H3C GRE over ipsec配置

最新推荐文章于 2024-05-14 09:27:14 发布
最新推荐文章于 2024-05-14 09:27:14 发布
阅读量2.6k 收藏 11
点赞数
分类专栏： 网络 文章标签： 网络
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_23930765/article/details/127724952
版权

多分支接入的情况下，如果设备支持点到多点GRE隧道，则总部只需要配置一个GRE Tunnle，但是设备不支持此特性的话，只能在总部为每个分支建立一个GRE Tunnle。
在这里插入图片描述

总部:

公网地址：100.0.0.1

私网地址:192.168.0.0/24

GRE tunnel 0:去往分支1

地址：21.0.0.1

封装源地址:20.0.0.1 目的地址:20.0.0.2

GRE tunnel 1:去往分支2

地址：11.0.0.1

封装源地址:10.0.0.1 目的地址:10.0.0.2

分支一：

公网地址：100.0.0.2

私网地址:192.168.1.0/24

GRE tunnel 0:去往总部

地址：21.0.0.2

封装源地址:20.0.0.2 目的地址:20.0.0.1

分支二：

公网地址：100.0.0.2

私网地址:192.168.1.0/24

GRE tunnel 0:去往总部

地址：11.0.0.2

封装源地址:10.0.0.2 目的地址:10.0.0.1

配置步骤
配置基本的IP地址以及域间策略
总部：
interface GigabitEthernet1/0/1

ip address 192.168.0.1 255.255.255.0

interface GigabitEthernet1/0/2 #公网口

ip address 100.0.0.1 255.255.255.0

interface LoopBack0 #GRE封装时的源地址

description GRE

ip address 20.0.0.1 255.255.255.255

interface LoopBack1 # #GRE封装时的源地址

description GRE

ip address 10.0.0.1 255.255.255.255

interface Tunnel0 mode gre

description ToFenZhi_1

ip address 21.0.0.1 255.255.255.0

source 20.0.0.1

destination 20.0.0.2

interface Tunnel1 mode gre

description ToFenZhi_2

ip address 11.0.0.1 255.255.255.0

source 10.0.0.1

  destination 10.0.0.2

#域间策略

security-zone name Trust

import interface GigabitEthernet1/0/1

security-zone name Untrust

import interface GigabitEthernet1/0/2

import interface Tunnel0

import interface Tunnel1

zone-pair security source Any destination Any

packet-filter 3010

acl advanced 3010

description yujiancelue

rule 0 permit ip

分支一：

interface GigabitEthernet1/0/1

ip address 192.168.1.1 255.255.255.0

interface GigabitEthernet1/0/2

ip address 100.0.0.2 255.255.255.0

interface LoopBack0

description GRE

ip address 20.0.0.2 255.255.255.255

interface Tunnel0 mode gre #这里封装的地址源目和总部反过来

ip address 21.0.0.2 255.255.254.0

source 20.0.0.2

destination 20.0.0.1

security-zone name Trust

import interface GigabitEthernet1/0/1

security-zone name Untrust

import interface GigabitEthernet1/0/2

import interface Tunnel0

acl advanced 3010

description yujiancelue

rule 0 permit ip

zone-pair security source Local destination Any

packet-filter 3010

分支二：

interface GigabitEthernet1/0/1

ip address 192.168.2.1 255.255.255.0

interface GigabitEthernet1/0/2

ip address 100.0.0.3 255.255.255.0

interface LoopBack0

description GRE

ip address 10.0.0.2 255.255.255.255

interface Tunnel0 mode gre

ip address 11.0.0.2 255.255.255.0

source 10.0.0.2

destination 10.0.0.1

security-zone name Trust

import interface GigabitEthernet1/0/1#

security-zone name Untrust

import interface GigabitEthernet1/0/2

import interface Tunnel0

acl advanced 3010

description yujiancelue

rule 0 permit ip

zone-pair security source Any destination Any

packet-filter 3010

IPsec的配置
总部
#总部使用模板方式建立ipsec，只需要写一个策略，不需要安全acl。

ike keychain 1

pre-shared-key address 0.0.0.0 0.0.0.0 key simple 123 #0.0.0.0代表接受任何地址建立ipsec

ike profile 1

keychain 1

local-identity address 100.0.0.1

match remote identity address 0.0.0.0 0.0.0.0

ipsec transform-set 1

esp encryption-algorithm 3des-cbc

esp authentication-algorithm md5

ipsec policy-template 1 1

transform-set 1

local-address 100.0.0.1

ike-profile 1

ipsec policy 1 1 isakmp template 1

#接口下调用ipsec

interface GigabitEthernet1/0/2

ip address 100.0.0.1 255.255.255.0

ipsec apply policy 1

最重要的一步：

ip route-static 192.168.1.0 24 Tunnel0 #192.168.1.0是分支一的私网地址，将其下一跳指向Tunnle 0，即去往分支一的GRE隧道。

ip route-static 192.168.2.0 24 Tunnel1 #192.168.1.0是分支二的私网地址，将其下一跳指向Tunnle 0，即去往分支一的GRE隧道。

