当前位置： 首页 > 编程日记 > 正文

两分公支的IPSec***流量走总部测试

编程日记 2024-12-25 07:40:00
一.概述：
在论坛上看到一个朋友发帖希望两个分支的IPSEC ***流量经过总部，如是搭建拓扑测试了一下，因为跑两个VM版的ASA8.42机器性能不过，所以用PIX8.0来代替ASA,应该主要配置都跟ASA8.0差不多。
二.基本思路：
A.两个分支的互访流量利用已有的到总公司的IPSec ***连接
B.修改感兴趣，使得分支到分支的流量能走总部再到分支
三.测试拓扑：
153115360.jpg
四.基本配置：
A.广州总部防火墙FW1：
interface Ethernet0
nameif Inside
security-level 100
ip address 192.168.1.1 255.255.255.0
no shut
interface Ethernet1
nameif Outside
security-level 0
ip address 1.1.1.1 255.255.255.252
no shut
route Outside 0.0.0.0 0.0.0.0 1.1.1.2
access-list Outside extended permit icmp any any
access-group Outside in interface Outside
same-security-traffic permit intra-interface
----因为后续需要两分支的流量即走Outside进，又走Outside接口出，即接口反弹流量，所以需要相同接口流量访问。
B.广州总部网关路由器GZWG:
interface Ethernet0/0
ip address 1.1.1.2 255.255.255.252
ip nat inside
no shut
interface Ethernet0/1
ip address 202.100.1.2 255.255.255.252
ip nat outside
no shut
ip access-list extended PAT
permit ip host 1.1.1.1 any
permit ip 192.168.1.0 0.0.0.255 any
ip route 0.0.0.0 0.0.0.0 202.100.1.1
ip route 192.168.1.0 255.255.255.0 1.1.1.1
ip nat inside source list PAT interface Ethernet0/1 overload
ip nat inside source static udp 1.1.1.1 4500 interface Ethernet0/1 4500
ip nat inside source static udp 1.1.1.1 500 interface Ethernet0/1 500
C.运营商路由器ISP:
interface Ethernet0/0
ip address 202.100.1.1 255.255.255.252
no shut
interface Ethernet0/1
ip address 202.100.1.9 255.255.255.252
no shut
interface Ethernet0/2
ip address 202.100.1.5 255.255.255.252
no shut
D.北京分支网关路由器BJGW:
interface Ethernet0/0
ip address 2.2.2.1 255.255.255.252
ip nat inside
no shut
interface Ethernet0/1
ip address 202.100.1.10 255.255.255.252
ip nat outside
no shut
ip route 0.0.0.0 0.0.0.0 202.100.1.9
ip route 192.168.2.0 255.255.255.0 2.2.2.2
ip access-list extended PAT
permit ip host 2.2.2.2 any
permit ip 192.168.2.0 0.0.0.255 any

ip nat inside source list PAT interface Ethernet0/1 overload

ip nat inside source static udp 2.2.2.2 4500 interface Ethernet0/1 4500
ip nat inside source static udp 2.2.2.2 500 interface Ethernet0/1 500

