华三（H3C）GRE OVER IPsec实验

最新推荐文章于 2024-04-01 09:17:16 发布
最新推荐文章于 2024-04-01 09:17:16 发布
阅读量3.2k 收藏 21
点赞数 2
文章标签： 网络 java 运维
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/h320758724/article/details/130400231
版权

实验拓扑

目录

实验需求

1. 某企业北京总部、上海分支、武汉分支分别通过 R1，R3，R4 接入互联网，配置默认路由连通公网

2. 按照图示配置 IP 地址，R1，R3，R4 分别配置 Loopback0 口匹配感兴趣流，Loopback1 口模拟业务网段

3. 北京总部拥有固定公网地址，在 R2 上配置 DHCP，对 R3 和 R4 动态分配 IP 地址，IP 地址网段如图

4. 北京总部、上海分支、武汉分支配置 GRE over IPsec VPN 连通内网，要求北京总部使用模板来简化配置

5. 总部和分支之间配置 RIPv2 传递内网路由

实验解法

1.配置各设备IP地址

2.配置默认路由

3.配置DHCP

2.配置DHCP地址池

3.在R3、R4上，开启端口获取DHCP地址。

4.配置 GRE over IPsec  VPN

（2）在 R3 上配置 GRE over IPsec VPN

（3）在 R4 上配置 GRE over IPsec VPN

5. 配置 RIP

最后查询

实验需求

1. 某企业北京总部、上海分支、武汉分支分别通过 R1，R3，R4 接入互联网，配置默认路由连通公网

2. 按照图示配置 IP 地址，R1，R3，R4 分别配置 Loopback0 口匹配感兴趣流，Loopback1 口模拟业务网段

3. 北京总部拥有固定公网地址，在 R2 上配置 DHCP，对 R3 和 R4 动态分配 IP 地址，IP 地址网段如图

4. 北京总部、上海分支、武汉分支配置 GRE over IPsec VPN 连通内网，要求北京总部使用模板来简化配置

5. 总部和分支之间配置 RIPv2 传递内网路由

实验解法

1.配置各设备IP地址

R1

[H3C]sysn R1
[R1]int g0/0
[R1-GigabitEthernet0/0]ip add 100.1.1.1 24
[R1-GigabitEthernet0/0]int l0
[R1-LoopBack0]ip add 10.10.10.1 32
[R1-LoopBack0]int l1
[R1-LoopBack1]ip add 192.168.0.1 24
[R1-LoopBack1]int tunnel 0 mode gre
[R1-Tunnel0]ip add 10.1.1.1 24
[R1-Tunnel0]int tunnel 1 mode gre 
[R1-Tunnel1]ip add 10.2.2.1 24

R2

[H3C]sysn R2
[R2]int g0/0
[R2-GigabitEthernet0/0]ip add 100.1.1.2 24
[R2-GigabitEthernet0/0]int g0/1
[R2-GigabitEthernet0/1]ip add 100.2.2.2 24
[R2-GigabitEthernet0/1]int g0/2
[R2-GigabitEthernet0/2]ip add 100.3.3.2 24

R3

[H3C]sysn R3
[R3]int l0
[R3-LoopBack0]ip add 10.10.10.3 32
[R3-LoopBack0]int l1
[R3-LoopBack1]ip add 192.168.1.1 24
[R3-LoopBack1]int tunnel 0 mode gre
[R3-Tunnel0]ip add 10.1.1.3 24

R4

[H3C]sysn R4
[R4]int l0
[R4-LoopBack0]ip add 10.10.10.4 32
[R4-LoopBack0]int l1
[R4-LoopBack1]ip add 192.168.2.1 24
[R4-LoopBack1]int tunnel 1 mode gre
[R4-Tunnel1]ip add 10.2.2.4 24

