Cisco Network Bài 10_T1_[Lý thuyết+Lab]Tìm Hiểu Và Cấu Hình IPsec VPN Site-to-Site + LAB

Trần Ngọc Quý

Trần Ngọc Quý

Intern

MỤC LỤC​


I. Tổng quan về IPsec VPN Site-to-Site
  1. Khái niệm
  2. Đặc điểm và ứng dụng
  3. Các thành phần chính của IPsec
  4. Nguyên lý hoạt động
II. Cấu hình IPsec VPN Site-to-Site
  1. Thiết lập IKE
  2. Xác định lưu lượng cần mã hóa
  3. Cấu hình IPsec Transform Set
  4. Tạo và áp dụng Crypto Map
III. LAB – Cấu hình IPsec VPN Site-to-Site
  1. Mô hình
  2. Yêu cầu bài LAB
  3. Kế hoạch địa chỉ IP
  4. Cấu hình thiết bị
  5. Kiểm tra kết quả
IV. Kết luận

I. Tổng quan về IPsec VPN Site-to-Site​

1. Khái niệm​

IPsec VPN Site-to-Site là giải pháp tạo một đường hầm VPN bảo mật giữa hai mạng LAN ở các địa điểm khác nhau thông qua một mạng trung gian không tin cậy như Internet. Hai thiết bị VPN Gateway ở hai đầu đường hầm thực hiện quá trình xác thực, mã hóa và giải mã lưu lượng. Các máy trạm trong hai mạng LAN có thể giao tiếp với nhau mà không cần cài đặt phần mềm VPN riêng.

1789351609811.png

2. Đặc điểm và ứng dụng​

IPsec VPN Site-to-Site thường được sử dụng để kết nối an toàn giữa:
  • Trụ sở chính và chi nhánh.
  • Hai văn phòng ở các vị trí địa lý khác nhau.
  • Trung tâm dữ liệu và hệ thống mạng doanh nghiệp.
  • Các mạng nội bộ truyền dữ liệu qua Internet.
Một số đặc điểm chính:
  • Mã hóa dữ liệu truyền qua mạng công cộng.
  • Xác thực các thiết bị VPN Gateway.
  • Bảo vệ tính toàn vẹn của dữ liệu.
  • Hoạt động trong suốt đối với các máy trạm phía sau Router.
  • Cho phép kết nối nhiều mạng LAN ở xa như một hệ thống mạng thống nhất.


3. Các thành phần chính của IPsec​

3.1. IKE​

  • IKE (Internet Key Exchange) được sử dụng để hai VPN Gateway xác thực lẫn nhau và thương lượng các tham số bảo mật cần thiết trước khi truyền dữ liệu.
  • Trong bài LAB này sử dụng mô hình IKEv1 truyền thống để minh họa cơ chế hoạt động của IPsec.

3.2. ESP​

ESP (Encapsulating Security Payload) cung cấp các chức năng quan trọng như:
  • Mã hóa dữ liệu.
  • Kiểm tra tính toàn vẹn.
  • Xác thực dữ liệu.
ESP được sử dụng phổ biến trong các triển khai IPsec VPN.

3.3. Security Association​


SA (Security Association) chứa các thông tin đã được hai VPN Gateway thống nhất như:
  • Thuật toán mã hóa.
  • Thuật toán kiểm tra tính toàn vẹn.
  • Khóa mã hóa.
  • Thời gian tồn tại của phiên.
IPsec sử dụng các SA này để bảo vệ lưu lượng giữa hai đầu VPN.

4. Nguyên lý hoạt động​

Với cấu hình IKEv1 truyền thống, quá trình thiết lập VPN có thể chia thành hai giai đoạn chính.

Giai đoạn 1 – Thiết lập IKE SA​

R1 và R3 thương lượng các thông số như:
Mã: 
Encryption
Hash
Authentication
Diffie-Hellman Group
Pre-shared Key

Nếu thông số hai bên tương thích và quá trình xác thực thành công, một IKE SA được hình thành.

