Packet Tracer - 综合技能练习（配置各种 IOS 功能( 二 ) _ipsec

S1()#line vty 0 15
S1(-line)#
S1(-line)#exec- 5 0
S1(-line)#login
S1(-line)#exit
S1()# motd $andto the fullof the law! $
·使用以下设置配置 S1 和 S2 之间的中继：
o将模式设置为中继并将指定为本征 VLAN 。
o禁用 DTP 帧的生成。
S1()# f0/1
S1(-if)# mode trunk
S1(-if)# trunkvlan 99
S1(-if)#
S2()# f0/1
S2(-if)# mode trunk
S2(-if)# trunkvlan 99
S2(-if)#
·使用以下端口设置配置 S1：
oF0/6 应仅允许访问模式，设置为并启用 BPDU 防护。
oF0/6 使用基本的默认端口安全性，并将动态获知的 MAC 地址添加到运行配置中。
o应禁用所有其他端口。
注意：虽然没有选中所有端口，但教师可能想要检验所有未使用的端口是否禁用。
S1(-if)# f0/6
S1(-if)# mode
S1(-if)#-tree
S1(-if)#-tree
S1(-if)#
S1(-if)# port-
S1(-if)# port- mac-
S1(-if)#no
S1(-if)#exit
S1()# range f0/2-5,f0/7-24,g0/1-2
S1(-if-range)#
配置 AAA 本地认证
·在 R1 上执行下列配置：
o创建一个本地用户账户，加密密码为，权限级别为15 。
o启用 AAA 服务。
o实施 AAA 服务时，使用本地数据库作为第一选项，然后使用启用密码作为备用选项。
R1()#15
R1()#aaa new-model
R1()#aaaloginlocal
配置 SSH
·在 R1 上执行下列配置：
o域名为
o应使用1024位模数生成 RSA 密钥。
o只允许使用 SSH 第 2 版。
oVTY 线路上只允许使用 SSH 。
R1()#ip -name
R1()# keyrsa
The name for the keys will be:
the size of the keyin the range of 360 to 2048 for your
Keys.a keythan 512 may take
a few .
How many bits in the[512]: 1024
%1024 bit RSA keys, keys will be non-...[OK]
R1()#ip ssh2
*Mar 1 0:24:56.377: %SSH-5-: SSH 1.99 has been
R1()#line vty 0 4
R1(-line)# input ssh
·验证 PC-C 是否可以使用 SSH 远程访问 R1 (209.165.200.233) 。
防御登录攻击
·在 R1 上执行下列配置：
o如果用户在 30 秒的时间范围内两次登录都失败了，请禁用登录 1 分钟。
o记录所有失败的登录尝试。
R1()#login block-for 60230
R1()#login on- log
配置站点间 IPsec VPN
注意：部分 VPN 配置不评分。但是，您应该能够验证 IPsec VPN 隧道之间的连接。
·在 R1 上启用安全技术包许可证。
o在重新加载之前先保存运行配置。
·在 R1 上执行下列配置：
o创建访问列表以确定 R1 上需要关注的流量。
o配置以允许从 R1 Lo1 网络到 R3 G0/1 LAN 的流量。
·在 R1 上配置第 1 阶段属性性以及共享加密密钥。使用以下参数：
o密钥分配方法：
o加密：aes 256
o散列：sha
o认证验证方法：pre-
o密钥交换：DH 组 5
oIKE SA 生命周期：3600
密钥：
·创建转换集VPN-SET以使用esp-aes 256和esp-sha-hmac 。然后创建将所有第 2 阶段参数捆绑在一起的加密映射CMAP 。使用序号10并将其确定为ipsec-映射。使用以下参数：
o转换集：VPN-SET
o转换加密：esp-aes 256
o转换认证：esp-sha-hmac
o完全向前保密 (PFS)：
o加密映射名称：CMAP
oSA 建立：ipsec
o将加密映射 (CMAP) 绑定到传出接口。
·验证是否启用了安全技术包许可证。在 R3 上重复站点间 VPN 配置，以便它们镜像 R1 中的所有配置。
·从 PC-C 上的 R1 ping 通 Lo1 接口 (172.20.1.1)，使用showipsec sa命令验证包的的数量是否大于 0，若大于 0 则表明 IPsec VPN 隧道正在工作。
R1()#-list 101ip 172.20.1.0 0.0.0.255 172.30.3.0 0.0.0.255