实验7 广域网VPN(L2TP)网络综合实验-18页word资料.doc

《实验7 广域网VPN(L2TP)网络综合实验-18页word资料.doc》由会员分享，可在线阅读，更多相关《实验7 广域网VPN(L2TP)网络综合实验-18页word资料.doc（18页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、如有侵权，请联系网站删除，仅供学习与交流实验7 广域网VPN(L2TP)网络综合实验【精品文档】第 18 页实验七 广域网VPN(L2TP)网络综合实验【实验名称】 广域网VPN（L2TP）网络综合实验【实验原型】 某金融机构全省VPN网络建设（采用设备： RG-R3662路由器、RG-R2690路由器、RG-R2624路由器）【实验目的】在实验室环境根据具体真实网络建设搭建模拟环境进行综合应用实验，指导学员如何规划实施广域网VPN（L2TP）网络建设规划【预备知识】 L2TP原理基础，静态路由、L2TP VPN、ACL访问控制、安全控制等【背景描述】 【实现功能】 实现各地市VPN互联互通【

2、实验拓扑】 【实验设备】 核心设备： R3662 1台； 接入设备：R2624 2台；S3550-24 1台； 实验PC：3台；【实验步骤】 第一步路由器基本配置（1）R3642-A路由器基本配置Red-Giant！进入用户模式Red-GiantenRed-Giant#！进入特权模式Red-Giant#conf t！进入全局配置模式Enter configuration commands, one per line. End with CNTL/Z.Red-Giant(config)#hostname R3642-A！配置主机名R3642-A(config)#enable secret sta

3、r！配置特权模式密码R3642-A(config)#interface FastEthernet0！进入F0接口配置模式R3642-A(config-if)# ip address 10.0.0.10 255.255.255.252！为F0分配ip地址R3642-A(config-if)# no shut！激活网络接口R3642-A(config-if)# exit！退出接口配置模式R3642-A(config)#interface FastEthernet1R3642-A(config-if)# ip address 10.0.0.6 255.255.255.252R3642-A(confi

4、g-if)# no shutR3642-A(config-if)# exit！进入F1接口配置模式，为F1分配ip地址，激活网络接口并退出接口配置模式R3642-A(config)#interface FastEthernet2R3642-A(config-if)# ip address 192.168.2.254 255.255.255.0R3642-A(config-if)# no shutR3642-A(config-if)# exit！进入F2接口配置模式，为F2分配ip地址，激活网络接口并退出接口配置模式R3642-A(config)#ip route 192.168.0.0 255

5、.255.255.0 10.0.0.5！配置到R2624-B内部网络的静态路由R3642-A(config)#ip route 192.168.1.0 255.255.255.0 10.0.0.9！配置到R2624-C内部网络的静态路由R3642-A(config)#line vty 0 4！进入vty配置模式R3642-A(config-line)# password star！配置telnet登陆密码为starR3642-A(config-line)# login！设置远程登陆密码R3642-A(config-line)#endR3642-A#show ip interface brief

6、 Interface IP-Address OK? Method Status ProtocolFastEthernet0 10.0.0.10 YES manual up up FastEthernet1 10.0.0.6 YES manual up up FastEthernet2 unassigned YES unset administratively down down FastEthernet3 192.168.2.254 YES manual up up ！验证R3642-A接口配置信息包括ip地址和端口状态（2）R3642-B路由器基本配置Red-GiantRed-Gianten

7、Red-Giant#Red-Giant#conf tEnter configuration commands, one per line. End with CNTL/Z.Red-Giant(config)#enable password starRed-Giant(config)#line vty 0 4Red-Giant(config-line)#password starRed-Giant(config-line)#loginRed-Giant(config-line)#exit Red-Giant(config)#hostname R2624-BR2624-B(config)#inte

8、rface fastEthernet 1R2624-B(config-if)#ip address 10.0.0.5 255.255.255.252R2624-B(config-if)#ip nat outside ！定义F1接口连接外部网络R2624-B(config-if)#no shutdown R2624-B(config-if)#exitR2624-B(config)#interface fastEthernet 0R2624-B(config-if)#ip address 192.168.0.254 255.255.255.0R2624-B(config-if)#ip nat in

