出口路由器没有管理权限，再下挂一个路由器，能组IPSEC VPN吗

可以支持的，在下面加一个路由器，可以做nat穿越的ipsec，vpn建立成功后，可以远程访问到内网

您好，请知：

由于是下挂的路由器，可以部署NAT穿越的IPSEC VPN野蛮模式。以下是配置举例，请参考：

2.11.2  IKE野蛮模式及NAT穿越典型配置举例

1. 组网需求

本例将IPsec和ADSL相结合，是目前实际中广泛应用的典型案例。

·              公司分支局域网通过Router B接入到ATM网络，Router B作为PPPoE的client端，通过ADSL卡直接连接公网的DSLAM接入端。Router B与公网连接的接口IP地址为ISP动态分配的私网IP地址。

·              公司总部局域网通过Router A接入到ATM网络，Router A与公网连接的接口IP地址为固定的公网IP地址。

·              采用IKE协商的方式创建IPsec安全隧道保护总部与分支之间的数据安全。

2. 组网图

图2-4 IKE野蛮模式及NAT穿越典型组网图

3. 配置步骤

配置关键点：

·              由于IPsec隧道一端安全网关（Router B）的IP地址为动态获取，因此IKE的协商模式采用野蛮模式（aggressive）。

·              由于IPsec隧道的两端一端为公网地址，另一端为私网地址，因此需要在隧道两端上均配置NAT穿越功能。

(1)      配置Router A

# 配置本端安全网关设备名称。

<RouterA> system-view

[RouterA] ike local-name routera

# 配置ACL。

[RouterA] acl number 3101

[RouterA-acl-adv-3101] rule 0 permit ip source 172.16.0.0 0.0.0.255 destination 192.168.0.0 0.0.0.255

[RouterA-acl-adv-3101] quit

# 配置IKE安全提议。

[RouterA] ike proposal 1

[RouterA-ike-proposal-1] authentication-algorithm sha

[RouterA-ike-proposal-1] authentication-method pre-share

[RouterA-ike-proposal-1] encryption-algorithm 3des-cbc

[RouterA-ike-proposal-1] dh group2

# 配置IKE对等体peer。

[RouterA] ike peer peer

[RouterA-ike-peer-peer] exchange-mode aggressive

[RouterA-ike-peer-peer] pre-shared-key abc

[RouterA-ike-peer-peer] id-type name

[RouterA-ike-peer-peer] remote-name routerb

[RouterA-ike-peer-peer] nat traversal

[RouterA-ike-peer-peer] quit

# 创建IPsec安全提议tran1。

[RouterA] ipsec transform-set tran1

[RouterA-ipsec-transform-set-tran1] encapsulation-mode tunnel

[RouterA-ipsec-transform-set-tran1] transform esp

[RouterA-ipsec-transform-set-tran1] esp encryption-algorithm 3des

[RouterA-ipsec-transform-set-tran1] esp authentication-algorithm sha1

[RouterA-ipsec-transform-set-tran1] quit

# 创建IPsec安全策略policy并指定通过IKE协商建立SA。

[RouterA] ipsec policy policy 10 isakmp

# 配置IPsec安全策略policy引用IKE对等体peer。

[RouterA-ipsec-policy-isakmp-policy-10] ike-peer peer

# 配置IPsec安全策略policy引用访问控制列表3101。

[RouterA-ipsec-policy-isakmp-policy-10] security acl 3101

# 配置IPsec安全策略policy引用IPsec安全提议tran1。

[RouterA-ipsec-policy-isakmp-policy-10] transform-set tran1

[RouterA-ipsec-policy-isakmp-policy-10] quit

# 配置IP地址。

[RouterA] interface serial 2/1/1

[RouterA-Serial2/1/1] ip address 100.1.1.1 255.255.255.0

[RouterA-Serial2/1/1] ipsec policy policy

[RouterA-Serial2/1/1] quit

# 配置以太网口。

[RouterA] interface gigabitethernet 3/0/1

[RouterA-GigabitEthernet3/0/1] ip address 172.16.0.1 255.255.255.0

[RouterA-GigabitEthernet3/0/1] quit

# 配置到分公司局域网的静态路由。

[RouterA] ip route-static 192.168.0.0 255.255.255.0 serial 2/1/1

(2)      配置Router B

# 配置本端安全网关的名称。

<RouterB> system-view

[RouterB] ike local-name routerb

# 配置ACL。

[RouterB] acl number 3101

[RouterB-acl-adv-3101] rule 0 permit ip source 192.168.0.0 0.0.0.255 destination 172.16.0.0 0.0.0.255

