【华三】GRE Over IPsec 实验配置

已于 2024-02-06 00:24:51 修改
阅读量2.5k 收藏 41
点赞数 17
分类专栏： # 新华三 文章标签： 网络 服务器 运维 华三 智能路由器 安全
于 2024-02-05 16:58:56 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/2301_77161465/article/details/136043054
版权
本文详细描述了如何在企业环境中通过GREoverIPsec技术，实现总部与分支之间的安全通信，包括GRE隧道和IPsec隧道的配置步骤，以及OSPF协议、IKE协商和IPsecSA的设置，确保组播和广播数据的安全传输。

摘要生成于 C知道 ，由 DeepSeek-R1 满血版支持， 前往体验 >

【华三】GRE Over IPsec 实验配置

在这里插入图片描述

前言

GRE over IPSec可利用GRE和IPSec的优势，通过GRE将组播、广播和非IP报文封装成普通的IP报文，通过IPSec为封装后的IP报文提供安全地通信，进而可以提供在总部和分支之间安全地传送广播、组播的业务，例如动态路由协议消息等。

就是将GRE的优点和IPsec的优点相结合
因为GRE能够传输组播、广播等数据，但对数据的传输是不进行加密的，在不安全的公网上面相当于裸奔啦。而咱们的IPsec 是可以对数据进行加密和认证的，但是不支持传输组播、广播等数据，就是会有一些弊端。
现在就是将二者结合在一起，形成为GRE Over IPsec的隧道嵌套技术，这个原理是IPsec 保护 GRE隧道的流量，就可以将GRE的流量进行加密，GRE又可以将私网流量（组播、广播、单播数据包都可以）进行封装，报文格式可以看的很清楚哦，就在下面啦

当网关之间采用GRE over IPSec连接时，先进行GRE封装，再进行IPSec封装。 GRE over IPSec使用的封装模式为可以是隧道模式也可以是传输模式。
因为隧道模式跟传输模式相比增加了IPSec头，导致报文长度更长，更容易导致分片，所以传输模式的GRE over IPSec会好很多。

报文格式

隧道模式：
在这里插入图片描述
传输模式：
在这里插入图片描述

实验需求

R1为企业总部网关，R3为企业分部网关，分部与总部通过公网建立通信。

企业希望对分部与总部之间相互访问的流量（包括组播数据）进行安全保护。由于组播数据无法直接应用IPSec，所以基于虚拟隧道接口方式建立GRE over IPSec，对流量进行保护
在这里插入图片描述

配置

拓扑

在这里插入图片描述

GRE配置步骤

① 创建虚拟Tunnel接口并指定协议类型为GRE
② 设置Tunnel接口的网络地址和掩码
③ 指定Tunnel的源端IP地址
④ 指定Tunnel的目的端IP地址

IPsec 配置步骤

  1. 基础配置, 配置接口的IP地址和到对端的静态路由，保证两端路由可达。

  2. 第一阶段 IKE SA
    ① 配置IKE安全提议，定义IKE保护数据流方法
    ② 配置IKE对等体，定义对等体间IKE协商时的属性
    ③ 配置IKE profile，把前面两个关联在一起

  3. 第二阶段 IPsec SA
    ① 配置ACL，以定义需要IPSec保护的数据流
    ② 配置IPSec安全提议，定义IPSec的保护方法
    ③ 配置安全策略，并引用ACL、IPSec安全提议和IKE对等体，确定对何种数据流采取何种保护方法

  4. 在接口上应用安全策略组，使接口具有IPSec的保护功能

R1

基础配置
[H3C]sysn R1
[R1]undo info-center enable 

[R1]int g0/0
[R1-GigabitEthernet0/0]ip address 202.101.12.1 24
[R1-GigabitEthernet0/0]qu

[R1]int g0/1
[R1-GigabitEthernet0/1]ip address 192.168.10.254 24
[R1-GigabitEthernet0/1]qu