---如果不配置静态PAT,则不能由总部直接向这边发起***访问。

E. 北京分支防火墙FW2：
interface Ethernet0
nameif Inside
security-level 100
ip address 192.168.2.1 255.255.255.0
no shut
interface Ethernet1
nameif Outside
security-level 0
ip address 2.2.2.2 255.255.255.252
no shut
route Outside 0.0.0.0 0.0.0.0 2.2.2.1 1
access-list Outside extended permit icmp any any
access-group Outside in interface Outside
F. 上海分支网关路由器SHGW：
interface Ethernet0/0
ip address 192.168.3.1 255.255.255.0
ip nat inside
no shut
interface Ethernet0/1
ip address 202.100.1.6 255.255.255.252
ip nat outside
no shut
ip route 0.0.0.0 0.0.0.0 202.100.1.5
ip access-list extended PAT
deny ip 192.168.3.0 0.0.0.255 192.168.1.0 0.0.0.255
deny ip 192.168.3.0 0.0.0.255 192.168.2.0 0.0.0.255
permit ip 192.168.3.0 0.0.0.255 any
ip nat inside source list PAT interface Ethernet0/1 overload
G.访问互联网测试：
spacer.gif153331392.jpg
①广州总部访问互联网：
153425131.jpg
ISP#debug ip icmp
ICMP packet debugging is on
ISP#
*Mar 1 02:44:21.135: ICMP: echo reply sent, src 202.100.1.1, dst 202.100.1.2
*Mar 1 02:44:22.411: ICMP: echo reply sent, src 202.100.1.1, dst 202.100.1.2
*Mar 1 02:44:23.467: ICMP: echo reply sent, src 202.100.1.1, dst 202.100.1.2
*Mar 1 02:44:24.659: ICMP: echo reply sent, src 202.100.1.1, dst 202.100.1.2
*Mar 1 02:44:25.743: ICMP: echo reply sent, src 202.100.1.1, dst 202.100.1.2
②北京分支访问互联网测试：
spacer.gif153524462.jpg
ISP#debug ip icmp
ICMP packet debugging is on
ISP#
*Mar 1 02:46:28.855: ICMP: echo reply sent, src 202.100.1.9, dst 202.100.1.10
*Mar 1 02:46:30.151: ICMP: echo reply sent, src 202.100.1.9, dst 202.100.1.10
*Mar 1 02:46:31.363: ICMP: echo reply sent, src 202.100.1.9, dst 202.100.1.10
*Mar 1 02:46:32.427: ICMP: echo reply sent, src 202.100.1.9, dst 202.100.1.10
*Mar 1 02:46:33.631: ICMP: echo reply sent, src 202.100.1.9, dst 202.100.1.10
③上海分支访问互联网测试：
spacer.gif153656124.jpg
ISP#debug ip icmp
ICMP packet debugging is on
ISP#
*Mar 1 02:48:03.875: ICMP: echo reply sent, src 202.100.1.5, dst 202.100.1.6
*Mar 1 02:48:05.003: ICMP: echo reply sent, src 202.100.1.5, dst 202.100.1.6
*Mar 1 02:48:06.115: ICMP: echo reply sent, src 202.100.1.5, dst 202.100.1.6
*Mar 1 02:48:07.183: ICMP: echo reply sent, src 202.100.1.5, dst 202.100.1.6
*Mar 1 02:48:08.279: ICMP: echo reply sent, src 202.100.1.5, dst 202.100.1.6
五.***配置：
A.广州总部防火墙：
①第一阶段策略：
crypto isakmp policy 10
authentication pre-share
encryption des
hash md5
group 2
tunnel-group 202.100.1.6 type ipsec-l2l
tunnel-group 202.100.1.6 ipsec-attributes
pre-shared-key cisco
tunnel-group 202.100.1.10 type ipsec-l2l
tunnel-group 202.100.1.10 ipsec-attributes
pre-shared-key cisco
②第二阶段转换集：
crypto ipsec transform-set transet esp-des esp-md5-hmac
③配置感兴趣流：
access-list ***-GZ-to-BJ extended permit ip 192.168.1.0 255.255.255.0 192.168.2.0 255.255.255.0
access-list ***-GZ-to-BJ extended permit ip 192.168.3.0 255.255.255.0 192.168.2.0 255.255.255.0
access-list ***-GZ-to-SH extended permit ip 192.168.1.0 255.255.255.0 192.168.3.0 255.255.255.0
access-list ***-GZ-to-SH extended permit ip 192.168.2.0 255.255.255.0 192.168.3.0 255.255.255.0
③配置crypto map并在接口调用：
crypto map crymap 10 match address ***-GZ-to-SH
crypto map crymap 10 set peer 202.100.1.6
crypto map crymap 10 set transform-set transet
crypto map crymap 20 match address ***-GZ-to-BJ
crypto map crymap 20 set peer 202.100.1.10
crypto map crymap 20 set transform-set transet
crypto map crymap interface Outside
crypto isakmp enable Outside
B.北京分支防火墙：
①第一阶段策略：
crypto isakmp policy 10
authentication pre-share
encryption des
hash md5
group 2
tunnel-group 202.100.1.2 type ipsec-l2l
tunnel-group 202.100.1.2 ipsec-attributes
pre-shared-key cisco
②第二阶段转换集：
crypto ipsec transform-set transet esp-des esp-md5-hmac
③配置感兴趣流：
access-list *** extended permit ip 192.168.2.0 255.255.255.0 192.168.1.0 255.255.255.0
access-list *** extended permit ip 192.168.2.0 255.255.255.0 192.168.3.0 255.255.255.0
③配置crypto map并在接口调用：
crypto map crymap 10 match address ***
crypto map crymap 10 set peer 202.100.1.2
crypto map crymap 10 set transform-set transet
crypto map crymap interface Outside
crypto isakmp enable Outside
C.上海分支路由器：
①第一阶段策略：
crypto isakmp policy 10
hash md5
authentication pre-share
group 2
crypto isakmp key cisco address 202.100.1.2
②第二阶段转换集：
crypto ipsec transform-set transet esp-des esp-md5-hmac
③配置感兴趣流：
ip access-list extended ***
permit ip 192.168.3.0 0.0.0.255 192.168.1.0 0.0.0.255
permit ip 192.168.3.0 0.0.0.255 192.168.2.0 0.0.0.255
③配置crypto map并在接口调用：
crypto map crymap 10 ipsec-isakmp
set peer 202.100.1.2
set transform-set transet
match address ***
crypto map crymap
interface Ethernet0/1
crypto map crymap
六.***测试：
A.北京分支访问广州总部：
spacer.gif153753406.jpg
BJpix# show crypto isakmp sa

