GRE Over IPSec（华为USG）—— 2种方法

最新推荐文章于 2024-04-17 12:26:45 发布
最新推荐文章于 2024-04-17 12:26:45 发布
阅读量856 收藏 12
点赞数
分类专栏： 华为防火墙USG实验 文章标签： 华为 服务器 网络
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/SSR_ZZ/article/details/133013397
版权

一、拓扑图

在这里插入图片描述
在FW1和FW2间建立GRE Over IPSec，使PC1、PC2互通

二、底层配置

R1：

sysname R1
#
interface GigabitEthernet0/0/0
 ip address 155.1.121.1 255.255.255.0
#
interface GigabitEthernet0/0/1
 ip address 155.1.131.1 255.255.255.0
#
interface LoopBack0
 ip address 150.1.1.1 255.255.255.255
#

防火墙基础配置
配置接口IP地址，并将接口划分到安全区域
配置安全策略，放行防火墙自身发起的流量
配置缺省静态路由

FW1：

sysname FW1
#
interface GigabitEthernet1/0/0
 undo shutdown
 ip address 155.1.121.12 255.255.255.0
#
interface GigabitEthernet1/0/1
 undo shutdown
 ip address 10.1.1.12 255.255.255.0
#
firewall zone trust
 add interface GigabitEthernet1/0/1
#
firewall zone untrust
 add interface GigabitEthernet1/0/0
#
ip route-static 0.0.0.0 0.0.0.0 155.1.121.1
#
security-policy
 rule name local->any
  source-zone local
  action permit
#

FW2：

sysname FW2
#
interface GigabitEthernet1/0/0
 undo shutdown
 ip address 155.1.131.13 255.255.255.0
#
interface GigabitEthernet1/0/1
 undo shutdown
 ip address 10.1.2.13 255.255.255.0
#
firewall zone trust
 add interface GigabitEthernet1/0/1
#
firewall zone untrust
 add interface GigabitEthernet1/0/0
#
ip route-static 0.0.0.0 0.0.0.0 155.1.131.1
#
security-policy
 rule name local->any
  source-zone local
  action permit
#

在这里插入图片描述

在这里插入图片描述

测试访问R1的Loopback

在这里插入图片描述

在这里插入图片描述

三、配置GRE

Tunnel接口划分到DMZ区域
放行untrust到local的gre流量（GRE协议号47）

FW1：

interface Tunnel0
 ip address 10.0.0.12 255.255.255.0
 tunnel-protocol gre
 source GigabitEthernet1/0/0
 destination 155.1.131.13
 service-manage ping permit
 #
 firewall zone dmz
 add interface Tunnel0
#
security-policy
 rule name out->local
  source-zone untrust
  destination-zone local
  service gre
  action permit
#

FW2：

interface Tunnel0
 ip address 10.0.0.13 255.255.255.0
 tunnel-protocol gre
 source GigabitEthernet1/0/0
 destination 155.1.121.12
 service-manage ping permit
 #
 firewall zone dmz
 add interface Tunnel0
#
security-policy
 rule name out->local
  source-zone untrust
  destination-zone local
  service gre
  action permit
#

ping Tunnel接口

在这里插入图片描述

查看抓包

此时还没有加密
在这里插入图片描述

四、配置OSPF

把内网及Tunnel接口宣告到OSPF，千万不要宣告外网接口

FW1&FW2：

ospf 1
 area 0.0.0.0
  network 10.0.0.0 0.255.255.255
  #

查看OSPF邻居及路由

在这里插入图片描述
在这里插入图片描述
在这里插入图片描述

五、配置IPSec

提供两种配置方法：

  • 接口调用ipsec policy
  • 接口调用ipsec profile

封装模式为传输模式，隧道模式虽然也可以，但是报头比传输模式大，增加开销
ACL匹配GRE流量
在物理接口调用ipsec policy

方法一（调用ipsec policy）

FW1：

ike proposal 10
 encryption-algorithm 3des
 dh group2
 authentication-algorithm sha1
 authentication-method pre-share
#
ike peer FW2
 pre-shared-key huawei@123
 ike-proposal 10
 remote-address 155.1.131.13
#
ipsec proposal PRO1
 encapsulation-mode transport
 esp authentication-algorithm sha1
 esp encryption-algorithm 3des
#
acl number 3000
 rule 5 permit gre
#
ipsec policy FW1_FW2 10 isakmp
 security acl 3000
 ike-peer FW2
 proposal PRO1
#
interface GigabitEthernet1/0/0
  ipsec policy FW1_FW2
#

