配置Cisco ASA防火墙上面配置Remote vpn

cisco防火墙  时间:2021-02-09  阅读:()

随着现在互联网的飞速发展企业规模也越来越大一些分支企业、在外办公以及SOHO一族们需要随时随地的接入到我们企业的网络中来完成我们一些日常的工作这时我们VPN在这里就成了一个比较重要的一个角色了。

Remote VPN设备有很多。如Cisco路由器、 Cisco PIX防火墙、 Cisco ASA防火墙、 Cisco VPN3002硬件客户端或软件客户端。这极大地简化了远程端管理和配置。说的简单点就是在Server端配置复杂的策略和密钥管理等命令而在我们的客户端上只要配置很简单的几条命令就能和Server端建立VPN链路的一种技术主要的目的当然就是简化远端设备的配置和管理。

前面我们也讲解过如何在路由器上面配置Remote VPN那么今天我又带家来一起看看这个在ASA防火墙上面如何配置我们的Remote VPN呢。

第一步建立一个地址池。

远程访问客户端需要在登录期间分配一个IP地址所以我们还需要为这些客户端建立一个DHCP地址池不过如果你有DHCP服务器还可以使用DHCP服务器。

QUANMA-T(config)# ip local pool vpnpool

192. 168. 10. 100-192. 168. 10. 199 mask 255.255.255.0

第二步建立IKE第一阶段。

QUANMA-T(conf ig)# isakmp policy 1

QUANMA-T(config-isakmp-policy)# authentication pre-share

QUANMA-T(config-isakmp-policy)# encryption 3des

QUANMA-T(conf ig-isakmp-policy)# hash sha

QUANMA-T(conf ig-isakmp-policy)# group 2

QUANMA-T(config-isakmp-policy)# lifetime 43200

QUANMA-T(conf ig-i sakmp-pol icy)# exit

第三步将IKE第一阶段应用在outside接口上面。

QUANMA-T(conf ig)# isakmp enable outside

第四步定义转换集

QUANMA-T(config)# crypto ipsec transform-set vpnset esp-3desesp-sha-hmac

这里设置的转换集名字为vpnset。

第五步动态加密映射配置

QUANMA-T(config)# crypto dynamic-map outside-dyn-map 10 settransform-set vpnset

QUANMA-T(config)# crypto dynamic-map outside-dyn-map 10 setreverse-route

QUANMA-T(config)# crypto dynamic-map outside-dyn-map 10 setsecurity-association lifetime seconds 288000

第六步在静态加密映射中调用动态加密映射并应用在接口上面

QUANMA-T(config)# crypto map outside-map 10 ipsec-isakmp dynamicoutside-dyn-map

QUANMA-T(config)# crypto map outside-map interface outside

第七步 NAT穿越

它的主要作用是将三层IPSEC的ESP流量转发为四层的UDP流量。 ESP是一个三层的包只有协议号没有端口号当它想穿越一个PAT设备时 由于PAT设备是基于端口的转换所以ESP包过不了这时就要将它封装进UDP包才能正常传输源目端口都是UDP4500

QUANMA-T(config)# crypto isakmp nat-traversal //缺省keepalives时间20秒

第八步配置访问列表旁路

通过使用sysopt connect命令我们告诉ASA准许SSL/IPsec客户端绕过接口的访问列表

QUANMA-T(config)# sysopt connection permit-ipsec

第九步创建与设置组策略

组策略用于指定应用于所连接客户端的参数。在本文中我们将创建一个称之为vpnclient的组策略。

QUANMA-T(config)# group-policy vpnclient internal

QUANMA-T(config)# group-policy vpnclient attributes

QUANMA-T(config-group-policy)# dns-server value 61. 139.2.69QUANMA-T(config-group-policy)# vpn-tunnel-protocol ipsec

QUANMA-T(config-group-policy)# default-domain value liuty.cnQUANMA-T(conf ig-group-policy)# exit

第十步遂道组的建立以属性的设置

QUANMA-T(config)# tunnel-group vpnclient type ipsec-ra

QUANMA-T(config)# tunnel-group vpnclient ipsec-attributesQUANMA-T(config-tunnel-ipsec)# pre-shared-key cisco123

QUANMA-T(conf ig-tunnel-ipsec)# exit

QUANMA-T(config)# tunnel-group vpnclient general-attributesQUANMA-T(config-tunnel-general)#authentication-server-group LOCALQUANMA-T(config-tunnel-general)# default-group-policy vpnclientQUANMA-T(config-tunnel-general)# address-pool vpnpool

QUANMA-T(conf ig-tunnel-general)# exit

而在这里vpnclient就是我们在设置组用户的用户名域共享密钥就是我们组用户的密码。

第十一步配置用户账户

现在我们已经为配置用户账户做好了准备。在此我们要创建一个用户并且将此用户指派给我们的远程访问VPN

QUANMA-T(config)# username liuty password yjtfpddc

QUANMA-T(config)# username liuty attributes

QUANMA-T(config-username)# vpn-group-policy vpnclient

QUANMA-T(conf ig-username)# exit

第十二步配置NAT免除

现在我们需要告诉ASA不要对远程访问客户端和要访问的内部网络之间的通信进行网络地址转换(NAT) 。首先我们要创建一个可定义通信的访问列表然后我们将此列表用于接口的NAT语句