[R1]ip route-static 0.0.0.0 0.0.0.0 202.101.12.2          ##配置默认路由指向ISP_R2运营商，实现公网可达
GRE 配置
[R1]int Tunnel 13 mode gre             ## 创建隧道接口并定义隧道类型为GRE
[R1-Tunnel13]ip address 13.13.13.1 24  ## 配置隧道的IP地址
[R1-Tunnel13]source 202.101.12.1       ## 配置隧道的源地址（封装报文头的）
[R1-Tunnel13]destination 202.101.23.3  ## 配置隧道目的地址（封装报文头的）
[R1-Tunnel13]qu

[R1]ospf 110 router-id 1.1.1.1         ## 创建OSPF 进程110 ，RID 手工指定为 1.1.1.1 
[R1-ospf-110]area 0                    ## 宣告在骨干区域中
[R1-ospf-110-area-0.0.0.0]network 192.168.10.0 0.0.0.255     ## 宣告的网段
[R1-ospf-110-area-0.0.0.0]network 13.13.13.0 0.0.0.255
IPsec 配置
==========================  配置第一阶段 IKE  ============================

## 配置R1的IKE安全提议，名字为 1
[R1]ike proposal 1   ## ike的提案（需要用什么）
[R1-ike-proposal-1]encryption-algorithm 3des-cbc        ## 用3des加密IKE
[R1-ike-proposal-1]authentication-algorithm sha256      ## IKE用sha256 认证
[R1-ike-proposal-1]dh group5                            ## IKE 处于group5
[R1-ike-proposal-1]qu

## 采用PSK，配置与对等体的信息，钥匙串名字为 1
[R1]ike keychain 1  
[R1-ike-keychain-1]pre-shared-key address 202.101.23.3 key simple 520
[R1-ike-keychain-1]qu

## 将上面两个整合在一起，匹配对等体，profile 名字为 1
[R1]ike profile 1 
[R1-ike-profile-1]keychain 1             ## 指定引用的IKE keychain为keychain 1
[R1-ike-profile-1]proposal 1             ## 指定引用的IKE proposal为proposal 1
[R1-ike-profile-1]match remote identity address 202.101.23.3   ## 指定对端的IP地址
[R1-ike-profile-1]qu

==========================  配置第二阶段 IPsec  ============================

## IPSec SA的创建，转换集，名字为 myset
[R1]ipsec transform-set myset
[R1-ipsec-transform-set-myset]encapsulation-mode tunnel           ## 流量以隧道的方式传输
[R1-ipsec-transform-set-myset]esp encryption-algorithm 3des-cbc   ## 数据加密算法
[R1-ipsec-transform-set-myset]esp authentication-algorithm sha256 ## 身份认证算法
[R1-ipsec-transform-set-myset]qu

## 配置高级ACL，匹配GRE头部的公网地址（202.101.12.1 → 202.101.23.3）
[R1]acl advanced 3000 
[R1-acl-ipv4-adv-3000]rule permit ip source 202.101.12.1 0.0.0.0 destination 202.101.23.3 0.0.0.0
[R1-acl-ipv4-adv-3000]qu

## IPsec 和 IKE的安全策略的关联，名字为 mypolicy 优先级为 1
[R1]ipsec policy mypolicy 1 isakmp    
[R1-ipsec-policy-isakmp-mypolicy-1]ike-profile 1              ## 关联IKE profile 1
[R1-ipsec-policy-isakmp-mypolicy-1]security acl 3000          ## 匹配需要保护的数据流
[R1-ipsec-policy-isakmp-mypolicy-1]transform-set myset        ## 关联IPsec 转换集
[R1-ipsec-policy-isakmp-mypolicy-1]remote-address 202.101.23.3  ## 远端的IP地址
[R1-ipsec-policy-isakmp-mypolicy-1]qu