2.配置默认路由

为R1配置默认路由，使全网可通

[R1]ip route-static 0.0.0.0 0 100.1.1.2

为R3配置默认路由，使全网可通

[R3]ip route-static 0.0.0.0 0 100.2.2.2

为R4配置默认路由，使全网可通

[R4]ip route-static 0.0.0.0 0 100.3.3.2

3.配置DHCP

在R2上配置DHCP，模拟运营商分配IP地址给R3、R4

1.开启DHCP服务

[R2]dhcp enable
[R2]int g0/1
[R2-GigabitEthernet0/1]dhcp select server
[R2-GigabitEthernet0/1]int g0/2
[R2-GigabitEthernet0/2]dhcp select server

2.配置DHCP地址池

[R2]dhcp server ip-pool 1
[R2-dhcp-pool-1]network 100.2.2.0 mask 255.255.255.0
[R2-dhcp-pool-1]gateway-list 100.2.2.2
[R2-dhcp-pool-1]dhcp server ip-pool 2
[R2-dhcp-pool-2]network 100.3.3.0 mask 255.255.255.0
[R2-dhcp-pool-2]gateway-list 100.3.3.2

3.在R3、R4上，开启端口获取DHCP地址。

R3

[R3]int g0/0
[R3-GigabitEthernet0/0]ip add dhcp-alloc

R4

[R4]int g0/0
[R4-GigabitEthernet0/0]ip address dhcp-alloc

检查在R2上是否能查看到已分配IP地址。

4.配置 GRE over IPsec  VPN

步骤1：在 R1 上配置 GRE over IPsec VPN 

在 R1 上配置GRE tunnel 口，指定源目IP为双方 LoopBack 口

[R1]interface tunnel0
[R1-Tunnel0]source LoopBack 0
[R1-Tunnel0]destination 10.10.10.3
[R1-Tunnel0]int tunnel1
[R1-Tunnel1]source l
[R1-Tunnel1]source LoopBack 0
[R1-Tunnel1]destination 10.10.10.4

步骤2：在 R1 上配置 FQDN 名为 zb

[R1]ike identity fqdn zb

步骤3：在 R1 上创建 IKE 提议，使用默认配置即可

[R1-ike-profile-1]ike proposal 1

步骤4：在R1上创建IKE预共享密钥

[R1]ike keychain fz
[R1-ike-keychain-sh]pre-shared-key hostname fz1 key simple 123
[R1-ike-keychain-sh]pre-shared-key hostname fz2 key simple 123

步骤5：在R1上创建IKE Profile

[R1-ike-keychain-fz]ike profile fz1
[R1-ike-profile-fz1]exchange-mode aggressive 
[R1-ike-profile-fz1]match remote identity fqdn fz1
[R1-ike-profile-fz1]priority 1
[R1-ike-profile-fz1]keychain fz

[R1]ike profile fz2
[R1-ike-profile-fz2]exchange-mode aggressive 
[R1-ike-profile-fz2]match remote identity fqdn fz2
[R1-ike-profile-fz2]proposal 1
[R1-ike-profile-fz2]keychain fz

步骤6：在 R1 上创建 IPsec 转换集，对两个分支可以使用同一个转换集

[R1]ipsec transform-set fz
[R1-ipsec-transform-set-sh]esp authentication-algorithm sha1
[R1-ipsec-transform-set-sh]esp encryption-algorithm aes-cbc-128
[R1-ipsec-transform-set-sh]quit

步骤7：在 R1 上分别创建对上海和武汉分支的 IPsec 策略模板

[R1]ipsec policy-template fz1 1
[R1-ipsec-policy-template-fz1-1]transform-set fz
[R1-ipsec-policy-template-fz1-1]ike-profile fz1
[R1-ipsec-policy-template-fz1-1]quit

[R1]ipsec policy-template fz2 1
[R1-ipsec-policy-template-fz2-1]transform-set fz
[R1-ipsec-policy-template-fz2-1]ike-profile fz2

步骤8：在R1上创建IPsec策略，绑定两个模板

[R1]ipsec policy fz1 isakmp template fz1
[R1]ipsec policy fz2 isakmp template fz2

