Chào các bạn, trong bài viết này mình sẽ hướng dẩn các bạn cấu hình VPN trên Router Cisco Nhu cầu về mạng riêng ảo-VPN ngày càng trở nên rất quan trọng trong việc trao đổi thông tin cung như phát triển của doanh nghiệp. Dưới đây là cách thiết lập VPN trên Cisco Router 2901: Hai đầu là thiết bị Cisco hỗ trợ IPSec, tạm gọi là Hub và Spoke theo giả định là kết nối chỉ xuất phát một chiều. Cả hai đầu đều kết nối Internet qua leased-line (giả sử địa chỉ được cấp là 9.9.9.1/30(Hub) và 8.8.8.1/30 (Spoke) Site-to-site IPSec VPN sử dụng preshared-key (tạm đặt là KEY-TO-SHARE) với phase 1 và Phase 2 proposal đều là 3DES/SHA Các trạm tham gia VPN chỉ nằm trong phân mạng kết nối trực tiếp với các routers (Hub: 192.168.1.0/24; Spoke: 192.168.2.0/24) với giao diện trong của routes là 192.168.x.254. Tên các giao diện trong và ngoài tương ứng là FastEthernet 0 và Serial 0 Không quan tâm đến các cấu hình khác trên các giao diện Các lệnh đưa ra, một số chỉ để cho tường minh vì nếu trùng với giá trị mặc định thì sẽ không thể hiện trên cấu hình (khi show) Các kết nối từ mạng trong của Hub tới mạng trong của Spoke & ngược lại sẽ phù hợp với Crypto Map và được đóng gói chuyển qua kênh VPN. Các kết nối khác sẽ được NAT ra Internet bình thường. Cấu hình chung ! Cấu hình cơ bản (không quan tâm đến Encryption) ! ! Đặt tên cho thiết bị hostname Cấu hình trên Hub ! Cấu hình ACL xác định các lưu thông thích hợp với VPN ! ACL này sẽ được router sử dụng để sinh PROXY_ID ip access-list extended VPN_ACL .permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255 ! ! Định nghĩa KEYRING chứa các preshared-keys ! không cần lắm vì chỉ có một cặp crypto keyring VPN-KEY .pre-shared-key address 8.8.8.1 key KEY-TO-SHARE !Định nghĩa IKE Phase 1 Proposal policy ! crypto isakmp policy 10 ! phương thức mã hóa .encryption 3des ! thuật toán băm để sinh khóa .hash sha ! phương thức xác thực .authentication pre-share ! Diffie-Hellman group .group 2 ! crypto isakmp profile HUB2SPOKE .description VPN-to-SPOKE .keyring VPN-KEY .match identity address 8.8.8.1 255.255.255.255 .keepalive 10 retry 5 ! ! Định nghĩa IKE Phase 2 Proposal policy crypto ipsec transform-set 3DES-SHA esp-3des esp-sha-hmac ! ! Khai báo crypto map crypto map VPN-CRYPTO 10 ipsec-isakmp .set peer 8.8.8.1 .set transform-set 3DES-SHA .set isakmp-profile HUB2SPOKE .match address VPN_ACL .reverse-route ! ! Gán crypto map đã khai báo cho giao diện kết nối interface Serial 0 .crypto map VPN-CRYPTO Cấu hình trên Spoke (giống cấu hình trên Hub, chỉ thay thông số) ip access-list extended VPN_ACL .permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255 ! crypto keyring VPN-KEY .pre-shared-key address 9.9.9.1 key KEY-TO-SHARE ! crypto isakmp policy 10 .encryption 3des .hash sha .authentication pre-share .group 2 ! crypto isakmp profile SPOKE2HUB .description VPN-to-HUB .keyring VPN-KEY .match identity address 9.9.9.1 255.255.255.255 .keepalive 10 retry 5 ! ! Định nghĩa IKE Phase 2 Proposal policy crypto ipsec transform-set 3DES-SHA esp-3des esp-sha-hmac ! ! Khai báo crypto map crypto map VPN-CRYPTO 10 ipsec-isakmp .set peer 9.9.9.1 .set transform-set 3DES-SHA .set isakmp-profile SPOKE2HUB .match address VPN_ACL .reverse-route ! interface Serial 0 .crypto map VPN-CRYPTO Chúc các bạn thành công. Bài viết liên quan: - Cấu hình VPN Client-to-Site trên bộ định tuyến Router Cisco - Cấu hình EasyVPN giữa các bộ định tuyến Cisco Router - Cấu hình IPSEC VPN Site-to-Site (Lan-to-Lan) giữa các bộ định tuyến Cisco Router - Cấu hình VPN Site-to-Site bằng GRE(Generic Routing Encapsulation) qua IPSEC VPN với Router Cisco