## 出接口上调用安全策略组
[R1]int g0/0
[R1-GigabitEthernet1/0]ipsec apply policy mypolicy 
[R1-GigabitEthernet1/0]qu

ISP_R2

基础配置
<H3C>system-view 
[H3C]sysname ISP_R2

[ISP_R2]int g0/0
[ISP_R2-GigabitEthernet0/0]ip address 202.101.12.2 24
[ISP_R2-GigabitEthernet0/0]qu

[ISP_R2]int g0/1
[ISP_R2-GigabitEthernet0/1]ip address 202.101.23.2 24
[ISP_R2-GigabitEthernet0/1]qu

R3

基础配置
[H3C]sysn R3

[R3]int g0/0
[R3-GigabitEthernet0/0]ip address 202.101.23.3 24
[R3-GigabitEthernet0/0]qu

[R3]int g0/1
[R3-GigabitEthernet0/1]ip address 192.168.20.254 24
[R3-GigabitEthernet0/1]qu

[R3]ip route-static 0.0.0.0 0.0.0.0 202.101.23.2        ##配置默认路由指向ISP_R2运营商，实现公网可达
GRE 配置
[R3]int Tunnel 13 mode gre
[R3-Tunnel13]ip address 13.13.13.3 24
[R3-Tunnel13]source 202.101.23.3
[R3-Tunnel13]destination 202.101.12.1
[R3-Tunnel13]qu

[R3]ospf 110 router-id 3.3.3.3
[R3-ospf-110]area 0
[R3-ospf-110-area-0.0.0.0]network 13.13.13.0 0.0.0.255
[R3-ospf-110-area-0.0.0.0]network 192.168.20.0 0.0.0.255
IPsec 配置
==========================  配置第一阶段 IKE  ============================

[R3]ike proposal 1
[R3-ike-proposal-1]encryption-algorithm 3des-cbc 
[R3-ike-proposal-1]authentication-algorithm sha256 
[R3-ike-proposal-1]dh group5
[R3-ike-proposal-1]qu

[R3]ike keychain 1
[R3-ike-keychain-1]pre-shared-key address 202.101.12.1 key simple 520
[R3-ike-keychain-1]qu

[R3]ike profile 1
[R3-ike-profile-1]proposal 1
[R3-ike-profile-1]keychain 1
[R3-ike-profile-1]match remote identity address 202.101.12.1 
[R3-ike-profile-1]qu

==========================  配置第二阶段 IPsec  ============================

[R3]ipsec transform-set myset 
[R3-ipsec-transform-set-myset]encapsulation-mode tunnel 
[R3-ipsec-transform-set-myset]esp encryption-algorithm 3des-cbc 
[R3-ipsec-transform-set-myset]esp authentication-algorithm sha256
[R3-ipsec-transform-set-myset]qu

[R3]acl advanced 3000
[R3-acl-ipv4-adv-3000]rule permit ip source 202.101.23.3 0.0.0.0 destination 202.101.12.1 0.0.0.0
[R3-acl-ipv4-adv-3000]qu

[R3]ipsec policy my-policy 1 isakmp 
[R3-ipsec-policy-isakmp-my-policy-1]ike-profile 1
[R3-ipsec-policy-isakmp-my-policy-1]transform-set myset
[R3-ipsec-policy-isakmp-my-policy-1]security acl 3000
[R3-ipsec-policy-isakmp-my-policy-1]remote-address 202.101.12.1
[R3-ipsec-policy-isakmp-my-policy-1]qu

[R3]int g0/0
[R3-GigabitEthernet0/0]ipsec apply policy my-policy
[R3-GigabitEthernet0/0]qu