Active SA: 1
Rekey SA: 0 (A tunnel will report 1 Active and 1 Rekey SA during rekey)
Total IKE SA: 1

1 IKE Peer: 202.100.1.2
Type : L2L Role : initiator
Rekey : no State : MM_ACTIVE
B.上海分支访问广州总部：
spacer.gif153838203.jpg
SHGW#show crypto isakmp sa
dst src state conn-id slot status
202.100.1.2 202.100.1.6 QM_IDLE 1 0 ACTIVE

SHGW#show crypto engine connections active

ID Interface IP-Address State Algorithm Encrypt Decrypt
1 Ethernet0/1 202.100.1.6 set HMAC_MD5+DES_56_CB 0 0
2001 Ethernet0/1 202.100.1.6 set DES+MD5 4 0
2002 Ethernet0/1 202.100.1.6 set DES+MD5 0 4
C.北京和上海通过总部进行互访：
spacer.gif153932384.jpg
SHGW#show crypto engine connections active

ID Interface IP-Address State Algorithm Encrypt Decrypt
1 Ethernet0/1 202.100.1.6 set HMAC_MD5+DES_56_CB 0 0
2 Ethernet0/1 202.100.1.6 set HMAC_MD5+DES_56_CB 0 0
2001 Ethernet0/1 202.100.1.6 set DES+MD5 4 0
2002 Ethernet0/1 202.100.1.6 set DES+MD5 0 4
2003 Ethernet0/1 202.100.1.6 set DES+MD5 4 0
2004 Ethernet0/1 202.100.1.6 set DES+MD5 0 3

SHGW#show crypto isakmp sa
dst src state conn-id slot status
202.100.1.2 202.100.1.6 QM_IDLE 2 0 ACTIVE

https://www.dkcj.cn/info/33342.html

相关文章：

OpenCV代码提取：cvtColor函数的实现

OpenCV中的cvtColor函数包括了很多颜色格式之间的转换，用起来很方便，这里对cvtColor函数的code进行了提取，经测试，和OpenCV3.1结果完全一致。实现代码cvtColor.hpp:// fbc_cv is free software and uses the same licence as Open…

