بصمة — منصة عربية لتعليم البرمجة والشبكات والإلكترونيات

VPN: site-to-site وremote access

بنجهّز الشبكة…
01 / ملخص التجربة

VPN: site-to-site وremote access

فرع ومقر رئيسي بينهم الإنترنت، وموظف شغّال من البيت. هتبني IPsec site-to-site بين الراوترين، وبعدين تخلي HQ يستقبل remote access VPN (group + XAUTH + عنوان من pool)، وتقارن الاتنين في show crypto session.

مدة التجربة 35 دقيقة · 5 مهام

الأجهزة في بداية التجربة

  • HQ — راوتر
  • ISP — راوتر
  • BRANCH — راوتر
  • SRV — سيرفر
  • PCB — كمبيوتر
  • HOME — لابتوب

التوصيلات

  • HQ Gi0/0/0 ↔ ISP Gi0/0/0
  • BRANCH Gi0/0/0 ↔ ISP Gi0/0/1
  • ISP Gi0/0/2 ↔ HOME eth0
  • HQ Gi0/0/1 ↔ SRV eth0
  • BRANCH Gi0/0/1 ↔ PCB eth0

العناوين المضبوطة مسبقًا

  • ISP g0/0/0: 203.0.113.2/30
  • ISP g0/0/1: 203.0.113.6/30
  • ISP g0/0/2: 198.51.100.1/24
  • HQ g0/0/0: 203.0.113.1/30
  • HQ g0/0/1: 192.168.10.1/24
  • BRANCH g0/0/0: 203.0.113.5/30
  • BRANCH g0/0/1: 192.168.20.1/24
02 / المهام التي ستطبقها
  1. 01
    اتأكد إن الإنترنت مايعرفش الشبكات الخاصة: PCB مايوصلش لـ SRV

    يتحقق المعمل من على ISP: الأمر show ip route يظهر فيه «192.168.»

    تلميح / الحل المقترح
    ping 192.168.10.10 من PCB: الـ ISP مالوش route للـ 192.168.x (عناوين private مابتتعلنش على الإنترنت). show ip route على ISP. الحل مش route — الحل tunnel مشفّر بين الراوترين
  2. 02
    Site-to-site: HQ ↔ BRANCH بـ IPsec (policy 10: AES-256/SHA256/group 14، المفتاح S2s@Basma26)

    يتحقق المعمل من PCB يصل إلى SRV (ping)، على BRANCH: الأمر show crypto ipsec sa يظهر فيه «»

    تلميح / الحل المقترح
    على الراوترين: crypto isakmp policy 10 (encr aes 256، hash sha256، authentication pre-share، group 14)، crypto isakmp key S2s@Basma26 address <الراوتر التاني>، crypto ipsec transform-set TS esp-aes 256 esp-sha256-hmac، ACL VPN بين الشبكتين (متعكسة على الطرف التاني)، crypto map CMAP 10 ipsec-isakmp (set peer / set transform-set TS / match address VPN) وطبّقه على Gi0/0/0
  3. 03
    Remote access: جهّز HQ يستقبل موظفين من البيت (group STAFF، pool من 172.16.99.10 لـ 172.16.99.50)

    يتحقق المعمل من على HQ: الأمر show crypto map يظهر فيه «Dynamic map template tag: DMAP»، على HQ: الأمر show running-config يظهر فيه «crypto map CMAP client authentication list VPNAUTH»

    تلميح / الحل المقترح
    aaa new-model، aaa authentication login VPNAUTH local، aaa authorization network VPNAUTHZ local، username remote secret Home@Basma26. ip local pool VPNPOOL 172.16.99.10 172.16.99.50. crypto isakmp client configuration group STAFF ← key Grp@Basma26 وpool VPNPOOL. crypto dynamic-map DMAP 10 ← set transform-set TS وreverse-route. وبعدين على CMAP: client authentication list VPNAUTH، isakmp authorization list VPNAUTHZ، client configuration address respond، وcrypto map CMAP 65535 ipsec-isakmp dynamic DMAP
  4. 04
    من الـ HOME: اتصل بالـ VPN ووصل لـ SRV كأنك جوه الشركة

    يتحقق المعمل من على HOME: الأمر vpn status يظهر فيه «»، HOME يصل إلى SRV (ping)

    تلميح / الحل المقترح
    على HOME: vpn connect 203.0.113.1 group STAFF key Grp@Basma26 user remote password Home@Basma26. vpn status يبيّن العنوان اللي اتدّالك من الـ pool. بعدين ping 192.168.10.10
  5. 05
    قارن: show crypto session على HQ فيه الـ 2 أنواع

    يتحقق المعمل من على HQ: الأمر show crypto session يظهر فيه «Peer: 203.0.113.5»، على HQ: الأمر show crypto session يظهر فيه «»

    تلميح / الحل المقترح
    الـ site-to-site: peer ثابت (BRANCH) والترافيك بين شبكتين، ومحدش على الأجهزة محتاج يعمل حاجة. الـ remote access: peer متغير (أي IP في البيت)، Username وGroup، وعنوان من الـ pool لجهاز واحد — والموظف بيشغّل الـ client بنفسه
03 / تجارب مرتبطة