分支一：
ike profile 1

keychain 1

match remote identity address 100.0.0.1 255.255.255.255

ike keychain 1

pre-shared-key address 100.0.0.1 255.255.255.255 key simple 123

ipsec transform-set 1

esp encryption-algorithm 3des-cbc

esp authentication-algorithm md5

ipsec policy 1 1 isakmp

transform-set 1

security acl 3020

remote-address 100.0.0.1

ike-profile 1

acl advanced 3020

description IPsec

rule 0 permit ip source 20.0.0.2 0 destination 20.0.0.1 0 #这里安全ACl匹配的流和GRE的源目地址一致，即由GRE封装之后的报文。

最重要的一步：

ip route-static 192.168.0.0 24 Tunnel0 #不管是去往总部192.168.0.0还是去往其他分支192.168.2.0，下一跳全部指向Tunnle 0，全部指向总部，再由总部转发。

ip route-static 192.168.2.0 24 Tunnel0

分支二：
类似分支一

ipsec transform-set 1

esp encryption-algorithm 3des-cbc

esp authentication-algorithm md5

ipsec policy 1 1 isakmp

transform-set 1

security acl 3020

remote-address 100.0.0.1

ike-profile 1

ike profile 1

keychain 1

match remote identity address 100.0.0.1 255.255.255.255

ike keychain 1

pre-shared-key address 100.0.0.1 255.255.255.255 key simple 123

acl advanced 3020

description IPsec

rule 0 permit ip source 20.0.0.2 0 destination 20.0.0.1 0

ip route-static 192.168.0.0 24 Tunnel0

ip route-static 192.168.2.0 24 Tunnel0

验证效果：
#总部使用模板方式时，只能被动建立IPSEC隧道，不能主动呼叫。

分支一：

[H3C]ping -a 192.168.1.1 192.168.0.1

Ping 192.168.0.1 (192.168.0.1) from 192.168.1.1: 56 data bytes, press CTRL_C to break

56 bytes from 192.168.0.1: icmp_seq=0 ttl=255 time=2.000 ms

56 bytes from 192.168.0.1: icmp_seq=1 ttl=255 time=8.000 ms

56 bytes from 192.168.0.1: icmp_seq=2 ttl=255 time=2.000 ms

56 bytes from 192.168.0.1: icmp_seq=3 ttl=255 time=1.000 ms

56 bytes from 192.168.0.1: icmp_seq=4 ttl=255 time=1.000 ms

— Ping statistics for 192.168.0.1 —

5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss

round-trip min/avg/max/std-dev = 1.000/2.800/8.000/2.638 ms

[H3C]%May 9 18:41:03:921 2018 H3C PING/6/PING_STATISTICS: -COntext=1; Ping statistics for 192.168.0.1: 5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss, round-trip min/avg/max/std-dev = 1.000/2.800/8.000/2.638 ms.

[H3C]ping -a 192.168.1.1 192.168.2.1

Ping 192.168.2.1 (192.168.2.1) from 192.168.1.1: 56 data bytes, press CTRL_C to break

56 bytes from 192.168.2.1: icmp_seq=0 ttl=254 time=5.000 ms

56 bytes from 192.168.2.1: icmp_seq=1 ttl=254 time=2.000 ms

56 bytes from 192.168.2.1: icmp_seq=2 ttl=254 time=4.000 ms

56 bytes from 192.168.2.1: icmp_seq=3 ttl=254 time=2.000 ms

56 bytes from 192.168.2.1: icmp_seq=4 ttl=254 time=3.000 ms

— Ping statistics for 192.168.2.1 —

5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss

round-trip min/avg/max/std-dev = 2.000/3.200/5.000/1.166 ms

[H3C]%May 9 18:41:07:906 2018 H3C PING/6/PING_STATISTICS: -COntext=1; Ping statistics for 192.168.2.1: 5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss, round-trip min/avg/max/std-dev = 2.000/3.200/5.000/1.166 ms.