Giai đoạn 2 – Thiết lập IPsec SA​

Hai Router tiếp tục thương lượng các thông số dùng để bảo vệ dữ liệu thực tế.

Sau khi IPsec SA được thiết lập, lưu lượng giữa hai mạng:
Mã: 
192.168.10.0/24 ↔ 192.168.20.0/24
sẽ được mã hóa trước khi đi qua mạng ISP.
1789347896650.png


R2 chỉ chuyển tiếp các gói IPsec và không cần biết nội dung dữ liệu bên trong đường hầm.

II. Cấu hình IPsec VPN Site-to-Site​

Một cấu hình IPsec VPN dạng Crypto Map cơ bản gồm bốn bước chính.

1. Thiết lập IKE​

Ví dụ:
Mã: 
crypto isakmp policy 10
 encryption aes 256
 hash sha256
 authentication pre-share
 group 14

Sau đó khai báo Pre-shared Key:
crypto isakmp key <KEY> address <PEER-IP>
Nhấn để mở rộng...
Hai VPN Gateway phải sử dụng các thông số tương thích.

2. Xác định lưu lượng cần mã hóa​

Sử dụng Access Control List để xác định Interesting Traffic, tức lưu lượng cần đưa vào đường hầm VPN.
Ví dụ tại Site A:
access-list 110 permit ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255
Nhấn để mở rộng...

Phía Site B phải cấu hình theo chiều ngược lại:
access-list 110 permit ip 192.168.20.0 0.0.0.255 192.168.10.0 0.0.0.255
Nhấn để mở rộng...

3. Cấu hình IPsec Transform Set​

Transform Set xác định cách IPsec bảo vệ dữ liệu.
Ví dụ:
Mã: 
crypto ipsec transform-set VPN-SET esp-aes 256 esp-sha256-hmac
 mode tunnel
Trong Site-to-Site VPN, Tunnel Mode thường được sử dụng để bảo vệ toàn bộ gói IP gốc khi truyền giữa hai VPN Gateway.

4. Tạo và áp dụng Crypto Map​

Crypto Map liên kết các thành phần:
Mã: 
Peer
Transform Set
Interesting Traffic
Ví dụ:
Mã: 
crypto map VPN-MAP 10 ipsec-isakmp
 set peer <PEER-IP>
 set transform-set VPN-SET
 match address 110
Sau đó Crypto Map được áp dụng vào interface WAN:
Mã: 
interface e0/0
 crypto map VPN-MAP

III. LAB – Cấu hình IPsec VPN Site-to-Site​

1. Mô hình​

1789348714961.png


Trong đó:
  • R1: VPN Gateway Site A.
  • R2: Router ISP.
  • R3: VPN Gateway Site B.
  • VPC1: máy trạm Site A.
  • VPC2: máy trạm Site B.

2. Yêu cầu bài LAB​

Bài LAB thực hiện các yêu cầu:
  • Cấu hình địa chỉ IP cho toàn bộ topology.
  • Đảm bảo kết nối WAN giữa R1 và R3 thông qua R2.
  • Cấu hình IPsec VPN Site-to-Site giữa R1 và R3.
  • Mã hóa lưu lượng giữa hai mạng LAN.
  • Kiểm tra quá trình thiết lập IKE/IPsec SA.
  • Kiểm tra kết nối giữa VPC1 và VPC2.
3. Kế hoạch địa chỉ IP
1789348500530.png

4. Cấu hình thiết bị​

4.1. Cấu hình Router ISP – R2​

Cấu hình interface kết nối R1:
Mã: 
R2(config)# interface e0/0
R2(config-if)# ip address 10.0.12.2 255.255.255.252
R2(config-if)# no shutdown

1789350251268.png


Cấu hình interface kết nối R3:
Mã: 
R2(config)# interface e0/1
R2(config-if)# ip address 10.0.23.1 255.255.255.252
R2(config-if)# no shutdown

1789350294521.png

R2 chỉ đóng vai trò Router trung gian nên không cần cấu hình IPsec.

