配置Cisco ASA防火墙上面配置Remote vpn

cisco防火墙  时间:2021-02-09  阅读:()

随着现在互联网的飞速发展企业规模也越来越大一些分支企业、在外办公以及SOHO一族们需要随时随地的接入到我们企业的网络中来完成我们一些日常的工作这时我们VPN在这里就成了一个比较重要的一个角色了。

Remote VPN设备有很多。如Cisco路由器、 Cisco PIX防火墙、 Cisco ASA防火墙、 Cisco VPN3002硬件客户端或软件客户端。这极大地简化了远程端管理和配置。说的简单点就是在Server端配置复杂的策略和密钥管理等命令而在我们的客户端上只要配置很简单的几条命令就能和Server端建立VPN链路的一种技术主要的目的当然就是简化远端设备的配置和管理。

前面我们也讲解过如何在路由器上面配置Remote VPN那么今天我又带家来一起看看这个在ASA防火墙上面如何配置我们的Remote VPN呢。

第一步建立一个地址池。

远程访问客户端需要在登录期间分配一个IP地址所以我们还需要为这些客户端建立一个DHCP地址池不过如果你有DHCP服务器还可以使用DHCP服务器。

QUANMA-T(config)# ip local pool vpnpool

192. 168. 10. 100-192. 168. 10. 199 mask 255.255.255.0

第二步建立IKE第一阶段。

QUANMA-T(conf ig)# isakmp policy 1

QUANMA-T(config-isakmp-policy)# authentication pre-share

QUANMA-T(config-isakmp-policy)# encryption 3des

QUANMA-T(conf ig-isakmp-policy)# hash sha

QUANMA-T(conf ig-isakmp-policy)# group 2

QUANMA-T(config-isakmp-policy)# lifetime 43200

QUANMA-T(conf ig-i sakmp-pol icy)# exit

第三步将IKE第一阶段应用在outside接口上面。

QUANMA-T(conf ig)# isakmp enable outside

第四步定义转换集

QUANMA-T(config)# crypto ipsec transform-set vpnset esp-3desesp-sha-hmac

这里设置的转换集名字为vpnset。

第五步动态加密映射配置

QUANMA-T(config)# crypto dynamic-map outside-dyn-map 10 settransform-set vpnset

QUANMA-T(config)# crypto dynamic-map outside-dyn-map 10 setreverse-route

QUANMA-T(config)# crypto dynamic-map outside-dyn-map 10 setsecurity-association lifetime seconds 288000

第六步在静态加密映射中调用动态加密映射并应用在接口上面

QUANMA-T(config)# crypto map outside-map 10 ipsec-isakmp dynamicoutside-dyn-map

QUANMA-T(config)# crypto map outside-map interface outside

第七步 NAT穿越

它的主要作用是将三层IPSEC的ESP流量转发为四层的UDP流量。 ESP是一个三层的包只有协议号没有端口号当它想穿越一个PAT设备时 由于PAT设备是基于端口的转换所以ESP包过不了这时就要将它封装进UDP包才能正常传输源目端口都是UDP4500

QUANMA-T(config)# crypto isakmp nat-traversal //缺省keepalives时间20秒

第八步配置访问列表旁路

通过使用sysopt connect命令我们告诉ASA准许SSL/IPsec客户端绕过接口的访问列表

QUANMA-T(config)# sysopt connection permit-ipsec

第九步创建与设置组策略

组策略用于指定应用于所连接客户端的参数。在本文中我们将创建一个称之为vpnclient的组策略。

QUANMA-T(config)# group-policy vpnclient internal

QUANMA-T(config)# group-policy vpnclient attributes

QUANMA-T(config-group-policy)# dns-server value 61. 139.2.69QUANMA-T(config-group-policy)# vpn-tunnel-protocol ipsec

QUANMA-T(config-group-policy)# default-domain value liuty.cnQUANMA-T(conf ig-group-policy)# exit

第十步遂道组的建立以属性的设置

QUANMA-T(config)# tunnel-group vpnclient type ipsec-ra

QUANMA-T(config)# tunnel-group vpnclient ipsec-attributesQUANMA-T(config-tunnel-ipsec)# pre-shared-key cisco123

QUANMA-T(conf ig-tunnel-ipsec)# exit

QUANMA-T(config)# tunnel-group vpnclient general-attributesQUANMA-T(config-tunnel-general)#authentication-server-group LOCALQUANMA-T(config-tunnel-general)# default-group-policy vpnclientQUANMA-T(config-tunnel-general)# address-pool vpnpool

QUANMA-T(conf ig-tunnel-general)# exit

而在这里vpnclient就是我们在设置组用户的用户名域共享密钥就是我们组用户的密码。

第十一步配置用户账户

现在我们已经为配置用户账户做好了准备。在此我们要创建一个用户并且将此用户指派给我们的远程访问VPN

QUANMA-T(config)# username liuty password yjtfpddc

QUANMA-T(config)# username liuty attributes

QUANMA-T(config-username)# vpn-group-policy vpnclient

QUANMA-T(conf ig-username)# exit

第十二步配置NAT免除

现在我们需要告诉ASA不要对远程访问客户端和要访问的内部网络之间的通信进行网络地址转换(NAT) 。首先我们要创建一个可定义通信的访问列表然后我们将此列表用于接口的NAT语句