分支二：

[H3C]ping -a 192.168.2.1 192.168.0.1

Ping 192.168.0.1 (192.168.0.1) from 192.168.2.1: 56 data bytes, press CTRL_C to break

56 bytes from 192.168.0.1: icmp_seq=0 ttl=255 time=1.000 ms

56 bytes from 192.168.0.1: icmp_seq=1 ttl=255 time=1.000 ms

56 bytes from 192.168.0.1: icmp_seq=2 ttl=255 time=1.000 ms

56 bytes from 192.168.0.1: icmp_seq=3 ttl=255 time=2.000 ms

56 bytes from 192.168.0.1: icmp_seq=4 ttl=255 time=1.000 ms

— Ping statistics for 192.168.0.1 —

5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss

round-trip min/avg/max/std-dev = 1.000/1.200/2.000/0.400 ms

[H3C]%May 9 18:42:47:047 2018 H3C PING/6/PING_STATISTICS: -COntext=1; Ping statistics for 192.168.0.1: 5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss, round-trip min/avg/max/std-dev = 1.000/1.200/2.000/0.400 ms.

[H3C]ping -a 192.168.2.1 192.168.1.1

Ping 192.168.1.1 (192.168.1.1) from 192.168.2.1: 56 data bytes, press CTRL_C to break

56 bytes from 192.168.1.1: icmp_seq=0 ttl=254 time=11.000 ms

56 bytes from 192.168.1.1: icmp_seq=1 ttl=254 time=2.000 ms

56 bytes from 192.168.1.1: icmp_seq=2 ttl=254 time=2.000 ms

56 bytes from 192.168.1.1: icmp_seq=3 ttl=254 time=5.000 ms

56 bytes from 192.168.1.1: icmp_seq=4 ttl=254 time=4.000 ms

— Ping statistics for 192.168.1.1 —

5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss

round-trip min/avg/max/std-dev = 2.000/4.800/11.000/3.311 ms

[H3C]%May 9 18:42:50:726 2018 H3C PING/6/PING_STATISTICS: -COntext=1; Ping statistics for 192.168.1.1: 5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss, round-trip min/avg/max/std-dev = 2.000/4.800/11.000/3.311 ms.