FW2：

ike proposal 10
 encryption-algorithm 3des
 dh group2
 authentication-algorithm sha1
 authentication-method pre-share
#
ike peer FW1
 pre-shared-key huawei@123
 ike-proposal 10
 remote-address 155.1.121.12
#
ipsec proposal PRO1
 encapsulation-mode transport
 esp authentication-algorithm sha1
 esp encryption-algorithm 3des
#
acl number 3000
 rule 5 permit gre
#
ipsec policy FW1_FW2 10 isakmp
 security acl 3000
 ike-peer FW1
 proposal PRO1
#
interface GigabitEthernet1/0/0
  ipsec policy FW1_FW2
#

方法二（调用ipsec profile）

FW1：

ike proposal 10
 encryption-algorithm 3des
 dh group2
 authentication-algorithm sha1
 authentication-method pre-share
#
ike peer FW2
 pre-shared-key huawei@123
 ike-proposal 10
 remote-address 155.1.131.13
#
ipsec proposal PRO1
 encapsulation-mode transport
 esp authentication-algorithm sha1
 esp encryption-algorithm 3des
#
ipsec profile FW1_FW2
 ike-peer FW2
 proposal PRO1
#
interface Tunnel0
 ipsec profile FW1_FW2
#

FW2：

ike proposal 10
 encryption-algorithm 3des
 dh group2
 authentication-algorithm sha1
 authentication-method pre-share
#
ike peer FW1
 pre-shared-key huawei@123
 ike-proposal 10
 remote-address 155.1.121.12
#
ipsec proposal PRO1
 encapsulation-mode transport
 esp authentication-algorithm sha1
 esp encryption-algorithm 3des
#
ipsec profile FW1_FW2
 ike-peer FW2
 proposal PRO1
#
interface Tunnel0
 ipsec profile FW1_FW2
 #

六、配置安全策略

由于GRE被IPSec加密，untrust到local的流量放行esp和ike的流量

  • ike的udp端口号500
  • esp协议号50

允许外部流量主动访问内网

  • 放行dmz到trust的流量

允许内部流量主动发起访问

  • 放行trust->dmz的流量

FW1：

security-policy
 rule name out->local
  source-zone untrust
  destination-zone local
  service esp
  undo service gre
  action permit
 rule name vpn_in
  source-zone dmz
  destination-zone trust
  source-address 10.1.2.0 mask 255.255.255.0
  destination-address 10.1.1.0 mask 255.255.255.0
  action permit
 rule name vpn_out
  source-zone trust
  destination-zone dmz
  source-address 10.1.1.0 mask 255.255.255.0
  destination-address 10.1.2.0 mask 255.255.255.0
  action permit
#

FW2:

security-policy
 rule name local->any
  source-zone local
  action permit
 rule name out->local
  source-zone untrust
  destination-zone local
  service esp
  action permit
 rule name vpn_in
  source-zone dmz
  destination-zone trust
  source-address 10.1.1.0 mask 255.255.255.0
  destination-address 10.1.2.0 mask 255.255.255.0
  action permit
 rule name vpn_out
  source-zone trust
  destination-zone dmz
  source-address 10.1.2.0 mask 255.255.255.0
  destination-address 10.1.1.0 mask 255.255.255.0
  action permit
#

查看IKE SA

在这里插入图片描述

测试PC互访

在这里插入图片描述

抓包

流量已被加密
在这里插入图片描述

查看IPSec SA

在这里插入图片描述

拓展

PC1访问PC2，查看FW1的会话表
在这里插入图片描述
FW1发出的ESP报文对应的方向为untrust->local，表示FW1在接收ESP报文，实际上不应该是FW1发出ESP报文，对应方向为local->untrust吗？

原来FW1加密后发出的ESP报文是不建立会话的，不走防火墙转发流程，当然也不做安全策略检查。但是防火墙收到ESP报文进行解密时，需要先建会话走转发流程，做安全策略检查，所以这条会话对应FW1接收到的ESP报文。ISAKMP协商报文的收发都需要走转发流程，所以不存在这个问题。