步骤9：在 R1 的公网接口上下发 IPsec 策略

[R1]interface g0/0
[R1-GigabitEthernet0/0]ipsec apply policy fz

（2）在 R3 上配置 GRE over IPsec VPN

1.在 R3 上配置 GRE Tunnel 口

[R3]int Tunnel0
[R3-Tunnel0]source LoopBack 0
[R3-Tunnel0]destination 10.10.10.1

2. 配置ACL

[R3]acl advanced 3000
[R3-acl-ipv4-adv-3000]rule permit ip source 10.10.10.3 0 destination 10.10.10.1 0

3. 在R3上配置FQDN名为fz1

[R3]ike identity fqdn fz1

4. 在R3上创建IKE提议

[R3]ike proposal 1

5. 在 R3 上创建 IKE 预共享密钥，匹配对端公网地址

[R3]ike keychain zb
[R3-ike-keychain-zb]pre-shared-key address 100.1.1.1 key simple 123

6.在 R3 上创建 IKE Profile

[R3]ike profile zb
[R3-ike-profile-zb]exchange-mode agg
[R3-ike-profile-zb]match remote identity fqdn zb
[R3-ike-profile-zb]proposal 1
[R3-ike-profile-zb]keychain zb

7. R3 上创建 IPsec 转换集

[R3]ipsec transform-set zb
[R3-ipsec-transform-set-zb]esp authentication-algorithm sha1
[R3-ipsec-transform-set-zb]esp encryption-algorithm aes-cbc-128

8. 在 R3 上创建 IPsec 策略

[R3]ipsec policy zb 1 isakmp 
[R3-ipsec-policy-isakmp-zb-1]security acl 3000
[R3-ipsec-policy-isakmp-zb-1]remote-address 100.1.1.1
[R3-ipsec-policy-isakmp-zb-1]ike-profile zb
[R3-ipsec-policy-isakmp-zb-1]transform-set zb

9. 在 R3 的公网接口上下发 IPsec 策略

[R3]int g0/0
[R3-GigabitEthernet0/0]ipsec apply policy zb

（3）在 R4 上配置 GRE over IPsec VPN

1.在 R4 上配置 GRE Tunnel 口

[R4]in tunnel0
[R4-Tunnel0]source l0
[R4-Tunnel0]destination 10.10.10.1

2. 配置ACL

[R4]acl advanced 3000
[R4-acl-ipv4-adv-3000]rule permit ip source 10.10.10.4 0 destination 10.10.10.1 0

3. 在 R4 上配置 FQDN 名为 fz2

[R4]ike identity fqdn fz2

4. 在 R4 上创建 IKE 提议

[R4]ike proposal 1

5. 在 R4 上创建 IKE 预共享密钥，匹配对端公网地址

[R4]ike keychain zb
[R4-ike-keychain-zb]pre-shared-key address 100.1.1.1 key simple 123

6.在 R4 上创建 IKE Profile

[R4]ike profile zb
[R4-ike-profile-zb]exchange-mode aggressive 
[R4-ike-profile-zb]match remote identity fqdn zb
[R4-ike-profile-zb]proposal 1
[R4-ike-profile-zb]keychain zb

7.在 R4 上创建 IPsec 转换集

[R4]ipsec transform-set zb
[R4-ipsec-transform-set-zb]esp authentication-algorithm sha1
[R4-ipsec-transform-set-zb]esp encryption-algorithm aes-cbc-128

8.在 R4 上创建 IPsec 策略

[R4]ipsec policy zb 1 isakmp
[R4-ipsec-policy-isakmp-zb-1]sec
[R4-ipsec-policy-isakmp-zb-1]security acl 3000
[R4-ipsec-policy-isakmp-zb-1]remote-add
[R4-ipsec-policy-isakmp-zb-1]remote-address 100.1.1.1
[R4-ipsec-policy-isakmp-zb-1]ike-
[R4-ipsec-policy-isakmp-zb-1]ike-profile zb
[R4-ipsec-policy-isakmp-zb-1]trans
[R4-ipsec-policy-isakmp-zb-1]transform-set zb

9.在 R4 的公网接口上下发 IPsec 策略

[R4]int g0/0
[R4-GigabitEthernet0/0]ipsec app
[R4-GigabitEthernet0/0]ipsec apply poli
[R4-GigabitEthernet0/0]ipsec apply policy zb