9、side ！定义F0接口连接内部网络，此网络的地址需要被转换R2624-B(config-if)#no shutdown R2624-B(config-if)#exitR2624-B(config)#ip route 0.0.0.0 0.0.0.0 10.0.0.6！配置默认路由R2624-B(config)#R2624-B(config)#access-list 102 deny ip any 192.168.2.0 0.0.0.255R2624-B(config)#access-list 102 permit ip any any！定义访问控制列表，定义访问列表，只有匹配该列表的地址才被转

10、换R2624-B(config)#R2624-B(config)#ip nat inside source list 102 interface FastEthernet1 overload！配置NAT方式为NAPTR2624-B(config)#endR2624-B#R2624-B#show ip interface brief Interface IP-Address OK? Method Status ProtocolFastEthernet0 192.168.0.254 YES manual up up FastEthernet1 10.0.0.5 YES manual up up ！

11、验证R2624-B接口配置信息，包括ip地址，端口状态等信息（3）R3642-C路由器基本配置Red-GiantRed-GiantenEnter configuration commands, one per line. End with CNTL/Z.Red-Giant#hostname R2624-CR2624-C(config)#R2624-C(config)#enable password starR2624-C(config)#R2624-C(config)#interface FastEthernet0R2624-C(config-if)# ip address 192.168.1

12、.254 255.255.255.0R2624-C(config-if)# ip nat insideR2624-C(config-if)# no shutR2624-C(config-if)# exitR2624-C(config)#R2624-C(config)#interface FastEthernet1R2624-C(config-if)# ip address 10.0.0.9 255.255.255.252R2624-C(config-if)# no shutR2624-C(config-if)# ip nat outsideR2624-C(config-if)# exitR26

13、24-C(config)#R2624-C(config)#ip route 0.0.0.0 0.0.0.0 10.0.0.10!配置默认路由R2624-C(config)#R2624-C(config)#access-list 102 deny ip any 192.168.2.0 0.0.0.255R2624-C(config)#access-list 102 permit ip any any！定义访问控制列表R2624-C(config)#ip nat inside source list 102 interface FastEthernet1 overload R2624-C(conf

14、ig)#R2624-C(config)#line vty 0 4R2624-C(config-line)# password starR2624-C(config-line)# loginR2624-C(config-line)#endR2624-C#R2624-C#show ip interface brief Interface IP-Address OK? Method Status ProtocolFastEthernet0 192.168.1.254 YES NVRAM up up FastEthernet1 10.0.0.9 YES NVRAM up up ！验证R2624-C的接

15、口配置信息，包括ip地址，端口状态等信息（4）基本连通性测试。本测试的测试pc为R2624-B内部ip地址为192.168.0.233的主机，通过ping命令，测试到其他网络的连通性。如果测试失败，请检查设备配置，确认设备配置无误。D:ipconfigWindows 2000 IP ConfigurationEthernet adapter 本地连接: Connection-specific DNS Suffix . : IP Address. . . . . . . . . . . . : 192.168.0.233 Subnet Mask . . . . . . . . . . . : 2

16、55.255.255.0 Default Gateway . . . . . . . . . : 192.168.0.254D:ping 192.168.0.254Pinging 192.168.0.254 with 32 bytes of data:Reply from 192.168.0.254: bytes=32 timeping 192.168.1.254Pinging 192.168.1.254 with 32 bytes of data:Reply from 192.168.1.254: bytes=32 time=2ms TTL=253Control-CC！测试到R2624-C内

17、部网络接口F0的连通性D:ping 10.0.0.5Pinging 10.0.0.5 with 32 bytes of data:Reply from 10.0.0.5: bytes=32 timeping 10.0.0.6Pinging 10.0.0.6 with 32 bytes of data:Reply from 10.0.0.6: bytes=32 time=2ms TTL=254Control-CC！测试到网关即R3642-A外部网络接口F1的连通性D:ping 10.0.0.9Pinging 10.0.0.9 with 32 bytes of data:Reply from 10