PC

PC1

在这里插入图片描述

PC2

在这里插入图片描述

抓包检查

记住这个报文格式，到后面看我抓包的内容就能够很好地理解啦~
在这里插入图片描述

OSPF建立

查看邻居的建立情况
在这里插入图片描述
在这里插入图片描述

GRE隧道建立

当GRE的网段地址（13.13.13.0）能够相互通信的时候，就表明GRE的隧道是建立成功了
如下图所示
在这里插入图片描述

IPsec 隧道建立

此时的IPsec VPN是自动建立的
这是因为私网中，我是用OSPF实现的全互通，GRE的隧道口也是被我宣告进去了，这个时候，这个时候的Hello包会经过GRE封装，携带公网头部从e0/0接口出去，触发到了IPsec的ACL感兴趣流量，这个时候就会自动建立IPsec VPN
在这里插入图片描述

Ping

在这里插入图片描述
因为我的 IPSec 用ESP头部数据封装进行传输，会对流量包进行加密，这个时候抓包的时候就看不到数据包里面的内容了，这个安全性会更高
在这里插入图片描述

配置文档

注意：直接粘贴命令是可以的，但有时候GRE 隧道会没建立成功，就需要自己手动再敲代码进去啦
R1

sys
sysname R1

int g0/0
ip address 202.101.12.1 24
qu

int g0/1
ip address 192.168.10.254 24
qu

ip route-static 0.0.0.0 0.0.0.0 202.101.12.2

int Tunnel 13 mode gre            
ip address 13.13.13.1 24  
source 202.101.12.1     
destination 202.101.23.3  
qu

ospf 110 router-id 1.1.1.1         
area 0                   
network 192.168.10.0 0.0.0.255    
network 13.13.13.0 0.0.0.255
qu
qu


ike proposal 1
encryption-algorithm 3des-cbc 
authentication-algorithm sha256
dh group5
qu

ike keychain 1
pre-shared-key address 202.101.23.3 key simple 520
qu

ike profile 1
keychain 1
proposal 1
match remote identity address 202.101.23.3 
qu

ipsec transform-set myset 
encapsulation-mode tunnel 
esp encryption-algorithm 3des-cbc 
esp authentication-algorithm sha256
qu

acl advanced 3000
rule permit ip source 202.101.12.1 0.0.0.0 destination 202.101.23.3 0.0.0.0
qu

ipsec policy mypolicy 1 isakmp 
ike-profile 1
security acl 3000
transform-set myset
remote-address 202.101.23.3
qu

int g0/0
ipsec apply policy mypolicy
qu

ISP_R2

sys
sysn ISP_R2

int g0/0
ip address 202.101.12.2 24
qu

int g0/1
ip address 202.101.23.2 24
qu

R3


sys
sysname R3

undo info-center enable 

int g0/0
ip address 202.101.23.3 24
qu

int g0/1
ip address 192.168.20.254 24
qu

ip route-static 0.0.0.0 0.0.0.0 202.101.23.2

int Tunnel 13 mode gre
ip address 13.13.13.3 24
source 202.101.23.3
destination 202.101.12.1
qu

ospf 110 router-id 3.3.3.3
area 0
network 13.13.13.0 0.0.0.255
network 192.168.20.0 0.0.0.255
qu
qu


ike proposal 1
encryption-algorithm 3des-cbc 
authentication-algorithm sha256
dh group5
qu

ike keychain 1
pre-shared-key address 202.101.12.1 key simple 520
qu

ike profile 1
keychain 1
proposal 1
match remote identity address 202.101.12.1
qu

ipsec transform-set myset 
encapsulation-mode tunnel 
esp encryption-algorithm 3des-cbc 
esp authentication-algorithm sha256
qu

acl advanced 3000
rule permit ip source 202.101.23.3 0.0.0.0 destination 202.101.12.1 0.0.0.0
qu

ipsec policy mypolicy 1 isakmp 
ike-profile 1
security acl 3000
transform-set myset
remote-address 202.101.12.1
qu