配置关键点
总结与建议：
一：注意loopback口的建立，和GRE封装时的源目地址保持一致，而不是GRE Tunnle的ip地址。

二：安全策略，Tunnle口需要加入安全域并且放通策略

三：这种方式下的IPSEC，后续网段变动时，只需要配置不同的静态路由指向GRE Tunnle口，IPsec的配置无需改变，适合私网地址较大的拓扑。

四：IPsec的各种加密参数注意保持一致。以及IPsec的安全ACL匹配的是GRE封装之后的源目地址。

五：对于各种访问控制，建议IPsec这块不用动，等IPsec成功后，在防火墙的域间策略上统一控制。

优质网络系统领域创作者
关注
  • 0
    点赞
  • 踩
  • 11
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 1
    评论
专栏目录
GRE over ipsec cisco H3C
04-27
H3C cisco ipsec gre。不同设备GRE over ipsec。不同设备上。
GRE over IPSec环回口.pdf
08-26
GRE over ipsec 野蛮模式：H3C原TE考试内容，一端非固定IP地址导致GRE无法完成目的IP定义的问题
H3C 分支动态IP 总部静态IP GRE OVER IPSEC配置
normanhere的博客
05-08 659
到这里IKE SA IPSEC SA都已经 起来了，这个时候由于创建了一个接口，interface Tunnel13 mode gre ip address 10.255.13.2 255.255.255.252，可以在这个接口上运行动态路由协议，或者静态路由，或者QOS ，镜像，安全列表等等操作，来达到对IPSEC流量的一个控制。#创建IPSEC 策略，调用之前创建的IPSEC 策略，感兴趣流，远端标识，ike提议。#创建IKE 提议 名字 3，算法使用默认算法。
GRE over IPsec VPN实验
最新发布
更多内容查看博客描述。
05-14 1038
注意：ipsec配置完成后，需通过ping触发sa。野蛮模式须用被动端ping主动端。查看ike/ipse命令：display ike sa / display ipsec sa版权声明：本文为下一朵云发布文章，转载请附上原文出处链接和本声明。本文链接：GRE over IPsec VPN实验。
华三（H3C）GRE OVER IPsec实验
h320758724的博客
04-27 3552
实验需求 1. 某企业北京总部、上海分支、武汉分支分别通过 R1，R3，R4 接入互联网，配置默认路由连通公网 2. 按照图示配置 IP 地址，R1，R3，R4 分别配置 Loopback0 口匹配感兴趣流，Loopback1 口模拟业务网段 3. 北京总部拥有固定公网地址，在 R2 上配置 DHCP，对 R3 和 R4 动态分配 IP 地址，IP 地址网段如图 4. 北京总部、上海分支、武汉分支配置 GRE over IPsec VPN 连通内网，要求北京总部使用模板来简化配置 5. 总部和分支
【华三】GRE Over IPsec 实验配置
2301_77161465的博客
02-05 1624
GRE over IPSec可利用GRE和IPSec的优势，通过GRE将组播、广播和非IP报文封装成普通的IP报文通过IPSec为封装后的IP报文提供安全地通信，进而可以提供在总部和分支之间安全地传送广播、组播的业务，例如动态路由协议消息等。就是将GRE的优点和IPsec的优点相结合因为GRE能够传输组播、广播等数据，但对数据的传输是不进行加密的，在不安全的公网上面相当于裸奔啦。而咱们的IPsec 是可以对数据进行加密和认证的，但是不支持传输组播、广播等数据，就是会有一些弊端。
GRE OVER IPSEC（野蛮模式）
weixin_46639226的博客
11-06 3591
## 野蛮模式适用于两端其中有一端地址不固定的情况 实验拓扑 实验思路 1.配置全网地址（这里的地址已经在图上规划，不在赘述） 2.配置ike 3.配置ipsec 4.配置GRE 地址配置完成之后，首先要保证公网可达，因为RT3和RT4是DHCP获取的地址，所以他们上面会有两条默认路由，下一跳是SW5，但是RT1上面没有往公网去的路由，所以要在RT1上配置一条默认路由 RT1 [H3C]ip route-static 0.0.0.0 0 100.1.1.254 RT3 （默认路由是DHCP下发的，优先级
H3C GRE over IPsec实验
呦菜呦爱玩的博客
07-25 3269
组网需求 1. 某企业总部、分支1、分支2分别通过 R1，R3，R4 接入互联网，配置默认路由连通公网 2. 按照图示配置 IP 地址，R1，R3，R4 分别配置 Loopback0 口匹配感兴趣流，Loopback1 口模拟业务网段 3. 总部拥有固定公网地址，在 R2 上配置 DHCP，对 R3 和 R4 动态分配 IP 地址，IP 地址网段如图 4. 总部、分支1、分支2配置 GRE over IPsec VPN 连通内网，要求总部使用模板来简化配置 5. 总部和分支之间配置 RIPv2 传递内网路由
华三防火墙配置IPSec隧道
a2317077531的博客
06-30 9297
1.网络拓扑 2.配置思路 1.配置各接口IP地址，将接口加入对应区域 2.ISP运行ospf，引入直连路由 3.配置防火墙策略，及路由 4.配置IPSec VPN 5.验证VPN互通 1.FW1配置接口IP及加入到相关区域 interface GigabitEthernet1/0/20（wan-ip） ip address 192.168.13.1 255.255.255.0 interface LoopBack 0（测试内网IP） ip address 192.168.11.1 255.255.25
GRE隧道也能实现两端配置相同子网了，快来看看！
衡水铁头哥的博客
07-19 1661
前面用两篇文章介绍了GRE（Generic Routing Encapsulation，通用路由封装）协议，分别是（）和（）。首先回顾一下： GRE协议用来对某种协议（如IP、MPLS、以太网）的数据报文进行封装，使这些被封装的数据报文能够在另一个网络（如IP）中传输。封装前后数据报文的网络层协议可以相同，也可以不同。封装后的数据报文在网络中传输的路径，称为GRE隧道。GRE隧道是一个虚拟的点到点的连接，其两端的设备分别对数据报文进行封装及解封装。 先配置一个简单的“GRE over IPv4隧道”实验
华三“GRE over IPsec”命令配置模板
qq_42723546的博客
07-18 3643
GRE在里，IPsec在外。IPsec不支持组播，GRE支持。所以用GRE去封装路由协议。 总部：（多个分部时，使用模板） ike local-name zongbu ike peer fenbu  exchange-mode aggressive                            //野蛮模式  pre-shared-key simple h3c  id-type name...
H3C路由器两种ipsec-gre配置总结.pdf
10-30