SSR_ZZ
关注
  • 0
    点赞
  • 踩
  • 12
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
专栏目录
GRE over IPSec组网配置
Qconfig100的博客
09-01 489
R-A 为分公司网关，R-B为总部网关，分公司与总部通过公网建立通信，含组播通信。现需求对分公司与总部之间相互访问的流量进行安全保护，但是组播数据无法直接应用IPSec,故只能建立基于虚拟隧道接口方式的GRE over IPSec,对隧道接口下的流量进行保护。
【HUAWEI】配置案例：GRE Over IPSec
u012468770的博客
11-07 8231
【背景】 某公司拥有两地办事机构，这里用AR1和AR3代表，分别拥有各自的子网。出口网关分别从ISP处获得一公网IP（此处分别以10.0.12.1/24和10.0.23.3/24网络代表）。架设一个网络，使得内部子网能够通信。 这是一个两地办公经常会遇到的网络问题。 【解决方案】 为了使得两地可以相互访问内网，冒无疑问的需要使用到VPN技术。为了保证传输的安全性，这里直接使用IPSec...
通用路由封装协议--GRE的简单配置
qq_43432623的博客
12-14 5753
通用路由封装协议GRE（Generic Routing Encapsulation）可以对某些网络层协议（如IPX、ATM、IPv6、AppleTalk等）的数据报文进行封装，使这些被封装的数据报文能够在另一个网络层协议（如IPv4）中传输。GRE提供了将一种协议的报文封装在另一种协议报文中的机制，是一种三层隧道封装技术，使报文可以通过GRE隧道透明的传输，解决异种网络的传输问题。
GRE over IPsec配置及原理
qq_45309500的博客
04-05 5358
GRE over IPsec配置及原理 背景： ipsec具有可靠性，完整性，机密性，甚至还有抗重放功能，安全性很高，但是，ipsec不支持组播，这就意味着在ipsec隧道中，只能通过写静态路由来引导数据包，如果私网的主机数较少还好，如果主机数网段很多，意味着得一条一条的写静态 GRE具有很牛的隧道技术，传输速度快，并且支持组播技术 但是，GRE不支持加密，就意味着传输的数据别人都能看的见，安全性不高 怎么才能使通信即快，又方便，又安全呢？ GRE 和IPsec的联动解决了这个问题 GRE隧道传输的同时
GRE over IPSec 隧道配置案例，网络安全面试基础问题
最新发布
2301_82242296的博客
04-17 338
通过GRE隧道的hello包没有加密无安全性。青海分部IP地址、DHCP、NAT、路由。上海总部IP地址、DHCP、NAT、路由。OSPF邻居建立成功。
GRE over IPsec VPN配置
傻傻的心动的博客
06-19 2045
GRE over IPsec VPN配置
【华三】GRE Over IPsec 实验配置
2301_77161465的博客
02-05 1624
GRE over IPSec可利用GRE和IPSec的优势，通过GRE将组播、广播和非IP报文封装成普通的IP报文通过IPSec为封装后的IP报文提供安全地通信，进而可以提供在总部和分支之间安全地传送广播、组播的业务，例如动态路由协议消息等。就是将GRE的优点和IPsec的优点相结合因为GRE能够传输组播、广播等数据，但对数据的传输是不进行加密的，在不安全的公网上面相当于裸奔啦。而咱们的IPsec 是可以对数据进行加密和认证的，但是不支持传输组播、广播等数据，就是会有一些弊端。
华为USG夸三层交换机识别客户端MAC地址的配置方法
04-09
"华为USG夸三层交换机识别客户端MAC地址的配置方法" 一、华为USG夸三层交换机识别客户端MAC地址的配置方法简介 华为USG夸三层交换机识别客户端MAC地址的配置方法是指在华为USG夸三层交换机上配置识别客户端MAC地址...
ssh脚本自动将IP加入华为USG6300防火墙黑名单
05-12
1.从ip.txt文件中取出ip列表。2.将每一个ip设置到防火墙黑名单。3.使用expect自动登录防火墙。4.进入到防火墙系统视图。5.将IP加入到防火墙。6.查看IP黑名单列表。完整代码见附件
华为USG防火墙运维命令大全 (2).docx
06-21
华为USG防火墙运维命令大全 (2).docx华为USG防火墙运维命令大全 (2).docx华为USG防火墙运维命令大全 (2).docx华为USG防火墙运维命令大全 (2).docx华为USG防火墙运维命令大全 (2).docx华为USG防火墙运维命令大全 (2)....
华为USG6000系列防火墙固件文件包括USG6000v1到V5升级包
06-13
华为USG6000系列防火墙固件。压缩包包含文件USG6000v500r001c30spc100.bin+USG6000V500R005C20SPC500(mini).bin+USG6000V500R005C20SPC500三个文件。