int g0/0
ipsec apply policy mypolicy
qu
企业分支与总部配置GRE over IPSec双链路综合实验（设备：USG6000、AR2240）并配置策略路由实现不同网段通过不同的供应商上网
A soul tortured by desire
12-09 2377
实验背景： 企业总部和分支机构之间要可以相互访问内网，现在一般采用在总部和分支的出口设备上建立隧道的方式，这种方式需要在公网上传输总部与分支之间的数据流。 IPSec仅支持单播，如果采用IPSec 只能传输单播报文，那么当两地的网络较庞大时，相互的一条一条互指静态路由，是非常麻烦，且容易出错的；若要使用路由，由于路由协议是组播报文，而GRE支持单播、组播、广播，可以完美的解决IPSec不支持组播，从而不能动态的使用动态路由来发现总部与分支之间的内网。 由于GRE隧道不提供安全性保障，传输明文在公网..
防火墙GRE over IPSec主备链路典型配置案例
m0_65005552的博客
06-25 1894
防火墙GRE over IPSec主备链路典型配置案例
华三IPsec VPN（野蛮模式）（案例）
qq_73757784的博客
07-28 3000
R1-ike-proposal-1]encryption-algorithm 3des-cbc //加密算法3des-cbc（双方一致）之间与LSP相连接；[R1-ike-keychain-1]pre-shared-key hostname R2 key simple 123456 //密码要一致。[R1-ipsec-policy-template-mytem-1]transform-set my //引用ipsec安全提议my。
防火墙Gre over IPSec的原理和配置
最新发布
2403_83112422的博客
03-09 1234
实现PC1与PC2之间通过Gre over IPsec互访并且PC1能够通过NAT访问R3的loopback8接口
GRE Over IPsec（华三）
qq_73757784的博客
10-30 1591
当总部想要访问分部172.16.10.0网段时，下一跳为tunnel接口，进入接口后，首先会被GRE封装，封装为源1.1.1.1，目的3.3.3.3然后从G0/1发出，因为在g0/1接口调用了ipsec策略，又会被感兴趣流匹配上，封装为公网地址源100.1.1.1，目的200.1.1.2从g0/1接口发出。那么当数据进入tunnel隧道后，会先被GRE封装后再进行IPsec感兴趣流acl匹配，匹配上了则封装IPsec，没匹配上则丢包。GRE Over IPsec 顾名思义，GRE在内，IPsec在外。
H3C GRE over ipsec配置
qq_23930765的博客
11-13 3234
多分支接入的情况下，如果设备支持点到多点GRE隧道，则总部只需要配置一个GRE Tunnle，但是设备不支持此特性的话，只能在总部为每个分支建立一个GRE Tunnle。三：这种方式下的IPSEC，后续网段变动时，只需要配置不同的静态路由指向GRE Tunnle口，IPsec的配置无需改变，适合私网地址较大的拓扑。一：注意loopback口的建立，和GRE封装时的源目地址保持一致，而不是GRE Tunnle的ip地址。以及IPsec的安全ACL匹配的是GRE封装之后的源目地址。
GRE OVER IPSEC的配置方法
weixin_33812433的博客
04-17 1191
试验目的：GRE OVER IPSEC的配置方法： 试验拓扑： R1: interface Tunnel0 ip unnumbered Loopback1 tunnel source Serial1/1 tunnel destination 202.100.23.3 ip route 0.0.0.0 0.0.0.0 Serial1/1 ip route 192.168.23.0...
华三（H3C）GRE OVER IPsec实验
h320758724的博客
04-27 4815
实验需求 1. 某企业北京总部、上海分支、武汉分支分别通过 R1，R3，R4 接入互联网，配置默认路由连通公网 2. 按照图示配置 IP 地址，R1，R3，R4 分别配置 Loopback0 口匹配感兴趣流，Loopback1 口模拟业务网段 3. 北京总部拥有固定公网地址，在 R2 上配置 DHCP，对 R3 和 R4 动态分配 IP 地址，IP 地址网段如图 4. 北京总部、上海分支、武汉分支配置 GRE over IPsec VPN 连通内网，要求北京总部使用模板来简化配置 5. 总部和分支