5. 配置 RIP

1.在 R1，R3，R4 上分别配置 RIPv2，宣告 Tunnel 口网段和各自业务网段

R1

[R1]rip 
[R1-rip-1]v 2
[R1-rip-1]undo sum
[R1-rip-1]net 192.168.0.1 0.0.0.255
[R1-rip-1]net 10.1.1.0 0.0.0.255
[R1-rip-1]net 10.2.2.0 0.0.0.255

R2

[R3]rip 
[R3-rip-1]v 2
[R3-rip-1]undo sum
[R3-rip-1]net 192.168.1.0 0.0.0.255
[R3-rip-1]net 10.1.1.0 0.0.0.255

R3

[R4]rip
[R4-rip-1]v 2
[R4-rip-1]undo sum
[R4-rip-1]net 192.168.2.0 0.0.0.255
[R4-rip-1]net 10.2.2.0 0.0.0.255

2. 在 R1，R3，R4 上分别配置到达其他两个站点环回口的静态路由，下一跳指向公网

R1

[R1]ip route-static 10.10.10.3 32 100.1.1.2
[R1]ip route-static 10.10.10.4 32 100.1.1.2

R3

[R3]ip route-static 10.10.10.1 32 100.2.2.2

R4

[R4]ip route-static 10.10.10.1 32 100.3.3.2

最后查询

R3

R4

最后ping一下

月夜行舟
关注
  • 2
    点赞
  • 踩
  • 21
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 1
    评论
华三H3C交换机V5V7配置集
09-04
华三H3C交换机V5V7配置集合，入门材料。很有用
为什么 GRE over IPsec 常用，IPsec over GRE不常用？
qq_34408400的博客
05-25 857
一、协议的封装顺序 》要了解GRE over IPsec 与IPsec over GRE的不同首先要从over说起，这关系到协议的封装顺序。 》A over B 的形式在网络协议表示中很常见 ，over代表“在什么之上”， GRE over IPsec 代表GRE在IPsec之上，报文通常是由上至下进行协议封装，也就是说GRE over IPsec是先封装GRE在进行IPsec格式的封装，而IPsec over GRE是先封装IPsec再进行GRE格式封装。 A over B 代表先封装A协议再在外
GRE over IPSec和IPSec over GRE的区别
最新发布
Lin_Jumping的博客
04-01 927
通俗来说，GRE over IPSec是将GRE流量作为私网流量进行加密，GRE隧道的建立以及隧道中传输的流量都会被加密；2、对于IPSecVPN，若一端公网地址固定，一端公网地址不固定（如通过PPPoE拨号方式，或DHCP分配等），则需要采用野蛮模式，且公网地址不固定端需使用id-type name (默认是id-type ip)、remote name(ike local name默认是网关设备名称)和remote addess方式，IPSec流量触发为公网地址不固定一端主动触发。
【华三】GRE Over IPsec 实验配置
2301_77161465的博客
02-05 1297
GRE over IPSec可利用GRE和IPSec的优势，通过GRE将组播、广播和非IP报文封装成普通的IP报文通过IPSec为封装后的IP报文提供安全地通信，进而可以提供在总部和分支之间安全地传送广播、组播的业务，例如动态路由协议消息等。就是将GRE的优点和IPsec的优点相结合因为GRE能够传输组播、广播等数据，但对数据的传输是不进行加密的，在不安全的公网上面相当于裸奔啦。而咱们的IPsec 是可以对数据进行加密和认证的，但是不支持传输组播、广播等数据，就是会有一些弊端。
IPSEC Over GRE与GRE Over IPSEC的区别和好处
weixin_33859504的博客
07-22 1751