华为防火墙 USG6300 zabbix模版
05-04
此模板实现了华为防火墙USG6300系列的 功率 风扇 cpu 内存 温度 吞吐量 会话的监控 此模板实现了华为防火墙USG6300系列的 功率 风扇 cpu 内存 温度 吞吐量 会话的监控
H3C GRE over ipsec配置
qq_23930765的博客
11-13 2684
多分支接入的情况下，如果设备支持点到多点GRE隧道，则总部只需要配置一个GRE Tunnle，但是设备不支持此特性的话，只能在总部为每个分支建立一个GRE Tunnle。三：这种方式下的IPSEC，后续网段变动时，只需要配置不同的静态路由指向GRE Tunnle口，IPsec的配置无需改变，适合私网地址较大的拓扑。一：注意loopback口的建立，和GRE封装时的源目地址保持一致，而不是GRE Tunnle的ip地址。以及IPsec的安全ACL匹配的是GRE封装之后的源目地址。
华为GRE over IPsec
qq2353177176的博客
03-16 225
华为GRE over IPsec 基本配置和解释
华为AR1220路由器配置GRE隧道
蛮荒仙侠
08-09 7994
华为AR1220路由器配置GRE隧道 1、概要 组网要求 AR1、AR2、AR3 属于VPN骨干网，它们之间执行OSPF协议。 AR1和AR3之间使用三层隧道协议，实现PC1和PC2互联。 PC1和PC2上分别指定AR1、AR2为自己的缺省网关 本示例设计路由器型号：华为AR1220 每种路由器可能命令和功能上有些许差异，请自行解决 组网拓扑图 知识拓展 GRE（General Routing Encapsu.
关于GRE OVER IPSEC 引起的recursive routing
weixin_34067102的博客
03-04 174
今天做实验碰到一个很有意思的话题，递归路由。虽然gre over ipsec 配好了 但路由接口来回down掉， *Mar 4 15:08:34.435: %OSPF-5-ADJCHG: Process 10, Nbr 4.4.4.4 on Tunnel0 from LOADING to FULL, Loading Done *Mar 4 15:08:42.003: ...
华为防火墙上gre vpn的配置
Tony_long7483的博客
03-18 5314
配置IP地址 [FW4-GigabitEthernet1/0/1]ip add 40.1.1.1 24 [FW4-GigabitEthernet1/0/0]ip add 10.1.1.1 24 [FW5-GigabitEthernet1/0/1]ip add 40.1.1.2 24 [FW5-GigabitEthernet1/0/0]ip add 10.1.2.2 24 将接口加入相关区域 [FW4]firewall zone trust [FW4-zone-trust]add interface Gig.
GRE OVER IPSEC（野蛮模式）
weixin_46639226的博客
11-06 3592
## 野蛮模式适用于两端其中有一端地址不固定的情况 实验拓扑 实验思路 1.配置全网地址（这里的地址已经在图上规划，不在赘述） 2.配置ike 3.配置ipsec 4.配置GRE 地址配置完成之后，首先要保证公网可达，因为RT3和RT4是DHCP获取的地址，所以他们上面会有两条默认路由，下一跳是SW5，但是RT1上面没有往公网去的路由，所以要在RT1上配置一条默认路由 RT1 [H3C]ip route-static 0.0.0.0 0 100.1.1.254 RT3 （默认路由是DHCP下发的，优先级
GRE Over IPSec技术
weixin_51045259的博客
03-07 5600
分部网关NGFW_A和总部网关NGFW_B已经建立了GRE隧道，现需要在GRE隧道之外再封装IPSec隧道，对总部和分部的通信进行加密保护。 GRE可以封装组播数据并在GRE隧道中传输。而IPSec目前只能对单播数据进行加密保护，因此对于诸如路由协议、语音、视频等组播数据需要在IPSec隧道中传输的情况，可以通过建立GRE隧道，并对组播数据进行GRE封装，然后对封装后的报文进行IPSec的加密处理，就实现了组播数据在IPSec隧道中的加密传输。 GRE overIPSec可以结合GRE和IPSec两种技术
华为 USG6000V虚拟综合业务网关 技术白皮书 服务器负载均衡技术.docx
11-20
本篇文档是华为USG6000V系列NFV防火墙技术白皮书中的...这篇白皮书深入解析了华为USG6000V系列产品的服务器负载均衡解决方案，为用户提供了一种灵活、高效的方式来管理多服务器集群，实现业务的高性能和高可用性。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值