IPsec over GRE over IPv6配置案例-CSDN博客

正文共：888 字 7 图，预估阅读时间：1 分钟

我们前面介绍了GRE over IPv6隧道的配置方法（配置GRE over IPv6隧道），有同学评价，这种在公网上裸奔的隧道还是不太安全。既然如此，那就搞个IPsec加密一下。

这次中间用不到那么多设备了，简化一下组网模型，如下所示：

首先参考上次的配置过程，完成GRE over IPv6隧道的配置。

VSR1

#
interface GigabitEthernet1/0
 ip address 10.1.0.1 255.255.255.0
#
interface GigabitEthernet2/0
 ipv6 address 1002::1/64
#
interface Tunnel1 mode gre ipv6
 ip address 10.13.0.1 255.255.255.0
 source 1002::1
 destination 2003::3
#
ipv6 route-static 2003:: 64 1002::2

VSR2

#
interface GigabitEthernet1/0
 ipv6 address 1002::2/64
#
interface GigabitEthernet2/0
 ipv6 address 2003::2/64

VSR3

#
interface GigabitEthernet1/0
 ip address 10.3.0.1 255.255.255.0
#
interface GigabitEthernet2/0
 ipv6 address 2003::3/64
#
interface Tunnel1 mode gre ipv6
 ip address 10.13.0.3 255.255.255.0
 source 2003::3
 destination 1002::1
#
ipv6 route-static 1002:: 64 2003::2

通过抓包我们可以看到，外层的IPv6报文头，内层的IPv4封装报文头和ICMP报文数据一览无余，确实没有什么安全性可言。

接下来，我们配置IPsec。其实也简单，跟之前的IPsec over GRE差别不大（GRE over IPsec，IPsec不服，要求IPsec over GRE）。

回顾一下，IPsec over GRE，也就是从网络层级上看，GRE在IPsec之上，即在报文封装的时候先封装IPsec，再封装GRE；如果再算上over IPv6，也就是最后封装IPv6报文头。

从配置上来看，我们要配置感兴趣流匹配数据报文的地址段为两端的私网网段，保护两端互访的数据流量；从转发上看，需要将加密流量丢进GRE隧道进行转发，所以在IPsec封装之后，再进行GRE封装，需要配置IPsec隧道的对端IP地址为GRE隧道的接口地址；最后，将IPsec策略应用到GRE隧道接口上就可以了。

知道了这些，配置就简单多了，我们直接看配置。

VSR1

#
ike keychain ipv6
 pre-shared-key address 10.13.0.3 255.255.255.0 key simple ipv6
#
ike profile ipv6
 keychain ipv6
 match remote identity address 10.13.0.3 255.255.255.255
#
acl advanced 3400
 rule 0 permit ip source 10.1.0.0 0.0.0.255 destination 10.3.0.0 0.0.0.255
#
ipsec transform-set ipv6
 esp encryption-algorithm 3des-cbc
 esp authentication-algorithm sha1
#
ipsec policy ipv6 6 isakmp
 transform-set ipv6
 security acl 3400
 remote-address 10.13.0.3
 ike-profile ipv6
#
ip route-static 10.3.0.0 24 10.13.0.3
#
interface Tunnel1 mode gre ipv6
 ipsec apply policy ipv6

VSR3

#
ike keychain ipv6
 pre-shared-key address 10.13.0.1 255.255.255.0 key simple ipv6
#
ike profile ipv6
 keychain ipv6
 match remote identity address 10.13.0.1 255.255.255.255
#
acl advanced 3400
 rule 0 permit ip source 10.3.0.0 0.0.0.255 destination 10.1.0.0 0.0.0.255
#
ipsec transform-set ipv6
 esp encryption-algorithm 3des-cbc
 esp authentication-algorithm sha1
#
ipsec policy ipv6 6 isakmp
 transform-set ipv6
 security acl 3400
 remote-address 10.13.0.1
 ike-profile ipv6
#
ip route-static 10.1.0.0 24 10.13.0.1
#
interface Tunnel1 mode gre ipv6
 ipsec apply policy ipv6

配置完成之后，在PCB上发起ping测，触发IPsec隧道协商，并验证联通性。