编程日记2024/12/25 07:30:00

关于java.util.LinkedHashMap cannot be cast to ......的解决办法

今天在项目中遇到一个问题，接口接收到list在对list进行遍历的时候报出如下错误: 断点看一下这个list感觉没有任何的问题: 那为什么会报这个错误呢 这个接口是这样的，在想会不会是json在转list的时候把这个list给整坏了。 于是，我把这个list再…

编程日记2024/12/25 07:20:00

三两下实现NLP训练和预测，这四个框架你要知道

作者 | 狄东林 刘元兴 朱庆福 胡景雯编辑 | 刘元兴，崔一鸣来源 | 哈工大SCIR（ID:HIT_SCIR)引言随着人工智能的发展，越来越多深度学习框架如雨后春笋般涌现，例如PyTorch、TensorFlow、Keras、MXNet、Theano 和 PaddlePaddle 等。这…

编程日记2024/12/25 07:10:00

大学计算机基础实验

下载2013算法实验报告.rar转载于:https://www.cnblogs.com/shajianheng/p/3381968.html

编程日记2024/12/25 07:00:00

java基础(十三)-----详解内部类——Java高级开发必须懂的

java基础(十三)-----详解内部类——Java高级开发必须懂的 目录 为什么要使用内部类内部类基础静态内部类 成员内部类 成员内部类的对象创建继承成员内部类局部内部类推荐博客匿名内部类正文 可以将一个类的定义放在另一个类的定义内部，这就是内部类。 回到顶部为什么…

编程日记2024/12/25 06:50:00

C++中函数指针的使用

A function pointer is a variable that stores the address of a function that can later be called through that function pointer. This is useful because functions encapsulate behavior.函数指针是一个指向函数的指针,函数指针表示一个函数的入口地址。指针是变量&…

编程日记2024/12/25 06:40:00

只做好CTR预估远不够，淘宝融合CTR、GMV、收入等多目标有绝招

作者 | 吴海波转载自知乎用户吴海波【导读】一直以来，电商场景就存在 ctr、cvr、gmv、成交 uv 等多个目标，都是核心指标。理想情况下，提升 ctr 就能提升 gmv，但本文作者认为，在一定程度上， ctr 和 gmv 并不…

编程日记2024/12/25 06:30:00

Android监听HOME按键

2019独角兽企业重金招聘Python工程师标准>>> <!-- lang: java --> class HomeKeyEventBroadCastReceiver extends BroadcastReceiver {static final String SYSTEM_REASON "reason";static final String SYSTEM_HOME_KEY "homekey";// …

编程日记2024/12/25 06:20:00

OpenCV代码提取：merge/split函数的实现

对OpenCV中的merge/split函数进行了实现&#xff0c;经测试&#xff0c;与OpenCV3.1结果完全一致。merge实现代码merge.hpp&#xff1a;// fbc_cv is free software and uses the same licence as OpenCV // Email: fengbingchun163.com#ifndef FBC_CV_MERGE_HPP_ #define FBC_…

编程日记2024/12/25 06:10:00

DeepMind提图像生成的递归神经网络DRAW，158行Python代码复现

作者 | Samuel Noriega译者 | Freesia编辑 | 夕颜出品 | AI科技大本营&#xff08;ID: rgznai100&#xff09;【导读】最近&#xff0c;谷歌 DeepMInd 发表论文( DRAW: A Recurrent Neural Network For Image Generation&#xff09;&#xff0c;提出了一个用于图像生成的递归神…

编程日记2024/12/25 06:00:00

其他进制的数字

JS中如果需要表示16进制的数字,则需要以0X开头 0X10 八进制数字以0开头 070 070有些浏览器会以8进制解析,但是有些则用10进制解析,10进制为70,8进制为56 所以parseint() 第二个参数可以设定进制,比如 parseint(“070”,10)代表以10进制解析070 2进制以0b开头,但是不是所有浏览…

编程日记2024/12/25 05:50:00

java中的移位运算符

移位运算符是在数字的二进制形式上进行平移。主要有左移&#xff08;<<&#xff09;、带符号右移&#xff08;>>&#xff09;以及无符号右移&#xff08;>>>&#xff09;。左移运算符&#xff08;<<&#xff09;的运算规则为&#xff1a;按二进制形…

