H3C路由器两种ipsec-gre配置总结.doc

H3C路由器gre over ipsec和ipsec over gre的差别与配置方法概念区分IPSEC Over GRE即IPSEC在里，GRE在外。先把需要加密的数据包封装成IPSEC包，然后再扔到GRE隧道里。作法是把IPSEC的加密图作用在Tunnel口上的，即在Tunnel口上监控（访问控制列表监控本地ip网段-源ip和远端ip网段-目的地），是否有需要加密的数据流，有则先加密封装为IPSEC包，然后封装成GRE包进入隧道（这里显而易见的是，GRE隧道始终无论如何都是存在的，即GRE隧道的建立过程并没有被加密），同时，未在访问控制列表里的数据流将以不加密的状态直接走GRE隧道，即存在有些数据可能被不安全地传递的状况。GRE Over IPSEC是指，先把数据分装成GRE包，然后再分装成IPSEC包。做法是在物理接口上监控，是否有需要加密的GRE流量（访问控制列表针对GRE两端的设备ip），所有的这两个端点的GRE数据流将被加密分装为IPSEC包再进行传递，这样保证的是所有的数据包都会被加密，包括隧道的建立和路由的建立和传递。 无论是哪种数据流，若一方进行了加密，而另一方没有配，则无法通讯，对于GRE则，路由邻居都无法建立。另一个概念是隧道模式和传输模式。所谓的隧道模式还是传输模式，是针对如ESP如何封装数据包的，前提是ESP在最外面，如果都被Over到了GRE里，自然谈不上什么隧道模式和传输模式（都为隧道模式）。只有当GRE Over IPSEC的时候，才可以将模式改为传输模式。IPSEC不支持组播，即不能传递路由协议，而GRE支持。配置方法两者配置方法上差别不大，注意定义访问控制列表的流量、配置过程中的对端地址以及策略应用位置即可。总结一下就是：gre ove ipsec在配置访问控制列表时应配置为物理端口地址 ，而IPSEC Over GRE中则应配置为兴趣流量网段地址。在gre ove ipsec配置对端地址过程中全都配置为相应物理地址 ，而IPSEC Over GRE中则全都配置为对端tunnel口虚拟地址。gre ove ipsec在应用策略时在tunnel口下调用，而IPSEC Over GRE中则应在物理接口下调用。我们以一个简单的拓扑网络为例，向大家分别展示两种专用网络的配置方法，大家请注意观察上面总结的区别。拓扑如下：gre ove ipsec配置方法RT1:为端口分配ip地址interface GigabitEthernet0/0 ip address 192.168.1.1 241配置ospf连通网络（可用静态路由）ospf 1area 0network 192.168.1.0 0.0.0.2552配置gre隧道interface Tunnel0 mode gre ip address 10.1.1.1 24 source 192.168.1.1 destination 192.168.2.13配置acl 定义兴趣流量（在gre over ipsec应用中要设为两端物理接口地址）acl number 3000 rule 0 permit gre source 192.168.1.1 0 destination 192.168.2.1 04配置ike对等体ike profile ike（ike-名字） keychain ike（keychain-名字） match remote identity address 192.168.2.1 24（对端地址为RT3物理接口地址）quitike keychain keychain-name pre-shared-key address 192.168.2.1 24 key cipher 123456（设置预共享密钥，对端地址为RT3物理接口地址）5配置ipsec安全提议（加密算法为3DES，验证算法为sha1）ipsec transform-set tra(transform-名字） esp encryption-algorithm 3des-cbc esp authentication-algorithm sha1 6配置ike协商方式的ipsec安全策略ipsec policy vpn（policy-名字）10 isakmp transform-set tra (transform-名字） security acl 3000 remote-address 192.168.2.1（对端地址为RT3物理接口地址） ike-profile ike（ike-名字）7端口下应用策略interface GigabitEthernet0/0 ipsec apply policy vpn（policy-名字）RT2:为端口分配ip地址interface GigabitEthernet0/0 ip address 192.168.1.2 24quitinterface GigabitEthernet0/1 ip address 192.168.2.2 24配置ospf连通网络ospf 1area 0network 192.168.1.0 0.0.0.255network 192.168.2.0 0.0.0.255RT3:为端口分配ip地址interface GigabitEthernet0/0 ip address 192.168.2.1 24配置ospf连通网络ospf 1area 0network 192.168.2.0 0.0.0.255配置gre隧道interface Tunnel1 mode gre ip address 10.1.1.2 24 source 192.168.2.1 destination 192.168.1.1配置acl 定义兴趣流量（在gre over