到底是IPSEC Over GRE好呢，还是GRE Over IPSEC好？以前一直是出于一个模糊的状态，能通就行了么。今天再次作了一下研究比较，得出的结论是，当然是GRE Over IPSEC好！（怪不得CCNP的教材上只提了GRE Over IPSEC） 在此，先把这两个概念理一下。IPSEC Over GRE即IPSEC在里，GRE在外。先把需要加密...
H3C IPSec IKE野蛮模式
无心
05-27 2011
这里使用H3C模拟器。H3C IPSec IKE野蛮模式，又称为IKE Main Mode，主要是在第一阶段（Phase 1）的过程中提供身份保护。它主要用于VPN隧道建立过程中的密钥交换。这里创建一个IKE提案描述了阶段1的加密、哈希算法等。分别可以定义远程和本地的IKE提案。这里创建一个IKE对等体，并配置了预共享密钥与对端的远程地址。这里创建了一个IPSec策略模板，引用了IPSec提案和IKE对等体，同时指定一个访问控制列表ACL。在隧道接口上应用IPSec策略。
H3C GRE over ipsec配置
qq_23930765的博客
11-13 2563
多分支接入的情况下，如果设备支持点到多点GRE隧道，则总部只需要配置一个GRE Tunnle，但是设备不支持此特性的话，只能在总部为每个分支建立一个GRE Tunnle。三：这种方式下的IPSEC，后续网段变动时，只需要配置不同的静态路由指向GRE Tunnle口，IPsec的配置无需改变，适合私网地址较大的拓扑。一：注意loopback口的建立，和GRE封装时的源目地址保持一致，而不是GRE Tunnle的ip地址。以及IPsec的安全ACL匹配的是GRE封装之后的源目地址。
GRE OVER IPSEC（野蛮模式）
weixin_46639226的博客
11-06 3461
## 野蛮模式适用于两端其中有一端地址不固定的情况 实验拓扑 实验思路 1.配置全网地址（这里的地址已经在图上规划，不在赘述） 2.配置ike 3.配置ipsec 4.配置GRE 地址配置完成之后，首先要保证公网可达，因为RT3和RT4是DHCP获取的地址，所以他们上面会有两条默认路由，下一跳是SW5，但是RT1上面没有往公网去的路由，所以要在RT1上配置一条默认路由 RT1 [H3C]ip route-static 0.0.0.0 0 100.1.1.254 RT3 （默认路由是DHCP下发的，优先级
GRE over IPSec讲解与实验
m0_49864110的博客
05-25 554
目录 GRE over IPSec讲解 IPSec over GRE讲解（一般不用） GRE over IPSec实验配置 基础配置（以FW1为例子，FW2和FW1类似） 配置GRE 配置IPSec 配置安全策略 GRE over IPSec讲解 可以弥补GRE隧道无法加密的缺点，并且可以借助GRE传播组播流量等 防火墙——图解隧道技术数据报文传输解封装过程_多谢思考的博客-CSDN博客https://blog.csdn.net/m0_49864110/article/details
H3C GRE over IPsec实验
呦菜呦爱玩的博客
07-25 3180
组网需求 1. 某企业总部、分支1、分支2分别通过 R1，R3，R4 接入互联网，配置默认路由连通公网 2. 按照图示配置 IP 地址，R1，R3，R4 分别配置 Loopback0 口匹配感兴趣流，Loopback1 口模拟业务网段 3. 总部拥有固定公网地址，在 R2 上配置 DHCP，对 R3 和 R4 动态分配 IP 地址，IP 地址网段如图 4. 总部、分支1、分支2配置 GRE over IPsec VPN 连通内网，要求总部使用模板来简化配置 5. 总部和分支之间配置 RIPv2 传递内网路由
HCL GRE、IPSEC——VPN 配置
qq_57007794的博客
05-28 1231
R1 与 R3 之间配置 GRE VPN，使两端私网能够互相访问。R1 和 R3 上配置 RIPv2 来传递两端私网路由。
华三H3C Cloud Lab云实验室用户手册.zip
08-28
华三云实验室（H3C Cloud Lab，简称HCL）是一款界面图形化的全真网络模拟软件，用户可以通过该软件实现H3C公司多个型号的虚拟设备的组网，是用户学习、测试基于H3C公司Comware V7平台的网络设备的必备工具。
