Aller au contenu

🛠️ TP – Un VPN IPsec entre deux sites

Parcours CCNA – Domaine 5 – module 5-05 – binôme

Note

Mission. Deux sites (A et B) sont reliés par « Internet » (le routeur ISP), qui ne route pas les adresses privées. Tu configures un VPN IPsec site à site entre R1 et R2 pour que PC1 joigne PC2.

Temps prévu : 1 h. Prérequis : cours 5-05.

Mise en place

Ouvre le simulateur, puis Ouvre c505-vpn-ipsec.json.

Élément Adresse
Site A : PC1 192.168.1.10/24 (passerelle R1 gi0/0 = .1)
Site B : PC2 192.168.2.10/24 (passerelle R2 gi0/0 = .1)
R1 gi0/1 198.51.100.1/30 (côté Internet)
R2 gi0/1 198.51.100.6/30 (côté Internet)
ISP 198.51.100.2 et 198.51.100.5

Partie A – Constater (≈ 5 min)

PC1 → ping -c 2 192.168.2.10 : __ ❓ Pourquoi ? ________

Partie B – Configurer R1 (≈ 15 min)

enable
configure terminal
access-list 101 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
crypto isakmp policy 10
 encryption aes 256
 hash sha256
 authentication pre-share
 group 14
 exit
crypto isakmp key Cle#VPN2027 address 198.51.100.6
crypto ipsec transform-set TS esp-aes 256 esp-sha256-hmac
crypto map CMAP 10 ipsec-isakmp
 set peer 198.51.100.6
 set transform-set TS
 match address 101
 exit
interface gi0/1
 crypto map CMAP
 end
write memory

Partie C – Configurer R2 (≈ 10 min)

Les mêmes commandes, mais :

À inverser Valeur sur R2
ACL 101 permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255
crypto isakmp key … address 198.51.100.1
set peer 198.51.100.1

Partie D – Vérifier (≈ 15 min)

  1. PC1 → ping -c 3 192.168.2.10 (le premier peut être perdu : le tunnel se monte).
  2. Sur R1 : show crypto isakmp sa puis show crypto ipsec sa.
Question Réponse
Quel est l'état de l'association IKE ?
Combien de paquets chiffrés / déchiffrés ?
Pourquoi le ping ne marchait-il pas avant le VPN ?

✅ Point de contrôle final : PC1 joint PC2 et les compteurs IPsec augmentent.

🚀 Si tu as fini

Change la clé partagée d'un seul côté et relance un ping. Que se passe-t-il ? Que montre show crypto isakmp sa ?

✅ Ce que je sais faire (à cocher)

  • Je distingue phase 1 et phase 2.
  • Je configure les deux routeurs symétriquement.
  • Je lis show crypto isakmp sa et show crypto ipsec sa.