Partie 3 : Configuration des paramètres IPsec
sur R3
Étape 1 : Configuration du routeur R3 de
manière à prendre en charge un VPN de site à site avec
R1.
Maintenant nous configurons les paramètres
réciproques sur R3. Configurez la liste de
contrôle d'accès 110 en identifiant le trafic
issu du LAN sur R3 vers le LAN sur R1 comme
étant le trafic intéressant.
R3(config)# access-list 110 permit ip 192.168.3.0
0.0.0.255 192.168.1.0 0.0.0.255
37
Étape 2 : Configuration des
propriétés ISAKMP de phase 1 sur R3.
Nous configurons les propriétés 10
de la stratégie de chiffrement ISAKMP sur R3
avec la clé de chiffrement partagée
Cisco.
R3(config)# crypto isakmp policy 10
R3(config-isakmp)# encryption aes
R3(config-isakmp)# authentication pre-share
R3(config-isakmp)# group 2
R3(config-isakmp)# exit
R3(config)# crypto isakmp key cisco address
10.1.1.1
Étape 3 : Configuration des
propriétés ISAKMP de phase 2 sur R1.
Comme nous l'avons fait sur R1, en
créant le transform-set VPN-SET de
manière à utiliser esp-3des et
esp-sha-hmac. Nous allons ensuite créer la carte de
chiffrement VPN-MAP qui lie ensemble tous les
paramètres de phase 2. Nous allons utiliser le numéro d'ordre
10 comme l'identifiant de la carte
ipsec-isakmp.
R3(config)# crypto ipsec transform-set VPN-SET esp-3des
esp-sha-hmac R3(config)# crypto map VPN-MAP 10 ipsec-isakmp
R3(config-crypto-map)# description VPN connection to R1
R3(config-crypto-map)# set peer 10.1.1.1
R3(config-crypto-map)# set transform-set VPN-SET
R3(config-crypto-map)# match address 110
R3(config-crypto-map)# exit
Étape 4 : Configuration de la carte de chiffrement
sur l'interface de sortie.
Enfin, nous lions la carte de chiffrement VPN-MAP
à l'interface Serial 0/1 de sortie. Remarque :
cet exercice n'est pas noté.
R3(config)# interface S0/0
R3(config-if)# crypto map VPN-MAP
38
Partie 4 : Vérification du VPN IPsec
Étape 1 : Vérification du tunnel avant le
trafic intéressant.
Exécutons la commande show crypto ipsec sa
sur R1 en notant que le nombre de paquets
encapsulés, chiffrés, décapsulés et
déchiffrés est défini à 0.
R1# show crypto ipsec sa
interface: Serial0/0
Crypto map tag: VPN-MAP, local addr 10.1.1.1
protected vrf: (none)
local ident (addr/mask/prot/port): (192.168.1.0/255.255.255.0/0)
remote ident (addr/mask/prot/port): (192.168.3.0/255.255.255.0/0) current_peer
10.2.2.1 port 500
PERMIT, flags={origin_is_acl,}
|
#pkts encaps: 0, #pkts encrypt: 0,
|
#pkts digest: 0
|
|
|
|
#pkts decaps: 0, #pkts decrypt: 0,
|
#pkts verify: 0
|
#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 0, #pkts compr. failed: 0
#pkts not decompressed: 0, #pkts decompress failed: 0 #send
errors 0, #recv errors 0
local crypto endpt.: 10.1.1.1, remote crypto endpt.:10.2.2.1 path
mtu 1500, ip mtu 1500, ip mtu idb Serial0/0
current outbound spi: 0x0(0)
<Résultat omis>
Étape 2 : Création du trafic
intéressant.
Nous allons envoyer une requête Ping de PC-C
à PC-A.
39
Étape 3 : Vérification du tunnel
après le trafic intéressant.
Sur R1, ré-exécutons la commande
show crypto ipsec sa.
Notons maintenant que le nombre de paquets est supérieur
à 0, ce qui indique que le tunnel VPN IPsec fonctionne.
R1# show crypto ipsec sa
interface: Serial0/0
Crypto map tag: VPN-MAP, local add 10.1.1.2
protected vrf: (none)
local ident (addr/mask/prot/port):
(192.168.1.0/255.255.255.0/0)
remote ident (addr/mask/prot/port):
(192.168.3.0/255.255.255.0/0)
current_peer 10.2.2.1 port 500
PERMIT, flags={origin_is_acl,}
#pkts encaps: 3, #pkts encrypt: 3, #pkts digest: 0
#pkts decaps: 3, #pkts decrypt: 3, #pkts verify: 0
#pkts compressed: 0, #pkts decompressed: 0
#pkts not compressed: 0, #pkts compr. failed: 0
#pkts not decompressed: 0, #pkts decompress failed: 0
#send errors 1, #recv errors 0
local crypto endpt.: 10.1.1.1, remote crypto endpt.:10.2.2.1 path
mtu 1500, ip mtu 1500, ip mtu idb Serial0/0
current outbound spi: 0x0A496941(172583233)
<Résultat omis>
Étape 4 : Création du trafic non
intéressant.
Envoyons une requête Ping de PC-B vers
PC-A.
Étape 5 : Vérification du
tunnel.
Sur R1, nous allons ré-exécuter
la commande show crypto ipsec sa pour vérifier que le
nombre de paquets n'a pas changé, ce qui prouve que le trafic qui n'est
pas intéressant n'est pas chiffré. Nous procéderons de la
même manière chaque fois qu'un nouveau routeur est installé
à un site dont le besoin sera de sécuriser le trafic du LAN
auquel il appartient le routeur.
40
| 