QUANMA-T(config)# access-list no-nat extended permit ip 192. 168.0.0

255.255.255.0 192. 168. 10.0 255.255.255.0

QUANMA-T(config)# nat (inside) 0 access-list no-nat

第十三步遂道分离设置

QUANMA-T(config)#access-list vpnclient_splitTunnelAcl standardpermit 192. 168.0.0 255.255.255.0

QUANMA-T(config)# group-policy vpnclient attributes

QUANMA-T(config-group-policy)#split-tunnel-policy tunnelspecified

QUANMA-T(config-group-policy)# split-tunnel-network-list valuevpnclient_splitTunnelAcl

QUANMA-T(conf ig-group-pol icy)# end

第十四步保存

QUANMA-T#write memory

好了上面设置就差不多了。那么我们现在来用Cisco vpn Client来拨号试试看。

打开我们“Cisco Systems VPN Client” 界面如下

点击“New”来新建一个连接。

Connection Entry输入一个名字。这里可以随便输入。

Host输入我们VPN服务端的地址。

在“Gropu Authentication”的“Name”处输入我们组的用户名

“Password与Confirm Password”处输入我们设置组的密码。

设置好了以后点击“Save”保存。

当我们新建好了以后在这里就已经有一条我们刚才建立的条目了。

点击“Connect”来进行连接。

当我们连接成功以后就需要我们输入该组下面的用户名与密码。点击“OK”进行连接。

当我们用户认证成功以后该窗口就会自动消息在我们的通知区域会显示一个不上锁的图标。

这时候点击该小锁图标我们可以查看当前所连VPN的状态。

在这里我们可以看见 Client所分配到的IP地址为192. 168. 10. 101而服务端的IP地址为222.212.76. 195 以及加密算法与连接时间还有一些其他的东西。

而在Route Details里面可以看见我们通过VPN能够访问到的网段。

在这里我们可以看见我们能够访问服务端的192. 168.0.0/24这个网段里面的资源。

我们现在打开命令提示符输入“ipconfig /all”我们可以查看当前分配到的IP地址。

我们现在来ping一下我们企业内部的一台文件服务器看看

从上图我们可以看见我们现在已经ping通了我们内部的文件服务器了。到此为止我们在Cisco ASA防火墙上面配置Remote VPN就已经到此为止了。

下面附件里面附带有PDF文档与自动配置角本文件只需修改一下导入进去就可以用了。

Krypt($120/年),2vCPU/2GB/60GB SSD/3TB

Krypt这两天发布了ION平台9月份优惠信息,提供一款特选套餐年付120美元(原价$162/年),开设在洛杉矶或者圣何塞机房,支持Windows或者Linux操作系统。ion.kryptcloud.com是Krypt机房上线的云主机平台,主要提供基于KVM架构云主机产品,相对于KT主站云服务器要便宜很多,产品可选洛杉矶、圣何塞或者新加坡等地机房。洛杉矶机房CPU:2 cores内存:2GB硬盘:...

Digital-vm80美元,1-10Gbps带宽日本/新加坡独立服务器

Digital-vm是一家成立于2019年的国外主机商,商家提供VPS和独立服务器租用业务,其中VPS基于KVM架构,提供1-10Gbps带宽,数据中心可选包括美国洛杉矶、日本、新加坡、挪威、西班牙、丹麦、荷兰、英国等8个地区机房;除了VPS主机外,商家还提供日本、新加坡独立服务器,同样可选1-10Gbps带宽,最低每月仅80美元起。下面列出两款独立服务器配置信息。配置一 $80/月CPU:E3-...

CloudCone2核KVM美国洛杉矶MC机房机房2.89美元/月,美国洛杉矶MC机房KVM虚拟架构2核1.5G内存1Gbps带宽,国外便宜美国VPS七月特价优惠

近日CloudCone发布了七月的特价便宜优惠VPS云服务器产品,KVM虚拟架构,性价比最高的为2核心1.5G内存1Gbps带宽5TB月流量,2.89美元/月,稳定性还是非常不错的,有需要国外便宜VPS云服务器的朋友可以关注一下。CloudCone怎么样?CloudCone服务器好不好?CloudCone值不值得购买?CloudCone是一家成立于2017年的美国服务器提供商,国外实力大厂,自己开...

cisco防火墙为你推荐
ghostxp3GHOSTxp sp3系统有什么优点和缺点???网店推广网站什么平台适合做淘宝店铺推广人人逛街过节了,这儿可真热闹写一段话ios系统iOS系统为什么那么好iphone6上市时间苹果六什么时候出的云挂机快手极速版后台云挂机辅?助各位用了吗?在哪找的?系统分析员考系统分析员有什么好处?怎么上传音乐怎么上传音乐三星s8什么时候上市三星s8什么时候首发网络虚拟机虚拟机网络设置
广东服务器租用 大硬盘 wordpress技巧 godaddy域名优惠码 淘宝双十一2018 ev证书 国外php空间 免费ddos防火墙 建站代码 免费个人空间申请 php空间申请 免费phpmysql空间 酷番云 in域名 万网主机管理 德讯 镇江高防 可外链的相册 阿里云个人邮箱 谷歌搜索打不开 更多