示，远程工作者通过RemoteVPN获取一个内网的IP地址，通过这个地址访问公司内部资源，提供了VPN网络的高拓展性。

Core1内部服务器群192.168.60.0SW4FWCore2RemoteVPNGateway移动办公

图4.13 RemoteVPN设计拓扑

1、防火墙设置

RemoteVPN跟Site-to-siteVPN同属IPsec VPN，，但配置上还是有区别的。在RemoteVPN上必须定义好远程用户接入后能够访问的地址，称为分离隧道。没有分离定义分离隧道的话，客户端即使建立起了VPN，也无法访问内网，因为服务端不知道返回的流量需要加密，因而返回流量无法到达客户端。RemoteVPN还会为接入的用户分配一个内网的IP地址，通过这个地址访问公司内部资源。如表3.1所示，用于分配RemoteVPN远程用户的地址为192.168.80.0/24网段。

以下对防火墙进行RemoteVPN配置： FW(config)# isakmp policy 1

FW(config-isakmp-policy)# authentication pre-share FW(config-isakmp-policy)# encryption 3des FW(config-isakmp-policy)# hash md5 FW(config-isakmp-policy)# group 2 FW(config-isakmp-policy)# lifetime 43200 FW(config-isakmp-policy)# exit FW(config)# isakmp enable outside

以上步骤可以忽略，因为在site-to-site VPN里，已经配置过相似的参数，Crypto isakmp policy是可以共用在两个VPN上的。

以下是定义地址池。既定义哪些地址用于分配给远程接入用户使用。

FW(config)# ip local pool vpnpool 192.168.80.11-192.168.80.254 mask 255.255.255.0

36

企业网组网设计与仿真实现

以下定义分离隧道。建立一个ACL定义访问地址，然后在相关策略上套用。

FW(config)# access-list split standard permit 192.168.60.0 255.255.255.0 FW(config)# group-policy vpnclient internal FW(config)# group-policy vpnclient attributes

FW(config-group-policy)# split-tunnel-policy tunnelspecified FW(config-group-policy)# split-tunnel-network-list value split 以下配置剩余必要命令：

FW(config)# crypto ipsec transform-set remote esp-3des esp-sha-hmac FW(config)# crypto dynamic-map dyremote 10 set transform-set remote FW(config)# crypto map l2l 20 ipsec-isakmp dynamic dyremote FW(config)# crypto map l2l interface outside

FW(config)# tunnel-group vpnclient type ipsec-ra FW(config)# tunnel-group vpnclient general-attributes FW(config-tunnel-general)# authentication-server-group LOCAL FW(config-tunnel-general)# default-group-policy vpnclient FW(config-tunnel-general)# address-pool vpnpool FW(config-tunnel-general)# exit

FW(config)# tunnel-group vpnclient ipsec-attributes FW(config-tunnel-ipsec)# pre-shared-key alex_gdin 2、客户端软件设置

打开Cisco VPN Client软件之后，点击软件快捷栏的“New”图标即可定义需要的参数。具体参数填写入图4.14所示。

图4.14 Cisco VPN Client参数设置

“Group Authentication”上的用户名和密码即为1、款中配置加粗部分。参数填

37

企业网组网设计与仿真实现

写完毕，按“Save”保存。然后在主界面双击你创建好的条目，如无配置错误，你即可连接上远端的服务端。

3、NAT-T配置

因为在Site-to-site VPN配置中，在Gateway网关路由器上已经把IPsec VPN所使用的到端口映射了出去，所以这里只需在Gateway网关路由器把用于控制NAT地址转换的ACL上增加一条条目，用于免除VPN连接的转换。

Gateway(config)#ip access-list extend inside2outside

Gateway(config-ext-nacl)#4 deny ip 192.168.60.0 0.0.0.255 192.168.80.0 0.0.0.255

4.4 安全加固模块设计

完整的企业网络必须要有可靠的网络安全保护措施来抵御来自网内、网外的安全威胁，例如黑客入侵、病毒木马、DOS攻击、人为破坏等。我们有许多防御措施选择，如安装防病毒软件、进行访问控制、数据加密传输等。各种网络安全并不是各自独立的，而是作为一个整理来保护一个网络，要做到1+1>2的效果，必须要以实际网络环境需要为基础，选择全面的网络保护措施，不让其中一处短板破坏了整个网络的防御结构。

Cisco提出的网络安全的核心原则成为CIA三元组——机密性（confidentiality）、完整性（integrity）、可用性（availability），是目前最简单、适用范围最广的安全模型。这三大核心原则可以适用于小到如用户访问，大至如互联网上的数据安全。

本节本着CIA三元组原则，对企业网进行安全的加固，从最基础的访问控制、防止欺骗等，到一些高级的安全技术特征，是本设计的企业网的网络数据安全达到最优化。在本节所提及的一些安全技术特征部分为思科专有，或在其他厂商有相似技术但命名不同，而且因为软件问题，一些安全技术并不能被仿真软件所支持，但文章所列配置命令是真实能在实际环境中运行的。

4.4.1 访问控制

根据表3.1的信息，各VLAN都有不同的权限限制，并且从实际公司运作上考虑，这里将增添几项访问权限，全部访问控制具体为：

（1）内网访问控制：

38

企业网组网设计与仿真实现

普通部门单位之间不能相互访问 全部部门能访问服务器群和外网

网管部门能访问整个公司的VLAN（单向发起连接） 服务器不会主动向网络发起连接（除email/FTP）外 访客厅VLAN只能访问外网服务器群和外网 （2）外网访问控制：

通过VPN接入，只能访问内部服务器群 外网用户只能访问外部服务器的相关服务 1、对服务器群的访问限制

全部部门能访问服务器群（包括内 …… 此处隐藏：3120字，全部文档内容请下载后查看。喜欢就下载吧 ……