3.3、GRE Over IP sec

1、GRE

        缺点：不安全，无认证无加密

        优点：支持多协议，支持IP组播，配置简单容易理解

2、IP sec

        缺点：只支持IPv4单播

        优点：安全，加密认证都有

3、配置步骤（GRE Over IP sec）

3.1、第一步：确保公网通、内网通(略)

3.2、第二步:先实现GRE配置

R1配置:

interface Tunne10/0/0
 ip address 192.168.3.1 255.255.255.0 tunnel-protocol gre 
 source 12.1.1.1
 destination 12.1.1.2

ip route-static 192.168.2.0 255.255.255.0 Tunnel 0/0/0

R2配置:

interface Tunnel0/0/0
 ip address 192.168.3.2 255.255.255.0 tunnel-protocol gre
 source 12.1.1.2 
 destination 12.1.1.1
 ip route-static 192.168.1.0 255.255.255.0 Tunnel0/0/0

3.3、实现IP sec配置（分为物理口和Tunnel口两种方法）

• 第一种：应用在物理口

注意：匹配感兴趣流量的时候，需要考虑前面一步中GRE会给数据报文封装上新的IP头部，所以报文的源地址已经变为12.1.1.1，目的地址为12.1.1.2。

首先，匹配感兴趣流；

R1配置:匹配感兴趣流

acl number 3000  
 rule 5 permit ip source 12.1.1.1 0 destination 12.1.1.2 0

R2配置:匹配感兴趣流 

acl number 3000
 rule 5 permit ip source 12.1.1.2 0 destination 12.1.1.1 0 

其次，配置两个阶段；

R1配置:配置第一阶段IKE SA/第二阶段IPSec SA

ike peer huawei v1
 pre-shared-key simple huawei
 remote-address 12.1.1.2 
 ipsec proposal tran1

R2配置:配置第一阶段IKE SA/第二阶段IPSec SA 

ike peer huawei v1 
 pre-shared-key simple huawei 
 remote-address 12.1.1.1 
 ipsec proposal tran1//第二阶段

最后，物理口应用。

R1配置:物理接口应用，配置安全策略及应用安全策略

ipsec policy vpn 1 isakmp
 security acl 3000
 ike-peer huawei
 proposal tran1

interface GigabitEthernet0/0/0 
 ipsec policy vpn 

R2配置:物理接口应用，配置安全策略及应用安全策略 

ipsec policy vpn 1 isakmp 
 security acl 3000 
 ike-peer huawei 
 proposal tran1

interface GigabitEthernet0/0/0
 ipsec policy vpn

• 第二种：应用在Tunnel口

首先，配置两个阶段；

R1/R2:配置第一阶段IKE SA

ike proposal 10 //IKE 安全提议名称
 ##默认des-cbc
 encryption-algorithm des-cbc 
 ##默认SHA1  
 authentication-algorithm sha1 
 ##默认预共享 
 authentication-method pre-share 

ike peer huaweiv1 //对端协商名称
 ##协商模式主模式,默认此模式
 exchange-mode main 
 ## 预共享密钥 ike-proposal 10,IKE 提议使用传输模式不用配置IKE 协商对端地址 
 pre-shared-key cipher funnet
 ##调用IKE安全提议
 ike-proposal 10

R1/R2配置:第二阶段IPSEC 协商

ipsec proposal funnet
 ##默认模式
 transform esp 
 ##esp默认MD5 
 esp authentication-algorithm md5 
 ##esp默认des 
 esp encryption-algorithm des 

其次，应用到Tunnel口。

R1配置:配置安全策略及应用安全策略

ipsec profile HCIE  
 ike-peer huawei
 proposal funnet

interface tunnel 0/0/0 
 ipsec profile HCIE

R2配置:配置安全策略及应用安全策略 

ipsec profile HCIE
 ike-peer huawei 
 proposal funnet 

interface tunnel 0/0/0
 ipsec profile HCIE

​​​​​​​