Objectifs :
Partie 1 : Création du réseau de simulation & vérification de la connectivité ;
Partie 2 : Configuration d’un VPN IPsec de site à site.
Travail à faire :
Partie 1 : Création du réseau de simulation & vérification de la connectivité
a. Table d’adressage.
Périphérique Interface Adresse IP Masque Passerelle
par défaut
R1 G0/0 192.168.1.1 255.255.255.0 ***
S0/0/0 10.1.1.2 255.255.255.252 ***
R2 G0/0 192.168.2.1 255.255.255.0 ***
S0/0/0 10.1.1.1 255.255.255.252 ***
S0/0/1 10.2.2.1 255.255.255.252 ***
1/4
R3 G0/0 192.168.3.1 255.255.255.0 ***
S0/0/0 10.2.2.2 255.255.255.252 ***
PC1 NIC 192.168.1.3 255.255.255.0 192.168.1.1
PC2 NIC 192.168.2.3 255.255.255.0 192.168.2.1
PC3 NIC 192.168.3.3 255.255.255.0 192.168.3.1
b. Paramètres de la politique ISAKMP Phase 1.
Paramètres Options R1 R3
Méthode de Manuelle ou ISAKMP ISAKMP
distribution des ISAKMP
clés
Algorithme de DES, 3DES ou AES 256 AES 256
chiffrement AES
Fonction de MD5 ou SHA-1 SHA-1 SHA-1
hachage
Authentification Clé pré-partagée Pré-partagée (pre- Pré-partagée (pre-
ou RSA share) share)
Partage des clés Groupe DH 1, 2 ou DH 5 DH 5
5
Validité de la SA 86400 ou moins 86400 86400
Clé ISAKMP Fourni par le client vpnpa55 vpnpa55
c. Paramètres de la politique IPsec Phase 2
Paramètres R1 R3
Nom du Transform Set VPN-SET VPN-SET
Chiffrement ESP esp-aes esp-aes
Authentification ESP esp-sha-hmac esp-sha-hmac
Adresse IPv4 10.2.2.2 10.1.1.2
2/4
access-list 110 (source access-list 110 (source
Trafic à chiffrer 192.168.1.0 destination 192.168.3.0 destination
192.168.3.0) 192.168.1.0)
Nom du MAP VPN-MAP VPN-MAP
Etablissement SA ipsec-isakmp ipsec-isakmp
Mot de passe du mode utilisateur (Sans privilège) : ID203
Mot de passe du mode privilégié : ID203
Partie 2 : Configuration d’un VPN IPsec de site à site
Etape 1 : Test de la connectivité.
a. Testez la connectivité entre PC-A et PC-C.
Étape 3 : Identifiez le trafic intéressant sur R1.
a. Configurez l'ACL étendue 110 pour identifier le trafic du LAN sur R1 vers le LAN sur R3
comme intéressant (Seul trafic qui sera objet du tunnel IPsec).
b. Tout autre trafic provenant des autres réseaux locaux ne sera pas chiffré. En raison de la
commande implicite deny, il n'est pas nécessaire de configurer une instruction deny ip any any.
Étape 4 : Configuration de la politique IKE Phase 1 sur R1.
Remarque : Le groupe DH le plus élevé actuellement pris en charge par Packet Tracer est le groupe 5. Dans
un réseau de production, vous devez configurer au moins le groupe DH 14.
a. Configurez les propriétés de la politique crypto ISAKMP 10 sur R1 avec la clé de chiffrement
partagée vpnpa55. Reportez-vous au tableau ISAKMP Phase 1 pour les paramètres spécifiques à
configurer.
Étape 5 : Configuration de la politique IKE Phase 2 sur R1.
a. Créez le TRANSFORM-SET : VPN-SET pour utiliser esp-aes et esp-sha-hmac.
b. Créez la CRYPTO MAP : VPN-MAP qui lie tous les paramètres de la phase 2 ensemble.
Utilisez le numéro de séquence 10 et identifiez-le comme une MAP ipsec-isakmp.
Étape 6 : Configuration de la carte de chiffrement sur l'interface appropriée de R1.
a. Liez la CRYPTO MAP : VPN-MAP à l'interface série 0/0/0 de R1.
3/4
Étape 7 : Configuration d’IPsec sur R3.
a. Configurez les paramètres alternatifs sur R3. Configurez l'ACL 110 pour identifier le trafic du
LAN sur R3 vers le LAN sur R1 comme intéressant.
b. Configurez les propriétés de la stratégie crypto ISAKMP 10 sur R3 avec la clé de chiffrement
partagée vpnpa55.
c. Créez le TRANSFORM-SET : VPN-SET pour utiliser esp-aes et esp-sha-hmac.
d. Créez la TRANSFORM-SET : VPN-MAP pour lier tous les paramètres de la phase 2 ensemble.
Utilisez le numéro de séquence 10 et identifiez-le comme une map ipsec isakmp.
e. Liez la crypto map VPN-MAP à l'interface série 0/0/1 de R3.
Étape 8 :Vérification du tunnel IPsec
a. Exécutez la commande show crypto ipsec sa sur R1. Notez que le nombre de paquets encapsulés,
chiffrés, désencapsulés et déchiffrés est tous défini sur 0.
b. Envoyez une requête ping à PC-C depuis PC-A.
c. Sur R1, relancez la commande show crypto ipsec sa. Notez que le nombre de paquets est supérieur
à 0, ce qui indique que le tunnel VPN IPsec fonctionne.
d. Envoyez une requête ping à PC-B à partir de PC-A.
e. Sur R1, relancez la commande show crypto ipsec sa. Notez que le nombre de paquets n'a pas
changé, ce qui vérifie que le trafic inintéressant n'est pas chiffré
4/4
