Как объединить три сети с помощью VPN на cisco?

Question

[Dymok]

Разбираюсь с помощью Cisco Packet Tracer.
Собственно есть три сети (и три роутера соотв-но), нужно объединить их с помощью VPN. Либо чтобы сеть B и C имела доступ к сети A и наоборот, либо чтобы все сети имели доступ к друг-другу. Что проще.
Нашел очень хорошую инструкцию для объединения двух сетей:

Но плохо понимаю, что нужно поправить и добавить, чтобы настроить VPN между всеми тремя сетями.

Answer 1

[Рональд Макдональд]

На пикче - инструкция по настройке IPSec. Первая фаза: шифрование 3DES, хеширование MD5 и адрес пира. Вторая фаза: аналогично.
Затем указывается, с каких сетей можно подрубаться, настройки криптокарты и привязка шифрования к интерфейсу.
Не вижу, где тут настройки самого туннеля, может, чего-то не понимаю.

Попробуйте для начала поднять туннель, а потом его зашифровать. Начните с самого простого GRE:
blog.sedicomm.com/2017/11/11/kak-skonfigurirovat-g...

Comments

[Dymok]

да, прошу прощения, на пикче неполный конфиг, вот конфиги двух роутеров с работающим VPN, интересует как настроить еще и третий роутер и что нужно добавить на этих двух, чтобы VPN работал между всеми тремя

роутер раз

version 12.4
no service timestamps log datetime msec
no service timestamps debug datetime msec
no service password-encryption
!
hostname Router
!
!
!
!
!
!
!
!
ip cef
no ipv6 cef
!
!
!
!
crypto isakmp policy 1
 encr 3des
 hash md5
 authentication pre-share
 group 2
!
crypto isakmp key cisco address 194.19.25.18
!
!
!
crypto ipsec transform-set TS esp-3des esp-md5-hmac
!
crypto map CMAP 10 ipsec-isakmp 
 set peer 194.19.25.18
 set transform-set TS 
 match address FOR-VPN
!
!
!
!
!
!
spanning-tree mode pvst
!
!
!
!
!
!
interface FastEthernet0/0
 ip address 194.187.216.228 255.255.255.0
 ip nat outside
 duplex auto
 speed auto
 crypto map CMAP
!
interface FastEthernet0/1
 ip address 192.168.22.1 255.255.255.0
 ip nat inside
 duplex auto
 speed auto
!
interface Vlan1
 no ip address
 shutdown
!
ip nat inside source list FOR-NAT interface FastEthernet0/0 overload
ip classless
ip route 0.0.0.0 0.0.0.0 194.187.216.1 
!
ip flow-export version 9
!
!
ip access-list extended FOR-VPN
 permit ip 192.168.22.0 0.0.0.255 192.168.10.0 0.0.0.255
ip access-list extended FOR-NAT
 deny ip 192.168.22.0 0.0.0.255 192.168.10.0 0.0.0.255
 permit ip 192.168.22.0 0.0.0.255 any
!
no cdp run
!
!
!
!
!
line con 0
!
line aux 0
!
line vty 0 4
 login
!
!
!
end

роутер два

version 12.4
no service timestamps log datetime msec
no service timestamps debug datetime msec
no service password-encryption
!
hostname Router
!
!
!
!
!
!
!
!
ip cef
no ipv6 cef
!
!
!
!
crypto isakmp policy 1
 encr 3des
 hash md5
 authentication pre-share
 group 2
!
crypto isakmp policy 2
 encr 3des
 hash md5
 authentication pre-share
 group 2
!
crypto isakmp key cisco address 194.187.216.228
crypto isakmp key cisco address 198.211.109.90
!
!
!
crypto ipsec transform-set TS esp-3des esp-md5-hmac
!
crypto map CMAP 10 ipsec-isakmp 
 set peer 194.187.216.228
 set transform-set TS 
 match address FOR-VPN
!
!
!
!
!
!
spanning-tree mode pvst
!
!
!
!
!
!
interface FastEthernet0/0
 ip address 194.19.25.18 255.255.255.0
 ip nat outside
 duplex auto
 speed auto
 crypto map CMAP
!
interface FastEthernet0/1
 ip address 192.168.10.1 255.255.255.0
 ip nat inside
 duplex auto
 speed auto
!
interface Vlan1
 no ip address
 shutdown
!
ip nat inside source list FOR-NAT interface FastEthernet0/0 overload
ip classless
ip route 0.0.0.0 0.0.0.0 194.19.25.1 
!
ip flow-export version 9
!
!
ip access-list extended FOR-VPN
 permit ip 192.168.10.0 0.0.0.255 192.168.22.0 0.0.0.255
ip access-list extended FOR-NAT
 deny ip 192.168.10.0 0.0.0.255 192.168.22.0 0.0.0.255
 permit ip 192.168.10.0 0.0.0.255 any
!
no cdp run
!
!
!
!
!
line con 0
!
line aux 0
!
line vty 0 4
 login
!
!
!
end

[Strabbo]

Не вижу, где тут настройки самого туннеля, может, чего-то не понимаю.

Какого туннеля? Это site2site(lan2lan) ВПН. Криптокарта вешается на WAN интерфейс

[Рональд Макдональд]

Strabbo, в теме VPN прост, про то и говорю.

[Strabbo]

Рональд Макдональд, Не внимательно прочитал ваш пост, вы скорее всего говорили про gre туннель внутри IPsec.
Dymok, ВПН Это не обязательно шифрование. Ваш конфиг подойдет для 2х роутеров, когда их больше двух вам понадобится писать по одной криптомапе на роутер. Получится, что-то вроде этого
crypto map CMAP 10 ipsec-isakmp
set peer ип адресс одного роутера
set transform-set TS
match address FOR-VPN
crypto map CMAP 20 ipsec-isakmp
set peer ип адресс второго роутера
set transform-set TS
match address FOR-VPN

в Каждом аксес листе (FOR-VPN)
должны быть указаны соответствующие ип адресса

crypto isakmp key cisco address 194.19.25.18
такая запись для обоих роутеров

[Dymok]

Strabbo, что-то не очень понял.
На роутере в сети, в которую доступ нужен из двух других, я создал две криптомапы, но на внешний интерфейс получается повесить только одну. Я что-то не так делаю?

[Strabbo]

Dymok, Вы правильно поняли, просто у криптомапы есть очереди, каждая конфигится отедльно для каждого роутера.
crypto map CMAP 10 ipsec-isakmp
crypto map CMAP 20 ipsec-isakmp
Вот ваша криптомапа, название у них одинаковое, а номера разные. Т.е. это одна криптокарта и её одну надо вешать на интерфейс. Правила криптомапы будут обробатываться по очереди, т.е. сперва 10 потом 20

[Dymok]

Strabbo, спасибо большое, получилось.