编程日记2024/12/25 05:40:00

C++11中nullptr的使用

在C语言中&#xff0c;NULL实际上是一个void* 的指针&#xff0c;然后把void* 指针赋值给其它类型的指针的时候&#xff0c;会隐式转换成相应的类型。而如果用一个C编译器来编译的时候是要出错的&#xff0c;因为C是强类型的&#xff0c;void* 是不能隐式转换成其它指针类型的。…

编程日记2024/12/25 05:30:00

埃森哲、亚马逊和万事达卡抱团推出的区块链项目有何神通？

据外媒报道&#xff0c;今日埃森哲宣布了一项新的区块链项目&#xff0c;该项目为基于区块链的循环供应链&#xff0c;将与万事达卡和亚马逊共同合作。据官方介绍&#xff0c;这个基于区块链的循环供应链能够让客户识别供应链上的小规模供应商和种植者&#xff0c;例如&#xf…

编程日记2024/12/25 05:20:00

小团队如何玩转物联网开发？

近几年来&#xff0c;物联网发展迅速&#xff1a;据中商产业研究院《2016——2021年中国物联网产业市场研究报告》显示&#xff0c;预计到2020年&#xff0c;中国物联网的整体规模将达2.2万亿元&#xff0c;产业规模比互联网大30倍。与之相反的是&#xff0c;物联网开发者在开发…

编程日记2024/12/25 05:10:00

Build Boost C++ libraries for x32/x64 VC++ compilers on Windows

2019独角兽企业重金招聘Python工程师标准>>> Boost is a set of libraries for the C programming language that provide support for tasks and structures such as linear algebra, pseudorandom number generation, multithreading, image processing, regular …

编程日记2024/12/25 05:00:00

C++11中auto的使用

在C语言中&#xff0c;就有了auto关键字&#xff0c;它被当作是一个变量的存储类型修饰符&#xff0c;表示自动变量(局部变量)。它不能被单独使用&#xff0c;否则编译器会给出警告。在C11标准中&#xff0c;添加了新的类型推导特性。在C 11中&#xff0c;使用auto定义的变量不…

编程日记2024/12/25 04:50:00

攻和防谁更厉害？AI技术在恶意软件检测中的应用和对抗

AI技术的发展为网络安全带来新机遇的同时&#xff0c;黑客也在逐渐利用AI漏洞建立对抗样本以躲避攻击&#xff0c;双方在各自领域的更多尝试也将是AI技术发展的一场新博弈。那么&#xff0c;在应用中&#xff0c;如何利用AI检测技术与恶意软件展开对抗&#xff1f; 腾讯安全技术…

编程日记2024/12/25 04:40:00

一文看懂机器学习中的常用损失函数

作者丨stephenDC编辑丨zandy来源 | 大数据与人工智能&#xff08;ID: ai-big-data&#xff09;导语&#xff1a;损失函数虽然简单&#xff0c;却相当基础&#xff0c;可以看做是机器学习的一个组件。机器学习的其他组件&#xff0c;还包括激活函数、优化器、模型等。本文针对机…

编程日记2024/12/25 04:30:00

Using Apache2 with JBoss AS7 on Ubuntu

大体思路同《Using Apache Web Server with Jboss AS 7》一致&#xff0c;但在Ubuntu上的操作与之前有些区别。 这里仍然演示mod_proxy的配置。 首先加载相应的模块。Ubuntu中加载模块和卸载模块均可以通过命令操作&#xff0c;与其对应的命令分别是a2enmod和a2dismod。 启用…

编程日记2024/12/25 04:20:00

OpenCV代码提取：rotate函数的实现

OpenCV中并没有直接提供实现rotate的函数&#xff0c;这里通过getRotationMatrix2D和warpAffine函数实现rotate&#xff0c;并增加了一个crop参数&#xff0c;用来判断是否进行crop。目前支持uchar和float两种类型&#xff0c;经测试&#xff0c;与OpenCV3.1结果完全一致。公式…