4.2. Cấu hình R1 – Site A​

Bước 1: Cấu hình địa chỉ IP​

Interface LAN:
Mã: 
R1(config)# interface e0/1
R1(config-if)# ip address 192.168.10.1 255.255.255.0
R1(config-if)# no shutdown

1789350356110.png


Interface WAN:
Mã: 
R1(config)# interface e0/0
R1(config-if)# ip address 10.0.12.1 255.255.255.252
R1(config-if)# no shutdown

1789350404870.png

Bước 2: Cấu hình định tuyến​

R1 cần có đường đi về phía mạng ISP và Site B:
R1(config)# ip route 0.0.0.0 0.0.0.0 10.0.12.2
Nhấn để mở rộng...
Bước 3: Cấu hình IKE Phase 1
Mã: 
R1(config)# crypto isakmp policy 10
R1(config-isakmp)# encryption aes 256
R1(config-isakmp)# hash sha256
R1(config-isakmp)# authentication pre-share
R1(config-isakmp)# group 14

Khai báo Pre-shared Key và VPN Peer:
R1(config)# crypto isakmp key VPN123 address 10.0.23.2
Nhấn để mở rộng...

1789350485893.png


VPN123 là khóa sử dụng cho bài LAB. Trong môi trường thực tế cần sử dụng khóa mạnh và được quản lý an toàn.

Bước 4: Xác định Interesting Traffic
R1(config)# access-list 110 permit ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255
Nhấn để mở rộng...
1789350517654.png


ACL này xác định lưu lượng:
192.168.10.0/24 → 192.168.20.0/24
Nhấn để mở rộng...
là lưu lượng cần được mã hóa.
Bước 5: Tạo Transform Set
Mã: 
R1(config)# crypto ipsec transform-set VPN-SET esp-aes 256 esp-sha256-hmac
R1(cfg-crypto-trans)# mode tunnel

1789350609345.png

Bước 6: Tạo Crypto Map

Mã: 
R1(config)# crypto map VPN-MAP 10 ipsec-isakmp
R1(config-crypto-map)# set peer 10.0.23.2
R1(config-crypto-map)# set transform-set VPN-SET
R1(config-crypto-map)# match address 110

1789350694114.png


Bước 7: Áp dụng Crypto Map
Mã: 
R1(config)# interface e0/0
R1(config-if)# crypto map VPN-MAP
R1 lúc này đã sẵn sàng thiết lập IPsec VPN với R3.

1789350745701.png


4.3. Cấu hình R3 – Site B​

Bước 1: Cấu hình địa chỉ IP​

Interface WAN:
Mã: 
R3(config)# interface e0/0
R3(config-if)# ip address 10.0.23.2 255.255.255.252
R3(config-if)# no shutdown

1789350817477.png

Interface LAN:
Mã: 
R3(config)# interface e0/1
R3(config-if)# ip address 192.168.20.1 255.255.255.0
R3(config-if)# no shutdown

1789350855137.png


Bước 2: Cấu hình định tuyến
R3(config)# ip route 0.0.0.0 0.0.0.0 10.0.23.1
Nhấn để mở rộng...

Bước 3: Cấu hình IKE Phase 1​

Các thông số phải tương thích với R1:
Mã: 
R3(config)# crypto isakmp policy 10
R3(config-isakmp)# encryption aes 256
R3(config-isakmp)# hash sha256
R3(config-isakmp)# authentication pre-share
R3(config-isakmp)# group 14

Pre-shared Key:
R3(config)# crypto isakmp key VPN123 address 10.0.12.1
Nhấn để mở rộng...
1789350952175.png

Bước 4: Xác định Interesting Traffic​

ACL trên R3 phải ngược chiều với R1:
R3(config)# access-list 110 permit ip 192.168.20.0 0.0.0.255 192.168.10.0 0.0.0.255
Nhấn để mở rộng...