ipsec应用中要设为两端物理接口地址）acl number 3000 rule 0 permit gre source 192.168.2.1 0 destination 192.168.1.1 0配置ike对等体ike profile ike-name keychain keychain-name match remote identity address 192.168.1.1 24quitike keychain keychain-name pre-shared-key address 192.168.1.1 24 key cipher 123456配置ipsec安全提议ipsec transform-set transform-name esp encryption-algorithm 3des-cbc esp authentication-algorithm sha1 配置ike协商方式的ipsec安全策略ipsec policy policy-name 10 isakmp transform-set transform-name security acl 3000 remote-address 192.168.1.1 ike-profile ike-name端口下应用策略interface GigabitEthernet0/0 ipsec apply policy policy-name测试方法在RT1中以lo0地址去ping RT3的lo0地址。 IPSEC Over GRE配置方法RT1:为端口分配ip地址interface GigabitEthernet0/0 ip address 192.168.1.1 241配置ospf连通网络（可用静态路由）ospf 1area 0network 192.168.1.0 0.0.0.2552配置gre隧道interface Tunnel0 mode gre ip address 10.1.1.1 24 source 192.168.1.1 destination 192.168.2.13配置acl 定义兴趣流量（在IPSEC Over GRE应用中要设两端加密数据网段地址）acl number 3000 rule 0 permit gre source 1.1.1.0 0.0.0.255 destination 2.2.2.0 0.0.0.2554配置ike对等体ike profile ike（ike-名字） keychain ike（keychain-名字） match remote identity address 10.1.1.2（对端地址为RT3 tunnel接口地址）quitike keychain keychain-name pre-shared-key address 10.1.1.2 24 key cipher 123456（设置预共享密钥，对端地址为RT3 tunnel接口地址）5配置ipsec安全提议（加密算法为3DES，验证算法为sha1）ipsec transform-set tra(transform-名字） esp encryption-algorithm 3des-cbc esp authentication-algorithm sha1 6配置ike协商方式的ipsec安全策略ipsec policy vpn（policy-名字）10 isakmp transform-set tra (transform-名字） security acl 3000 remote-address 10.1.1.2（对端地址为RT3 tunnel接口地址） ike-profile ike（ike-名字）7端口下应用策略interface tunnel 0 mode gre ipsec apply policy vpn（policy-名字）RT2:为端口分配ip地址interface GigabitEthernet0/0 ip address 192.168.1.2 24quitinterface GigabitEthernet0/1 ip address 192.168.2.2 24配置ospf连通网络ospf 1area 0network 192.168.1.0 0.0.0.255network 192.168.2.0 0.0.0.255RT3:为端口分配ip地址interface GigabitEthernet0/0 ip address 192.168.2.1 24配置ospf连通网络ospf 1area 0network 192.168.2.0 0.0.0.255配置gre隧道interface Tunnel0 mode gre ip address 10.1.1.2 24 source 192.168.2.1 destination 192.168.1.1配置acl 定义兴趣流量（在IPSEC Over GRE应用中要设两端加密数据网段地址）acl number 3000 rule 0 permit gre source 2.2.2.0 0.0.0.255 destination 1.1.1.0 0.0.0.255配置ike对等体ike profile ike-name keychain keychain-name match remote identity address 10.1.1.1quitike keychain keychain-name pre-shared-key address 10.1.1.1 24 key cipher 123456配置ipsec安全提议ipsec transform-set transform-name esp encryption-algorithm 3des-cbc esp authentication-algori