18、.0.0.9: bytes=32 time=2ms TTL=253Control-CC！测试到R2624-C外部网络接口F1的连通性D:ping 10.0.0.10Pinging 10.0.0.10 with 32 bytes of data:Reply from 10.0.0.10: bytes=32 time=2ms TTL=254Control-CC！测试到网关即R3642-A外部网络接口F0的连通性第二步L2TP配置及其验证（1）R3642-A路由器L2TP服务器端配置R3642-A#conf tEnter configuration commands, one per line. E

19、nd with CNTL/Z.R3642-A(config)#vpdn enable !启用vpdn功能R3642-A(config)#R3642-A(config)#vpdn-group 1！创建vpdn-group组R3642-A(config-vpdn)#！进入vpdn-group接口配置模式R3642-A(config-vpdn)#accept-dialin ！允许接受远程客户端拨入R3642-A(config-vpdn-acc-in)#protocol l2tp ！设置协议为L2TP协议R3642-A(config-vpdn-acc-in)#virtual-template 1！关联

20、virtual-template 1R3642-A(config-vpdn-acc-in)#exit！退出accept-dialin配置模式R3642-A(config-vpdn)#exit！退出vpdn-group接口配置模式R3642-A(config)#R3642-A(config)#username shanghai password 0 shanghai ！配置用户信息，是为了对试图远程L2TP接入本地的客户端进行用户身份验证R3642-A(config)#username xian password 0 xian！配置用户信息，是为了对试图远程L2TP接入本地的客户端进行用户身份验

21、证R3642-A(config)#R3642-A(config)#ip local pool VPDNUser 192.168.2.100 192.168.2.200 ！创建本地地址池，为远程VPN客户端用户在没有设置在VPN内使用的ip地址时分配地址R3642-A(config)#interface virtual-template 1！创建virtual-template 1R3642-A(config-if)#mtu 1400R3642-A(config-if)#ip unnumbered fastEthernet 2！配置与F2共用一个ip地址R3642-A(config-if)#pe

22、er default ip address pool VPDNUser！给VPN客户端从VPN地址池中随机分配一个地址R3642-A(config-if)#exitR3642-A(config)#end（2）R2624-A路由器L2TP客户端配置R2624-B#conf tEnter configuration commands, one per line. End with CNTL/Z.R2624-B(config)#l2tp-class 12x！创建L2TP的一个类,类名为l2xR2624-B(config-l2tp-class)#hostname shanghai！设置L2TP控制连接

23、对应的本地主机名称R2624-B(config-l2tp-class)#exitR2624-B(config)# R2624-B(config)#pseudowire-class pw！创建指定名称的pseudowire-class接口R2624-B(config-pw-class)#encapsulation l2tpv2 ！设置数据传输封装模式R2624-B(config-pw-class)#protocol l2tpv2 12x！设置L2TP控制连接参数R2624-B(config-pw-class)#ip local interface f1R2624-B(config-pw-clas

24、s)#exitR2624-B(config)#R2624-B(config)#interface virtual-ppp 1！创建指定的virtual-ppp接口设置建立L2TP会话的virtual-ppp接口R2624-B(config-if)#ip address negotiate R2624-B(config-if)#ip mtu 1400 R2624-B(config-if)#no shutdown R2624-B(config-if)#ip nat outside R2624-B(config-if)#ppp pap sent-username shanghai password

25、0 shanghaiR2624-B(config-if)#pseudowire 10.0.0.6 12 pw-class pw！设置pseudowire规则R2624-B(config-if)#exitR2624-B(config)#R2624-B#conf tR2624-B(config)#ip route 192.168.2.0 255.255.255.0 virtual-PPP 1！指定到beijing总部网络的访问通过virtual-PPP 1接口R2624-B(config)#access-list 101 permit ip any 192.168.2.0 0.0.0.255R26

26、24-B(config)#access-list 101 deny ip any any！定义访问控制列表R2624-B(config)#ip nat inside source list 101 interface Virtual-PPP1 overload ！配置动态NATP功能R2624-B(config)#exitR2624-B#（3）R2624-C路由器L2TP客户端配置R2624-C(config)#R2624-C(config)#l2tp-class 12xR2624-C(config-l2tp-class)# hostname xianR2624-C(config-l2tp-c

