gre over ipsec原理和配置

gre over ipsec这里首先补充一下知识吧：1 Ipsec 中有 2 种封装模式：一种是隧道模式，一种是传输模式；当我们使用 GRE OVER ipsec 时，如果使用隧道模式的话，会多封装 20 个字节的 ESP 头部，其与 GRE 添加的头部 ip 完全相同，故而，在 GRE over ipsec 时，建议使用传输模式。 （主要是通讯点和传输点之间的关系）2 配置 gre over ipsec 的时候，可以选择两种的方法，这里都会介绍和给出配置，建议使用第二种方法。3 第二种配置 GRE over IPsec 的方式：profileProfile 可以看做是 GRE tunnel 中的一种保护机制，在使用 profile 时，无需配置感兴趣流，无需 set peer，如下操作即可：第一种方法：R1:!hostname R1!crypto isakmp policy 10hash md5 authentication pre-sharegroup 2crypto isakmp key zhang address !crypto ipsec transform-set mytrans esp-3des esp-md5-hmac mode transport!crypto map mymap 10 ipsec-isakmp set peer set transform-set mytrans match address VPN!interface Tunnel0ip address tunnel source FastEthernet0/0tunnel destination tunnel key 123!interface Loopback10ip address !interface FastEthernet0/0ip address duplex autospeed autocrypto map mymap!router ospf 1router-id log-adjacency-changesnetwork 55 area 0network 55 area 0!ip access-list extended VPNpermit gre 55 55!EndR2 配置：hostname R2!interface Loopback0ip address !interface FastEthernet0/0ip address duplex autospeed auto!interface FastEthernet1/0ip address duplex autospeed auto!EndR3 配置：hostname R3!crypto isakmp policy 10hash md5 authentication pre-sharegroup 2crypto isakmp key zhang address !crypto ipsec transform-set mytrans esp-3des esp-md5-hmac mode transport!crypto map mymap 10 ipsec-isakmp set peer set transform-set mytrans match address VPN!interface Tunnel0ip address tunnel source FastEthernet0/0tunnel destination tunnel key 123!interface Loopback10ip address !interface FastEthernet0/0ip address duplex autospeed autocrypto map mymap!router ospf 1router-id log-adjacency-changesnetwork 55 area 0network 55 area 0!no ip http serverno ip http secure-serverip route !ip access-list extended VPNpermit gre 55 55!End第二种方法：在 1 实验中的基础上，删徐 mymap,access-list VPN,在接口上删徐 map的应用。然后：1 创建 profilecrypto ipsec profile vpnProset transform-set mytrans 2 在 tunnel 接口上应用interface Tunnel0tunnel protection ipsec profile vpnProR1 和 R2 都做相同的配置实验须然简单，但是还是要知道原理的。原理解析：R1 上 ping R3:Ping source re 1001. 查路由表转发 2. 发现到达 /24 下一跳走 tunnel0 口，要 GRE 封装。3. Tunnel0 口的 tunnel destination 是 ,由于没有这条的路由条目，所以匹配默认路由，下一跳 ，从 F 0/0 出去。4. 在 F 0/0 下有一个 map ，map 内面绑定的 ip access-list VPN。条件从/24 到达 /24，判断是否满足。-满足5. 满足，所以要 ipsec 封装再出去。6. 全过程，tunnel-f 0/0-ipsec 封装- 出去如果是用 profile，那么路由又是怎么走的昵？profile 没有 map,没有 ip access-list VPN。R1 上 ping R3:Ping so