RouteOS与ASA ipsec ***进行多段隧道配置

一、概述

教育网分支【RoutOS2】要访问处在其他运营商的公司总部【ASA】的内部资源，速度太慢，无法正常应用。通过在教育网中托管的一个多线路服务器来变相进行加速.

拓扑结构如下：

ip地址规划：

ASA【公司总部防火墙】: outside : 182.48.112.130
内网 : 172.16.1.124

routeOS1【托管服务器】： e1: 1.1.1.2 【BGP线路】
e2: 2.2.100.3【教育网线路】

routeOS2 【教育网路由器】： e1: 2.2.2.2 【outside】
e2:3.3.3.1 【inside】

目的：
3.3.3.x的用户能够通过ipsec ***隧道直接访问到 172.16.1.124服务器

二、系统配置

1.ASA配置
【假设默认ASA的内部用户已经可以正常上网，这里不做相关配置，只配置用于用于建立***隧道的部分】
配置nonat
access-list nonat extended permit ip 172.16.1.0 255.255.255.0 3.3.3.0 255.255.255.0
access-list outside1_cryptomap_11 extended permit ip 172.16.1.0 255.255.255.0 3.3.3.0 255.255.255.0
配置策略
crypto ipsec transform-set ts esp-3des esp-md5-hmac
nat (inside) 0 access-list nonat

crypto map outside1_map 11 match address outside1_cryptomap_11
crypto map outside1_map 11 set peer 1.1.1.2 
crypto map outside1_map 11 set transform-set ts
crypto map outside1_map interface outside1
crypto isakmp enable outside1

crypto isakmp policy 11
 authentication pre-share
 encryption 3des
 hash md5
 group 2
 lifetime 86400

tunnel-group 1.1.1.2 type ipsec-l2l
tunnel-group 1.1.1.2 ipsec-attributes
 pre-shared-key *****
2.RouteOS1配置
配置地址：IP>Address

配置路由：IP>route

配置ipsec: IP>IPsec

配置172.16.1.0>3.3.3.0的策略：IP>IPsec>Policies

配置3.3.3.0>172.16.1.0的策略：
与上面相同，之不过Action中的源和目的地址分别是：1.1.1.2和182.48.112.130，而Genernal中的Src和Dst分别是：172.16.1.0/24和3.3.3.0/24

配置Proposals: IP>IPsec>Proposals

配置对等体Peer：IP>IPsec>Peers

3.RoutOS2配置
配置地址：IP>Address
   ether1:2.2.2.2
   ether2:3.3.3.1
配置路由：IP>route

配置ipsec策略，IP>IPsec>Policies: 从3.3.3.0>172.16.1.0

配置对等体peer: IP>IPsec>Peers

配置propsals：IP>IPsec>Proposals
       与RouteOS1配置相同

配置NAT过滤：IP>Firewall>NAT
【列表里面accept的条目都不进行NAT转换，直接路由出去】