27、lass)# exitR2624-C(config)#R2624-C(config)#pseudowire-class pwR2624-C(config-pw-class)# encapsulation l2tpv2R2624-C(config-pw-class)# protocol l2tpv2 12xR2624-C(config-pw-class)# ip local interface FastEthernet1R2624-C(config-pw-class)# exitR2624-C(config)#R2624-C(config)#interface Virtual-PPP1R2624

28、-C(config-if)# ip address negotiateR2624-C(config-if)# ip mtu 1460R2624-C(config-if)# ip nat outsideR2624-C(config-if)# ppp pap sent-username xian password 0 xianR2624-C(config-if)# pseudowire 10.0.0.10 12 pw-class pwR2624-C(config-if)# exitR2624-C(config)#R2624-C(config)#ip route 192.168.2.0 255.25

29、5.255.0 virtual-PPP 1R2624-C(config)#R2624-C(config)#access-list 101 permit ip any 192.168.2.0 0.0.0.255R2624-C(config)#access-list 101 deny ip any anyR2624-C(config)#ip nat inside source list 101 interface Virtual-PPP1 overload（4）VPN配置验证A、相关日志信息R3642-A#%UPDOWN: Interface Virtual-Access1, changed st

30、ate to up！当有客户端拨入时，服务端若能够打印如上信息则表示L2TP呼叫已经建立，即链路层UP，否则表示L2TP协商存在问题，应检查L2TP的相关配置并进行相关调试：%UPDOWN: Line protocol on Interface Virtual-Access1, changed state to up！若在如上信息之后立即打印如上信息则表示L2TP拨入成功，否则表示PPP协商和认证存在问题，应检查PPP相关配置，一般是认证或者IP地址配置问题R2624-B#%UPDOWN: Interface Virtual-PPP1, changed state to up%UPDOWN:

31、Line protocol on Interface Virtual-PPP1, changed state to up！R2624-B出现如上两条日志，说明和对端L2TP服务器 R3642-A呼叫已经建立，L2TP拨入成功B、show vpdn信息我们可以使用show vpdn命令来显示当前的vpdn通道以及会话信息R3642-A#show vpdn L2TP Tunnel and Session Information Total tunnels 2 sessions 2！已经建立的L2TP隧道数和呼叫数LocID RemID Remote Name State Remote Addres

32、s Port Sessions L2TP Class/ VPDN Group1 1 shanghai est 10.0.0.5 1701 1 12 1 xian est 10.0.0.9 1701 1 1！隧道信息。LocID=本地分配的隧道ID，RemID=远程分配的隧道ID，Remote Name=远程主机名，State=隧道状态，est表示已经建立，RemoteAddress=远程主机地址，Port=本地UDP端口号，Sessions=此隧道包含的呼叫数 ，L2TPClass/VPDN Group=此隧道建立时所用的vpdn-group配置组。LocID RemID TunID User

33、name, Intf/ State Last Chg Vcid, Circuit1 1 1 ,Vi1 est 00:45:311 1 2 ,Vi2 est 00:06:29！呼叫信息LocID=本地分配的呼叫ID，RemID=远程分配的呼叫ID，TunID=此呼叫所属的隧道ID， Username, Intf/ Vcid, Circuit=用户名，接口简称，State=呼叫状态，est表示已经建立，Last Chg=上一次呼叫状态变化距离现在的时间%No active PPTP tunnelsR2624-B#show vpdn L2TP Tunnel and Session Informati

34、on Total tunnels 1 sessions 1LocID RemID Remote Name State Remote Address Port Sessions L2TP Class/ VPDN Group1 1 R3642-A est 10.0.0.6 1701 1 12xLocID RemID TunID Username, Intf/ State Last Chg Vcid, Circuit1 1 1 12,Vi1 est 00:46:50%No active PPTP tunnelsR2624-B#R2624-C#show vpdn L2TP Tunnel and Ses