QUANMA-T(config)# access-list no-nat extended permit ip 192. 168.0.0

255.255.255.0 192. 168. 10.0 255.255.255.0

QUANMA-T(config)# nat (inside) 0 access-list no-nat

第十三步遂道分离设置

QUANMA-T(config)#access-list vpnclient_splitTunnelAcl standardpermit 192. 168.0.0 255.255.255.0

QUANMA-T(config)# group-policy vpnclient attributes

QUANMA-T(config-group-policy)#split-tunnel-policy tunnelspecified

QUANMA-T(config-group-policy)# split-tunnel-network-list valuevpnclient_splitTunnelAcl

QUANMA-T(conf ig-group-pol icy)# end

第十四步保存

QUANMA-T#write memory

好了上面设置就差不多了。那么我们现在来用Cisco vpn Client来拨号试试看。

打开我们“Cisco Systems VPN Client” 界面如下

点击“New”来新建一个连接。

Connection Entry输入一个名字。这里可以随便输入。

Host输入我们VPN服务端的地址。

在“Gropu Authentication”的“Name”处输入我们组的用户名

“Password与Confirm Password”处输入我们设置组的密码。

设置好了以后点击“Save”保存。

当我们新建好了以后在这里就已经有一条我们刚才建立的条目了。

点击“Connect”来进行连接。

当我们连接成功以后就需要我们输入该组下面的用户名与密码。点击“OK”进行连接。

当我们用户认证成功以后该窗口就会自动消息在我们的通知区域会显示一个不上锁的图标。

这时候点击该小锁图标我们可以查看当前所连VPN的状态。

在这里我们可以看见 Client所分配到的IP地址为192. 168. 10. 101而服务端的IP地址为222.212.76. 195 以及加密算法与连接时间还有一些其他的东西。

而在Route Details里面可以看见我们通过VPN能够访问到的网段。

在这里我们可以看见我们能够访问服务端的192. 168.0.0/24这个网段里面的资源。

我们现在打开命令提示符输入“ipconfig /all”我们可以查看当前分配到的IP地址。

我们现在来ping一下我们企业内部的一台文件服务器看看

从上图我们可以看见我们现在已经ping通了我们内部的文件服务器了。到此为止我们在Cisco ASA防火墙上面配置Remote VPN就已经到此为止了。

下面附件里面附带有PDF文档与自动配置角本文件只需修改一下导入进去就可以用了。

BlueHost主机商年中618活动全场低至五折

BlueHost 主机商在以前做外贸网站的时候还是经常会用到的,想必那时候有做外贸网站或者是选择海外主机的时候还是较多会用BlueHost主机商的。只不过这些年云服务器流行且性价比较高,于是大家可选择商家变多,但是BlueHost在外贸主机用户群中可选的还是比较多的。这次年中618活动大促来袭,毕竟BLUEHOST商家目前中文公司设立在上海,等后面有机会也过去看看。他们也会根据我们的国内年中促销发...

10gbiz($2.36/月),香港/洛杉矶CN2 GIA线路VPS,香港/日本独立服务器

10gbiz发布了9月优惠方案,针对VPS、独立服务器、站群服务器、高防服务器等均提供了一系列优惠方面,其中香港/洛杉矶CN2 GIA线路VPS主机4折优惠继续,优惠后最低每月仅2.36美元起;日本/香港独立服务器提供特价款首月1.5折27.43美元起;站群/G口服务器首月半价,高防服务器永久8.5折等。这是一家成立于2020年的主机商,提供包括独立服务器租用和VPS主机等产品,数据中心包括美国洛...

Hosteons:洛杉矶/纽约/达拉斯免费升级10Gbps端口,KVM年付21美元起

今年1月的时候Hosteons开始提供1Gbps端口KVM架构VPS,目前商家在LET发布消息,到本月30日之前,用户下单洛杉矶/纽约/达拉斯三个地区机房KVM主机可以从1Gbps免费升级到10Gbps端口,最低年付仅21美元起。Hosteons是一家成立于2018年的国外VPS主机商,主要提供VPS、Hybrid Dedicated Servers及独立服务器租用等,提供IPv4+IPv6,支持...

cisco防火墙为你推荐
discuznt如何把discuz!nt的LOGO,改了ovOV摄像头是哪个国家的行业关键词为什么有些行业关键词竟价出价很低有些行业很高bbsxpbbsxp 2008 无法创建数据库站长故事爱迪生的故事湖南商标注册湖南商标注册最好的公司万网核心代理哪里可以注册免费代理?中国论坛大全安徽论坛都有哪些?公章制作如何用photoshop制作公章伪静态伪静态和真静态哪种静态方式好
论坛虚拟主机 服务器租用托管 GGC webhosting 外国服务器 themeforest mediafire下载 腾讯云数据库 国外bt 日志分析软件 seovip 亚洲小于500m 52测评网 蜗牛魔方 域名转向 admit的用法 qq对话框 web服务器安全 厦门电信 环聊 更多