1789350984580.png

Bước 5: Tạo Transform Set
Mã: 
R3(config)# crypto ipsec transform-set VPN-SET esp-aes 256 esp-sha256-hmac
R3(cfg-crypto-trans)# mode tunnel

1789351022219.png

Bước 6: Tạo Crypto Map
Mã: 
R3(config)# crypto map VPN-MAP 10 ipsec-isakmp
R3(config-crypto-map)# set peer 10.0.12.1
R3(config-crypto-map)# set transform-set VPN-SET
R3(config-crypto-map)# match address 110

1789351127949.png


Bước 7: Áp dụng Crypto Map
Mã: 
R3(config)# interface e0/0
R3(config-if)# crypto map VPN-MAP

1789351175758.png


4.4. Cấu hình VPC​

VPC1:
VPC1> ip 192.168.10.10/24 192.168.10.1
Nhấn để mở rộng...

1789351209578.png


VPC2:
VPC2> ip 192.168.20.10/24 192.168.20.1
Nhấn để mở rộng...

1789351244301.png


5. Kiểm tra kết quả​

5.1. Kiểm tra kết nối trước khi tạo VPN​

R1 cần Ping được WAN của R3:
R1# ping 10.0.23.2
Nhấn để mở rộng...
1789351274041.png


R3 cần Ping được WAN của R1:
R3# ping 10.0.12.1
Nhấn để mở rộng...

1789351293971.png

Nếu hai VPN Gateway chưa liên lạc được với nhau, IPsec VPN sẽ không thể thiết lập.

5.2. Khởi tạo lưu lượng VPN​

IPsec SA thông thường chỉ được tạo khi xuất hiện Interesting Traffic.
Từ VPC1 thực hiện:
VPC1> ping 192.168.20.10
Nhấn để mở rộng...

1789351333070.png

Gói tin phù hợp ACL sẽ kích hoạt quá trình:
Mã: 
IKE negotiation
       ↓
IKE SA
       ↓
IPsec SA
       ↓
Encrypted Traffic

5.3. Kiểm tra IKE SA​

Trên R1 hoặc R3:
show crypto isakmp sa
Nhấn để mở rộng...

1789351362699.png

5.4. Kiểm tra IPsec SA
show crypto ipsec sa
Nhấn để mở rộng...
Mã: 
#pkts encaps
#pkts encrypt
#pkts decaps
#pkts decrypt
Khi VPC1 và VPC2 trao đổi dữ liệu qua VPN, các giá trị này sẽ tăng lên.
Đây là dấu hiệu rõ ràng cho thấy lưu lượng đang thực sự được mã hóa và giải mã qua IPsec.

1789351399813.png


5.5. Kiểm tra Crypto Map
show crypto map
Nhấn để mở rộng...

1789351432764.png

6. Kiểm tra kết nối End-to-End​

Từ VPC1:
VPC1> ping 192.168.20.10
Nhấn để mở rộng...
1789351482051.png


Kiểm tra chiều ngược lại:
VPC2> ping 192.168.10.10
Nhấn để mở rộng...

1789351498279.png

Khi kết nối thành công, quá trình truyền dữ liệu diễn ra theo đường:
Mã: 
VPC1
  ↓
 R1
  ↓
[Mã hóa IPsec]
  ↓
 R2 - ISP
  ↓
[Giải mã IPsec]
  ↓
 R3
  ↓
VPC2