35、sion Information Total tunnels 1 sessions 1LocID RemID Remote Name State Remote Address Port Sessions L2TP Class/ VPDN Group1 2 R3642-A est 10.0.0.10 1701 1 12xLocID RemID TunID Username, Intf/ State Last Chg Vcid, Circuit1 1 1 12,Vi1 est 00:07:59%No active PPTP tunnelsR2624-C#第三步 测试VPN功能在R3642-A，R2

36、624-B，R2624-C路由器上打开所有vpdn debug命令。（1）在R2624-B内部的主机192.168.0.233/24访问R3642-A的内部网络接口F2 ip地址为192.168.2.254/24，R3642-A，R2624-B的调试信息如下：R3642-A#VPDN PROCESS From tunnel: Received 100 byte pakVi1 VPDN PROCESS From tunnel: Queue 64 byte pak to ppp parse and iqueueVi1 VPDN PROCESS From tunnel: Pak send succe

37、ssfulVi1 VPDN PROCESS Into tunnel: Sending 100 byte pakL2X: UDP socket write 100 bytes, 10.0.0.6(1701) to 10.0.0.5(1701)R3642-A#R2624-B#Vi1 VPDN PROCESS Into tunnel: Sending 100 byte pakL2X: UDP socket write 100 bytes, 10.0.0.5(1701) to 10.0.0.6(1701)VPDN PROCESS From tunnel: Received 100 byte pakVi

38、1 VPDN PROCESS From tunnel: Queue 64 byte pak to ppp parse and iqueueVi1 VPDN PROCESS From tunnel: Pak send successfulVi1 VPDN PROCESS Into tunnel: Sending 100 byte pakR2624-B#（2）L2TP建立过程的调试信息R3642-A#debug vpdn errorR3642-A#debug vpdn eventR3642-A#debug vpdn l2x-dataR3642-A#debug vpdn l2x-errorsR364

39、2-A#debug vpdn l2x-eventsR3642-A#debug vpdn l2x-packetsR3642-A#debug vpdn packet R3642-A#L2TP: I SCCRQ from shanghai tnl 1New tunnel created for remote shanghai, address 10.0.0.5！收到来自主机shanghai的隧道建立请求VPDN PROCESS From tunnel: Received 128 byte pakL2X: Parse AVP 0, len 8, flag 0x8000 (M)L2X: Parse SC

40、CRQL2X: Parse AVP 2, len 8, flag 0x8000 (M)L2X: Protocol Ver 1L2X: Parse AVP 3, len 10, flag 0x8000 (M)L2X: Framing Cap 0x1L2X: Parse AVP 4, len 10, flag 0x8000 (M)L2X: Bearer Cap 0x0L2X: Parse AVP 6, len 8, flag 0x0L2X: Firmware Ver 0x1130L2X: Parse AVP 7, len 14, flag 0x8000 (M)L2X: Hostname shang

41、haiL2X: Parse AVP 8, len 14, flag 0x0L2X: Vendor Name redgiantL2X: Parse AVP 9, len 8, flag 0x8000 (M)L2X: Assigned Tunnel ID 1L2X: Parse AVP 10, len 8, flag 0x8000 (M)L2X: Rx Window Size 8L2X: No missing AVPs in SCCRQL2X: I SCCRQ, flg TLS, ver 2, len 100, tnl 0, ns 0, nr 0 contiguous pak, size 100

42、C8 02 00 64 00 00 00 00 00 00 00 00 80 08 00 00 00 00 00 01 80 08 00 00 00 02 01 00 80 0A 00 00 00 03 00 00 00 01 80 0A 00 00 00 04 00 00 00 00 00 08 00 00 00 06 11 30 80 0E 00 00 00 07 73 68 61 6E 67 68 61 69 00 0E .Tnl 3 L2TP: O SCCRP to shanghai tnlid 1！发送SCCRP应答，是对SCCRQ的应答Tnl 3 L2TP: O SCCRP, flg TLS, ver 2, len 99, tnl 1, ns 0, nr 1 C8 02 00 63 00 01 00 00 00 00 00 01 80 08 00 00 00 00 00 02 80 08 00 00 00 02 01 00 80 0A 00 00 00 03 00 00 00 01 80 0A 00 00 00 04 00 00 00 00 00 08 00 00 00 06 11 30 80 0D 00 00 00 07 52 3