Virtuális Magán Hálózatok (VPN)

VPN PPTP protokoll használatával

A Virtual Private Dialup Network (VPDN) alapú PPTP VPN beállítása.

R1(config)# vpdn enable ! VPDN engedélyezése
R1(config)# vpdn-group 1 ! VPDN csoport létrehozása
R1(config-vpdn)# accept-dialin
R1(config-vpdn-acc-in)# protocol pptp
R1(config-vpdn-acc-in)# virtual-template 1

R1(config)# interface Virtual-Template1 ! Virtuális interfész kötése
R1(config-if)# ip unnumbered FastEthernet 0/0
R1(config-if)# peer default ip address pool PPTP-Pool
R1(config-if)# no keepalive
R1(config-if)# ppp encrypt mppe 128
R1(config-if)# ppp authentication ms-chap ms-chap-v2

R1(config)# ip local pool PPTP-Pool 192.168.0.20 192.168.0.25 ! IP cím tartomány
R1(config)# username user1 password cisco ! VPN felhasználó

VPN L2TP over IPSec használatával

R1(config)# vpdn enable
R1(config)# vpdn-group 1
R1(config-vpdn)# no l2tp tunnel authentication
R1(config-vpdn)# accept-dialin
R1(config-vpdn-acc-in)# protocol l2tp
R1(config-vpdn-acc-in)# virtual-template 1

R1(config)# interface Virtual-Template1
R1(config-if)# ip unnumbered FastEthernet0/0
R1(config-if)# peer default ip address pool L2TP-Pool
R1(config-if)# ppp authentication ms-chap-v2

R1(config)# ip local pool L2TP-Pool 192.168.0.20 192.168.0.25

! Hitelesítés beállítása (ISAKMP)
R1(config)# crypto isakmp policy 10
R1(config-isakmp)# encryption 3des
R1(config-isakmp)# authentication pre-share
R1(config-isakmp)# group 2
R1(config-isakmp)# lifetime 3600

! IPSec kulcs és transzformáció
R1(config)# crypto isakmp keepalive 3600
R1(config)# crypto isakmp key cisco address 0.0.0.0 0.0.0.0 no-xauth
R1(config)# crypto ipsec transform-set MySet esp-3des esp-sha-hmac
R1(cfg-crypto-trans)# mode transport

! Crypto Map konfiguráció
R1(config)# crypto dynamic-map MyMap 10
R1(config-crypto-map)# set transform-set MySet
R1(config)# crypto map L2TP-Map 10 ipsec-isakmp dynamic MyMap

! Interfészhez rendelés
R1(config)# interface FastEthernet0/0
R1(config-if)# crypto map L2TP-Map
R1(config)# username user1 password cisco

Site-to-Site VPN IPSec

Két telephely közötti biztonságos alagút kialakítása. A másik routeren a Crypto ACL-t tükrözni kell (forrás és cél felcserélve).

! ISAKMP konfiguráció
R1(config)# crypto isakmp policy 6
R1(config-isakmp)# authentication pre-share ! Hitelesítés
R1(config-isakmp)# group 5 ! Diffie-Hellman csoport
R1(config-isakmp)# hash md5 ! Kivonatoló algoritmus
R1(config-isakmp)# encr 3des ! Titkosítás
R1(config-isakmp)# lifetime 3600 ! Az SA élettartama

! Végpont és élettartam beállítása
R1(config)# crypto isakmp key Secret address 200.20.2.1 ! Közös kulcs
R1(config)# crypto ipsec security-association lifetime seconds 86400
! Megjegyzés: a crypto map szinten is felülírható: set security-association lifetime seconds 86400

! Crypto ACL (mely forgalom legyen titkosítva)
! FONTOS: A másik routeren tükrözni kell! (forrás és cél felcserélve)
R1(config)# access-list 100 permit ip 192.168.0.0 0.0.255.255 10.0.0.0 0.255.255.255

! IPSec beállítások
R1(config)# crypto ipsec transform-set SETNAME esp-3des esp-md5-hmac
R1(config)# crypto map MAPNAME 10 ipsec-isakmp
R1(config-crypto-map)# set peer 200.20.2.1 ! Társ végpont
R1(config-crypto-map)# set transform-set SETNAME
R1(config-crypto-map)# set pfs group5
R1(config-crypto-map)# match address 100

! Aktiválás az interfészen
R1(config-if)# crypto map MAPNAME

! Ellenőrzés – JAVÍTVA: hiányzó ellenőrző parancsok pótolva
R1# show crypto isakmp sa ! IKE SA állapota (QM_IDLE = aktív)
R1# show crypto ipsec sa ! IPSec SA statisztikák (titkosított csomagok)
R1# show crypto map ! Crypto map konfiguráció

IPSEC VPN (Packet Tracer-ben működő)

R1(config)# username vpnuser password cisco

! AAA és Hitelesítés
R1(config)# aaa new-model
R1(config)# aaa authentication login default local
R1(config)# aaa authorization network default local

! Radius hitelesítés esetén (opcionális):
! R1(config)# aaa authentication login default group radius local
! R1(config)# aaa authorization network default group radius local
! R1(config)# radius-server host 172.16.1.1 auth-port 1645 key cisco

R1(config)# ip local pool VPN-Pool 192.168.0.20 192.168.0.25 ! Kiosztandó címek

! Hitelesítés (ISAKMP)
R1(config)# crypto isakmp policy 10
R1(config-isakmp)# encryption 3des
R1(config-isakmp)# authentication pre-share
R1(config-isakmp)# group 2
R1(config-isakmp)# lifetime 3600

! IPSec Csoport
R1(config)# crypto isakmp client configuration group vpncsoport
R1(config-isakmp-group)# key cisco123
R1(config-isakmp-group)# netmask 255.255.255.0
R1(config-isakmp-group)# pool VPN-Pool

! IPSec Beállítások
R1(config)# crypto ipsec transform-set MySet esp-3des esp-sha-hmac
R1(config)# crypto dynamic-map MyMap 10
R1(config-crypto-map)# set transform-set MySet
R1(config-crypto-map)# reverse-route

! Crypto Map összeállítása
R1(config)# crypto map VPN-Map client authentication list default
R1(config)# crypto map VPN-Map client configuration address respond
R1(config)# crypto map VPN-Map isakmp authorization list default
R1(config)# crypto map VPN-Map 10 ipsec-isakmp dynamic MyMap

! Interfészhez rendelés
R1(config)# interface FastEthernet0/0
R1(config-if)# crypto map VPN-Map

! Ellenőrzés
R1# show crypto isakmp sa ! IKE SA állapota
R1# show crypto ipsec sa ! IPSec SA statisztikák