[RouterB-acl-adv-3101] quit

# 配置IKE安全提议。

[RouterB] ike proposal 1

[RouterB-ike-proposal-1] authentication-algorithm sha

[RouterB-ike-proposal-1] authentication-method pre-share

[RouterB-ike-proposal-1] encryption-algorithm 3des-cbc

[RouterB-ike-proposal-1] dh group2

# 配置IKE对等体peer。

[RouterB] ike peer peer

[RouterB-ike-peer-peer] exchange-mode aggressive

[RouterB-ike-peer-peer] pre-shared-key abc

[RouterB-ike-peer-peer] id-type name

[RouterB-ike-peer-peer] remote-name routera

[RouterB-ike-peer-peer] remote-address 100.1.1.1

[RouterB-ike-peer-peer] nat traversal

[RouterB-ike-peer-peer] quit

# 创建IPsec安全提议tran1。

[RouterB] ipsec transform-set tran1

[RouterB-ipsec-transform-set-tran1] encapsulation-mode tunnel

[RouterB-ipsec-transform-set-tran1] transform esp

[RouterB-ipsec-transform-set-tran1] esp encryption-algorithm 3des

[RouterB-ipsec-transform-set-tran1] esp authentication-algorithm sha1

[RouterB-ipsec-transform-set-tran1] quit

# 创建IPsec安全策略policy并指定通过IKE协商建立SA。

[RouterB] ipsec policy policy 10 isakmp

# 配置IPsec安全策略policy引用IKE对等体peer。

[RouterB-ipsec-policy-isakmp-policy-10] ike-peer peer

# 配置IPsec安全策略policy引用访问控制列表3101。

[RouterB-ipsec-policy-isakmp-policy-10] security acl 3101

# 配置IPsec安全策略policy引用IPsec安全提议tran1。

[RouterB-ipsec-policy-isakmp-policy-10] transform-set tran1

[RouterB-ipsec-policy-isakmp-policy-10] quit

# 配置拨号访问控制列表。

[RouterB] dialer-rule 1 ip permit

# 创建Dialer0，使用由ISP分配的用户名和密码进行拨号和PPP认证的相关配置，并配置MTU。

[RouterB] interface dialer 0

[RouterB-Dialer0] link-protocol ppp

[RouterB-Dialer0] ppp pap local-user test password simple 123456

[RouterB-Dialer0] ip address ppp-negotiate

[RouterB-Dialer0] dialer user 1

[RouterB-Dialer0] dialer-group 1

[RouterB-Dialer0] dialer bundle 1

[RouterB-Dialer0] ipsec policy policy

[RouterB-Dialer0] mtu 1492

[RouterB-Dialer0] quit

# 配置到总公司局域网的静态路由。

[RouterB] ip route-static 172.16.0.0 255.255.255.0 dialer 0

# 配置以太网口。

[RouterB] interface gigabitethernet 3/0/1

[RouterB-GigabitEthernet3/0/1] tcp mss 1450

[RouterB-GigabitEthernet3/0/1] ip address 192.168.0.1 255.255.255.0

[RouterB-GigabitEthernet3/0/1] quit

# 配置VE口。

[RouterB] interface virtual-ethernet 0

[RouterB-Virtual-Ethernet0] pppoe-client dial-bundle-number 1

[RouterB-Virtual-Ethernet0] mac-address 0011-0022-0012

[RouterB-Virtual-Ethernet0] quit

# 对ADSL卡的ATM口进行配置。

[RouterB] interface atm 1/1/1

[RouterB-Atm1/1/1] pvc 0/100

[RouterB-atm-pvc-Atm1/1/1-0/100] map bridge virtual-ethernet 0

[RouterB-atm-pvc-Atm1/1/1-0/100] quit