编程日记2024/12/25 04:10:00

在 Node.js 中用子进程操作标准输入/输出

翻译&#xff1a;疯狂的技术宅原文&#xff1a;http://2ality.com/2018/05/chi... 本文首发微信公众号&#xff1a;jingchengyideng欢迎关注&#xff0c;每天都给你推送新鲜的前端技术文章 在本中&#xff0c;我们在 Node.js 中把 shell 命令作为子进程运行。然后异步读取这些进…

编程日记2024/12/25 04:00:00

再见，Python 2.x

整理 | 屠敏来源 | CSDN&#xff08;ID&#xff1a;CSDNnews&#xff09;在技术的长河中&#xff0c;软件、工具、系统等版本的迭代本是常事&#xff0c;但由于使用习惯、版本的兼容性、易用性等因素&#xff0c;很多用户及开发者在使用或做开发的过程中&#xff0c;并不愿意及…

编程日记2024/12/25 03:50:00

Android UI系列-----CheckBox和RadioButton(1)

主要记录一下CheckBox多选框和RadioGroup、RadioButton单选框的设置以及注册监听器 1.CheckBox 布局文件&#xff1a; <LinearLayout xmlns:android"http://schemas.android.com/apk/res/android"xmlns:tools"http://schemas.android.com/tools"android…

编程日记2024/12/25 03:40:00

C++中struct的使用

C语言继承了C语言的struct&#xff0c;并且加以扩充。在C语言中struct是只能定义数据成员&#xff0c;而不能定义成员函数的。而在C中&#xff0c;struct类似于class&#xff0c;在其中既可以定义数据成员&#xff0c;又可以定义成员函数。结构类型是用户定义的复合类型&#x…

编程日记2024/12/25 03:30:00

填报表中也可以添加 html 事件

在实际的项目开发中&#xff0c;填报表的应用十分广泛。 多数情况下&#xff0c;填报表会作为整个项目的一部分配合需求灵活使用&#xff0c;但有时也会受大项目环境的影响&#xff0c;产生一些特别的要求。比如&#xff0c;通常报表单元格的数据类型大多是文本&#xff0c;有时…

编程日记2024/12/25 03:20:00

60+业内技术专家，9大核心技术专题，AI ProCon倒计时一周！

2018 年&#xff0c;由 CSDN 举办的第一届 AI 开发者大会喊出“只讲技术&#xff0c;拒绝空谈”&#xff0c;两天会议时间&#xff0c;国内外几十家顶尖科技企业讲述了其主流技术及其应用案例&#xff0c;真正引领国内开发者紧跟技术浪潮。一年过去&#xff0c;在你还未有所觉察…

编程日记2024/12/25 03:10:00

密码学研究-数字签名

引入&#xff1a;提到签名&#xff0c;大家都不陌生&#xff0c;大家知道&#xff0c;重大的文件一般都要领导签名&#xff0c;来确保这个文件的真实有效。而一些比较重要的合同&#xff0c;比如买房的购房合同&#xff0c;都要盖“骑缝章”&#xff0c;这个骑缝章&#xff0c;…

编程日记2024/12/25 03:00:00

C++11中shared_ptr的使用

在C中&#xff0c;动态内存的管理是通过一对运算符来完成的&#xff1a;new&#xff0c;在动态内存中为对象分配空间并返回一个指向该对象的指针&#xff0c;可以选择对对象进行初始化&#xff1b;delete&#xff0c;接受一个动态对象的指针&#xff0c;销毁该对象&#xff0c;…

编程日记2024/12/25 02:50:00

colly源码学习

colly源码学习 colly是一个golang写的网络爬虫。它使用起来非常顺手。看了一下它的源码&#xff0c;质量也是非常好的。本文就阅读一下它的源码。 使用示例 func main() {c : colly.NewCollector()// Find and visit all linksc.OnHTML("a[href]", func(e *colly.HTM…

编程日记2024/12/25 02:40:00