企业安全应用学习其实很简单21篇多厂商系列之二ciscoh3c gre over ipsec svti

在传统的IPsec 中，IPsec只能为IPv4单播提供服务，因为IPsec技术是从IPv6挪移过来的，当时候没考虑到这种应以，必须使用一种技术来承载组播与广播包，这就是我们的GenericRoutingEncapsulation(GRE),也就是我们常用的 出的一个feature，让IPsec有一个静态的接口，这样就不需要借助任何协议，就可单独完成动态路由协议的建立。GREciscoIEFTIP，et，IPX，Appletalk。默point-to-pointmulticastpointGRE的地址是可达，那么这个隧道就会up。Interfacetunneltunnelsource tunneldestinationipaddress172.16.1.1地址路由可达，那么就会自动up。interfacetunnel0tunneldestinationipadd172.16.1.2IPGREICMPIP头部(公网)SIP：202.100.1.1DIP：202.200.2,.1|GREIP头部SIP：172.16.1.1 |ICMP头部|由于GRE没有物理层的特性，所以只要条件可达，那么就会UP，后来，引进了一种类似与 于探测对方的存在，默认为10s一次，3次收不到对方的 o就down了。interfacetunnelkeepalive10 R1shutdown，R330sdownGREOverGREOverIPsecIPsecgreIPsecOverGRE，就是说IPsecGREOverIPsectunnel，tunnel态路由协议的话，GREtunnelIPGRE,那么我们的加密点可以是SIP202.100.1.1DIP202。100.2.1gre的流量，通讯点由于是路由协议并且被GRE包裹着，SIP202.100.1.1DIP202.100.2.1DIP：202.100.1.1DIP：202.100.2.1|ESP|GRE|tunnelGREOverIPsec1、cryptoisakmp102、cryptoisakmpkey0 address202.100.2.13、cryptoipsectransform-settransesp-desesp-md5-hmacmode4、access-list100permitgrehost202.100.1.1host202.100.2.15、cryptomapl2l10ipsec-isakmpmatchaddresssetpeer6、interfacef0/0cryptomap1、cryptoisakmp102、cryptoisakmpkey0 address202.100.1.13、cryptoipsectransform-settransesp-desesp-md5-hmacmode4、access-list100permitgrehost202.100.2.1host202.100.1.15、cryptomapl2l10ipsec-isakmpmatchaddresssetpeer202.100.1.16、interfacef0/1rotuerospfrouter-idnetwork172.16.1.00.0.0.255anetwork1.1.1.10.0.0.0arouterospfrouter-idnetwork17216.1.00.0.255anet1.1.1.10.0.0.0a会发现IPsec会自动的建立起来，这是因为路由协议的o包触发了IPsec的隧道建立。这里注意的是，不需要公去了需要大量ACL的输入。IPsecSVTIStaticVIrtualTunnelinterface，ciscoIOS12.4推出的新特性，为IPsecTunnel持各种组播和广播的传递。它的出现比GREOverIPSec更简化配置和许多特性的支持。cryptoisakmp10cryptoisakmpkeyciscoaddresscryptoipsectransform-settransesp-desesp-md5-hmacmodetransportcryptoipsecprofileinterfacetunnel0tunnelmodeipsecipv4tunnelprotectionipsecprofileipsecprofileTunnelIPsecipv4流量，也没有Peer，在这种技术中，tunnel的destination就是peer，而感流量就是通过IPsec封装的流量。这种技术不需要依赖GRE，也不会存在GRE头部。IPsecMAPIP，而动mapIP获取，后续的remoteEZ扩展性很强还有DM这些技术应用的非常广泛，也适用于现在IPv4的网络。interfaceTunnel0sources0/2/0ipadd172.16.1.1interfaceTunnel0sources0/2/0ipadd172.16.1.2IKE：IKEpeer1IPSEC：ipsecproposalipsecprofileike-peerproposalintertunipsecprofile1这里注意的是，如果不封装ipsecipv4的话，那么就不会有ipsecp