H3C路由器两种ipsec-gre配置总结.pdf
H3C路由器技术专题之IPsec篇.chm
02-27
目录： 1.基础知识篇 ...2.3 GRE over ipsec 2.4 IPSEC主备隧道场景 2.6 V5_V7常见对接常规场景 2.7 V5常规案例 2.8 V7常规案例 2.9 一总多分支IPSEC场景 2.10 两端设备均在私网建立IPSEC场景 .......
H3C网络安全 案例手册 （66个案例）.rar
08-23
SecPath180o防火墙L2 TP OVER IPSEC的典型配置,pdf SecPath1800F防火墙L2TP多验证方式的典型配置pdf SecPath1800F防火墙 NAT Server-对多地址映射的典型配置pdf SecPath1800F防火墙NAT功能的典型配置,pdf SecPath...
IPsec典型配置举例 -采用IKE方式建立保护IPv4 报文的IPsec隧道
解不开的未知数
07-13 3937
1-28 采用IKE方式建立保护IPv4 报文的IPsec隧道 1. 组网需求 在 Router A 和 Router B 之间建立一条 IPsec 隧道，对 Host A 所在的子网（10.1.1.0/24）与 Host B所在的子网（10.1.2.0/24）之间的数据流进行安全保护。具体要求如下： • • 封装形式为隧道模式。 • • 安全协议采用 ESP 协议。 • • 加密算法采用 1...
H3C V7 系列设备IPsec *** 配置
weixin_46503909的博客
09-22 2964
1.R1设备配置 设置MSR r1路由器IPSEC VPN # 第一步配置必要的路由 ip route-static 2.2.2.0 24 1.1.1.2 ip route-static 10.0.2.0 24 1.1.1.2 # # 配置一个访问控制列表，定义由子网10.0.1.0/24去子网10.0.2.0/24的数据流。 <R1>system-view [R1]acl advanced 3000 [R1-acl-ipv4-adv-3000]rule 0 pe...
H3C GRE over IPSec
weixin_34190136的博客
05-25 241
实验TOP： RTA的配置： RTB的配置： 可见其配置与单独的GRE隧道或单独的IPSec隧道相比并无特殊之处，只要在配置安全ACL时匹配隧道所使用的物理接口的公网地址192.13.2.1与132.108.5.2之间的数据流，将其纳入IPSec保护即可。 转载于:https://blog.51cto.com/kalng/8778...
GRE Over IPSec
KangVcar
07-04 1294
GRE Over IPSec GRE Over IPSec配置命令： 创建GRE隧道： GW(config)#interface tunnel 0            //启用一个虚拟隧道接口，ID两端可以不匹配 GW(config-if)#ip address 12.12.12.1 255.255.255.0    //为隧道配置隧道IP GW(config-
华为路由器与H3C路由器之间配置GRE OVER IPSEC
07-14
在华为路由器和H3C路由器之间配置GRE over IPsec（IP安全隧道协议）可以实现安全的跨网段通信。下面是一个简单的配置示例： 在华为路由器上的配置步骤： 1. 创建GRE隧道接口，并指定本地和远程IP地址： ``` interface Tunnel 0 ip address 192.168.1.1 255.255.255.0 tunnel-protocol gre source GigabitEthernet 0/0/0 destination 10.0.0.1 ``` 2. 创建IPsec策略，并指定加密算法、密钥等参数： ``` ipsec proposal myproposal esp authentication-algorithm md5 esp encryption-algorithm des ipsec policy mypolicy 10 isakmp security acl 3001 proposal myproposal acl number 3001 rule 5 permit gre source 192.168.1.0 0.0.0.255 destination 10.0.0.0 0.255.255.255 ike proposal myproposal authentication-method pre-share encryption-algorithm des integrity-algorithm md5 sa duration time-based 28800 ike-peer 10.0.0.1 pre-shared-key cipher %^%#zjhuawei%^%# ike-proposal myproposal ``` 在H3C路由器上的配置步骤： 1. 创建GRE隧道接口，并指定本地和远程IP地址： ``` interface Tunnel 0 ip address 192.168.1.2 255.255.255.0 tunnel-protocol gre source GigabitEthernet 0/0/0 destination 10.0.0.2 ``` 2. 创建IPsec策略，并指定加密算法、密钥等参数： ``` ipsec proposal myproposal esp authentication-algorithm md5 esp encryption-algorithm des ipsec policy mypolicy 10 isakmp security acl 3001 proposal myproposal acl number 3001 rule 5 permit gre source 192.168.1.0 0.0.0.255 destination 10.0.0.0 0.255.255.255 ike proposal myproposal authentication-method pre-share encryption-algorithm des integrity-algorithm md5 sa duration time-based 28800 ike-peer 10.0.0.2 pre-shared-key cipher %^%#h3c%^%# ike-proposal myproposal ``` 以上配置示例中，需要根据实际情况替换IP地址、接口名称、加密算法、密钥等参数。配置完成后，华为路由器和H3C路由器之间的GRE over IPsec隧道将建立起来，可以实现跨网络的安全通信。请注意，这只是一个简单的示例，实际配置可能会有所不同，取决于具体的设备型号和操作系统版本。建议参考设备的官方文档或咨询厂商获取更详细的配置指南。

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

优质网络系统领域创作者

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值