H3C V7 ipsec主:野蛮模式配置脚本.pdf
08-30
H3C V7 ipsec主:野蛮模式配置脚本.pdf
h3c 华三路由器 RC3000 编程器备份固件
10-07
h3c 华三路由器 RC3000 编程器备份固件 使用编程器备份出来的固件。直接写入就用使用。 W25N01GW
华三H3C防火墙配置手册
10-20
华三H3C防火墙配置手册
华为防火墙 IPSec over GRE 配置
白话聊网络的博客
03-19 1657
GRE OVER IPSEC 是 gre 做内层封装， ipsec 做外层封装，ipsec 感兴趣数据流为 gre源目地址，适用于两点都是固定 ip 或者一方是动态 IP 或内网环境，由于 ipsec 不能传广播和组播，gre 可以，这种环境还可以运行一些适用组播和广播的协议。GRE是一种三层VPN封装技术。IPSEC OVER GRE 是 IPSEC 做内层封装，GRE 做外层封装，适用于两端路由器都是固定IP，ipsec 策略应用在物理口，ipsec 感兴趣数据流为业务网段，只对业务数据进行加密。
ipsec over gre与gre over ipsec
weixin_33843409的博客
10-31 185
需求分析: 由于IPSec不支持对多播和广播数据包的加密，这样的话，使用IPSec的隧道中，动态路由协议等依靠多播和广播的协议就不能进行正常通告，所以，这时候要配合GRE隧道，GRE隧道会将多播和广播数据包封装到单播包中，再经过IPSec加密。 此外由于GRE建立的是简单的，不进行加密的×××隧道，他通过在物理链路中使用ip地址和路由穿越普通网络。所以很常见的方法就是使...
华三H3C-GRE隧道
bfq05234214的博客
10-18 732
H3C-GRE隧道
H3C GRE实验
h320758724的博客
05-17 2572
实验拓扑 H3C GRE实验 图 1-1 注：如无特别说明，描述中的 R1 或 SW1 对应拓扑中设备名称末尾数字为 1 的设备，R2 或 SW2 对应拓扑中设备名称末尾数字为 2 的设备，以此类推；另外，同一网段中，IP 地址的主机位为其设备编号，如 R3 的 g0/0 接口若在192.168.1.0/24网段，则其 IP 地址为192.168.1.3/24，以此类推 实验需求 按照图示配置 IP 地址 在 R1 和 R3 上配置默认路由使公网区域互通 在 R
华三IPsec over GRE VPN 实验
04-29
华三IPsec over GRE VPN 实验可以分为以下几个步骤： 1. 配置GRE隧道：在两个VPN网关设备上分别配置GRE隧道，并配置隧道IP地址和隧道端点地址。 2. 配置IPSec加密：在两个VPN网关设备上分别配置IPSec加密，包括设置加密协议、加密算法、预共享密钥等参数。 3. 配置路由：在两个VPN网关设备上配置路由，将隧道IP地址和隧道端点地址加入路由表。 4. 测试连接：通过ping命令或其他网络工具测试IPSec over GRE VPN连接是否可用。 下面是一个具体的实验步骤： 1. 在两个华三VPN网关设备上分别配置隧道IP地址和隧道端点地址，比如设备A上配置隧道IP地址为10.1.1.1，隧道端点地址为192.168.1.1；设备B上配置隧道IP地址为10.1.1.2，隧道端点地址为192.168.1.2。 2. 在两个华三VPN网关设备上配置IPSec加密，比如设置加密协议为ESP，加密算法为AES，预共享密钥为123456。 3. 在设备A上配置路由，将隧道IP地址和隧道端点地址加入路由表： ``` ip route 192.168.1.0/24 10.1.1.2 ip route 10.1.1.2/32 10.1.1.1 ``` 在设备B上也配置类似的路由。 4. 测试连接，可以在设备A上ping设备B的隧道端点地址192.168.1.2，也可以在设备B上ping设备A的隧道端点地址192.168.1.1。 如果连接正常，就可以进行数据传输了。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

月夜行舟

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值