IV. Kết luận​

  • IPsec VPN Site-to-Site là giải pháp cho phép kết nối an toàn giữa các mạng LAN ở những địa điểm khác nhau thông qua Internet. Dữ liệu được mã hóa tại VPN Gateway của Site nguồn và chỉ được giải mã khi đến VPN Gateway của Site đích, qua đó đảm bảo tính bí mật, toàn vẹn và xác thực của thông tin trong quá trình truyền.
  • Trong bài LAB, R1 và R3 đóng vai trò hai VPN Gateway, trong khi R2 mô phỏng hạ tầng Internet/ISP. Hai Router thiết lập IKE SA, xây dựng IPsec SA và mã hóa lưu lượng giữa mạng 192.168.10.0/24 và 192.168.20.0/24. Kết quả có thể được xác minh thông qua các lệnh show crypto isakmp sa, show crypto ipsec sa và kiểm tra kết nối giữa VPC1 với VPC2.
  • Qua mô hình này có thể nắm được các thành phần cơ bản của IPsec Site-to-Site gồm IKE, Pre-shared Key, Interesting Traffic ACL, Transform Set, Crypto Map và IPsec SA, đồng thời hiểu được cách một đường hầm VPN bảo vệ dữ liệu khi truyền qua một mạng trung gian không tin cậy.
 
Sửa lần cuối:
Bài viết liên quan
Bài 9_T1_[Lý thuyết+Lab]Tìm hiểu Giao Thức Định Tuyến Động OSPF bởi Trần Ngọc Quý,
Bài 8_T1_[Lý thuyết+Lab]Tìm hiểu Giao Thức Dự Phòng Gateway (VRRP) bởi Trần Ngọc Quý,
Bài 7_T1_[Lý thuyết+Lab]Tìm Hiểu Định Tuyến Tĩnh (Static Route), VLAN Routing bởi Trần Ngọc Quý,
Bài 6_T1_[Lý thuyết+Lab]Tìm Hiểu Và Cấu Hình IPv4 Address, Hoạt Động Của Router + LAB bởi Trần Ngọc Quý,
Bài 5_T1_[Lý thuyết+Lab]Tìm Hiểu Và Cấu Hình Giao Thức Dự Phòng Kết Nối (LACP) bởi Trần Ngọc Quý,
Bài 4_T1_[Lý thuyết+Lab]Tìm Hiểu Và Cấu Hình Giao Thức Ngăn Chặn Layer 2 Loop (STP, RSTP, MSTP) bởi Trần Ngọc Quý,
Được quan tâm
Bài 9_T1_[Lý thuyết+Lab]Tìm hiểu Giao Thức Định Tuyến Động OSPF bởi Trần Ngọc Quý,
Bài 7_T1_[Lý thuyết+Lab]Tìm Hiểu Định Tuyến Tĩnh (Static Route), VLAN Routing bởi Trần Ngọc Quý,
Bài 8_T1_[Lý thuyết+Lab]Tìm hiểu Giao Thức Dự Phòng Gateway (VRRP) bởi Trần Ngọc Quý,
Bài viết mới
Bài 9_T1_[Lý thuyết+Lab]Tìm hiểu Giao Thức Định Tuyến Động OSPF bởi Trần Ngọc Quý,
Bài 8_T1_[Lý thuyết+Lab]Tìm hiểu Giao Thức Dự Phòng Gateway (VRRP) bởi Trần Ngọc Quý,
Bài 7_T1_[Lý thuyết+Lab]Tìm Hiểu Định Tuyến Tĩnh (Static Route), VLAN Routing bởi Trần Ngọc Quý,
Bài 6_T1_[Lý thuyết+Lab]Tìm Hiểu Và Cấu Hình IPv4 Address, Hoạt Động Của Router + LAB bởi Trần Ngọc Quý,
Bài 5_T1_[Lý thuyết+Lab]Tìm Hiểu Và Cấu Hình Giao Thức Dự Phòng Kết Nối (LACP) bởi Trần Ngọc Quý,
Bài 4_T1_[Lý thuyết+Lab]Tìm Hiểu Và Cấu Hình Giao Thức Ngăn Chặn Layer 2 Loop (STP, RSTP, MSTP) bởi Trần Ngọc Quý,
Bạn phải đăng nhập hoặc đăng ký để bình luận.
Back
Top