H3C GRE over IPsec VPN 实验
M建的博客
10-11 1258
分支配置 GRE over IPsec VPN 连通内网
华三gre over ipsec配置
06-06
华三GRE over IPSec配置是一种网络配置方式，可以实现两个不同网络之间的通信。具体配置步骤如下： 1. 配置IPSec隧道：在两个网络设备上分别配置IPSec隧道，包括加密算法、认证算法、预共享密钥等参数。 2. 配置...
Cisco Packet Trancer实战 - GRE over IPSec VPN配置练习
weixin_44517249的博客
02-29 2404
GRE over IPSec VPN是将GRE协议和IPSec协议结合起来使用,通过在GRE包上添加IPSec头部,实现了对GRE包的加密和认证处理。
H3C IPsec over GRE VPN 实验
M建的博客
10-11 1368
配置 IPsec over GRE VPN 来连通两端内网
10个步骤上车H3C GRE OVER IPSec VPN配置
VEGETA的博客
06-25 1655
10个步骤，带你上车H3C GRE OVER IPSec VPN配置
GRE over IPSec配置（DCR--H3C）
aphero的专栏
12-13 2483
ipsec gre
H3C GRE over IPsec实验
呦菜呦爱玩的博客
07-25 3934
组网需求 1. 某企业总部、分支1、分支2分别通过 R1，R3，R4 接入互联网，配置默认路由连通公网 2. 按照图示配置 IP 地址，R1，R3，R4 分别配置 Loopback0 口匹配感兴趣流，Loopback1 口模拟业务网段 3. 总部拥有固定公网地址，在 R2 上配置 DHCP，对 R3 和 R4 动态分配 IP 地址，IP 地址网段如图 4. 总部、分支1、分支2配置 GRE over IPsec VPN 连通内网，要求总部使用模板来简化配置 5. 总部和分支之间配置 RIPv2 传递内网路由
H3C GRE OVER IPSEC配置
weixin_34101229的博客
12-01 1169
网络拓扑如下 1、公司A端路由器配置 # //定义需要保护的安全数据流 acl number 3000 rule 10 permit ip source12.12.12.10destination23.23.23.3 0 # //定义IKE对等体 ike peer to_rtb //使用预设口令身份验...
新华三网络教程之GRE OVER IPSCE实战
weixin_44255593的博客
02-26 2493
实验拓扑：实验环境： 本案例采用H3C HCL模拟器的MSR30-20路由器来模拟GRE OVER IPSCE的典型组网配置。内网和外网在网络拓扑图中已经有了明确的标识。RT1与RT2均为各自内网的出口设备，提供NAT地址转换的服务。为了内网1和内网2能跨越外网实现通信，因为在RT1和RT2之间采用GRE VPN建立隧道，同时为了保证数据传输的安全性，将ipsec嵌入到GRE VPN隧道中。 配置思路： 1、按照网络拓扑图正确配置IP地址 2、RT1配置NAT，并配置默认路由指向ISP 3、RT2
华三“GRE over IPsec”命令配置模板
qq_42723546的博客
07-18 3751
GRE在里，IPsec在外。IPsec不支持组播，GRE支持。所以用GRE去封装路由协议。 总部：（多个分部时，使用模板） ike local-name zongbu ike peer fenbu  exchange-mode aggressive                            //野蛮模式  pre-shared-key simple h3c  id-type name...
gre over ipsec配置
Cash
02-13 225
使用gre封装路由更新信息，然后被ipsec封装后发送，使路由更新信息安全穿越广域网络！   注：GRE通道ip地址不在ipsec配置中被使用！   以下为配置文件：  ------- !!version 12.4service timestamps debug datetime msecservice timestamps log datetime msecno service pa...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

张白夕

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值