思科路由器配置命令（五）

一、 GRE配置

https://blog.csdn.net/weixin_33850890/article/details/89906543

1、实验拓扑

2、基本配置
R1(config)#int lo0
R1(config-if)#ip address 10.1.1.1 255.255.255.0 配置环回口地址当接入PC用
R1(config)#int e0/0
R1(config-if)#ip address 202.1.1.1 255.255.255.0
R1(config-if)#no shutdown
R1(config)# ip route 0.0.0.0 0.0.0.0 202.1.1.2 默认路由指向公网分配地址
R1(config)# int tunnel 0 进入gre隧道，两端可不同
R1(config-if)#ip address 1.1.1.1 255.255.255.0 配置接口地址，两端需要同网段
R1(config-if)# tunnel source 202.1.1.1 定义隧道源地址，就是自己的出口地址
R1(config-if)# tunnel destination 61.1.1.1 定义对端公网地址
R1(config)# ip route 172.16.1.0 255.255.255.0 tunnel 0让到对端内网的流量通过隧道道走

R2(config)#int e0/0
R2(config-if)#ip address 202.1.1.2 255.255.255.0
R2(config-if)#no shutdown
R2(config)#int e0/1
R2(config-if)#ip address 61.1.1.2 255.255.255.0
R2(config-if)#no shutdown

R3(config)#int lo0 同上
R3(config-if)#ip address 172.16.1.1 255.255.255.0
R3(config)#int e0/0
R3(config-if)#ip address 61.1.1.1 255.255.255.0
R3(config-if)#no shutdown
R1(config)#ip route 0.0.0.0 0.0.0.0 61.1.1.2
R3(config)# int tunnel 1
R3(config-if)#ip address 1.1.1.2 255.255.255.0
R3(config-if)# tunnel source 61.1.1.1
R3(config-if)# tunnel destination 202.1.1.1
R3(config)# ip route 10.1.1.0 255.255.255.0 tunnel 1

二、6 to 4隧道配置
1、实验拓扑

2、基本配置

R1(config)#int lo0
R1(config-if)#ipv6 address 2001::1/64 配置环回口地址当接入PC用
R1(config)#int e0/0
R1(config-if)#ip address 202.1.1.1 255.255.255.0
R1(config-if)#no shutdown
R1(config)# ip route 0.0.0.0 0.0.0.0 202.1.1.2 默认路由指向公网分配地址
R1(config)# int tunnel 0 进入gre隧道，两端可不同
R1(config-if)#ip address 1.1.1.1 255.255.255.0 配置接口地址，两端需要同网段
R1(config-if)#ipv6 address 240C:6464:1:1::1/64
R1(config-if)# tunnel source 202.1.1.1 定义隧道源地址，就是自己的出口地址
R1(config-if)# tunnel destination 61.1.1.1 定义对端公网地址
R1(config-if)# tunnel mode ipv6ip 定义tunnel只转发ipv6
R1(config-if)#ipv6 enable 开启ipv6
R1(config)# ipv6 route 2002::/64 240C:6464:1:1::2 静态指向对端内网，通过隧道道走

R2(config)#int e0/0
R2(config-if)#ip address 202.1.1.2 255.255.255.0
R2(config-if)#no shutdown
R2(config)#int e0/1
R2(config-if)#ip address 61.1.1.2 255.255.255.0
R2(config-if)#no shutdown

R3(config)#int lo0 同上
R3(config-if)#ipv6 address 2002::1/64
R3(config)#int e0/0
R3(config-if)#ip address 61.1.1.1 255.255.255.0
R3(config-if)#no shutdown
R1(config)#ip route 0.0.0.0 0.0.0.0 61.1.1.2
R3(config)# int tunnel 1
R3(config-if)#ip address 1.1.1.2 255.255.255.0
R3(config-if)#ipv6 address 240C:6464:1:1::2/64

R3(config-if)# tunnel source 61.1.1.1
R3(config-if)# tunnel destination 202.1.1.1
R3(config-if)# tunnel mode ipv6ip
R3(config-if)# ipv6 route 2001::/64 240C:6464:1:1::1

三、IPSsc VPN
https://blog.csdn.net/weixin_45186298/article/details/102877901
https://wenku.baidu.com/view/f017768286254b35eefdc8d376eeaeaad1f3163d.html#

基本配置
R1(config)#int lo0
R1(config-if)#ip address 192.168.1.1 255.255.255.0
R1(config)#int e0/0
R1(config-if)#ip address 20.0.0.1 255.255.255.0
R1(config-if)#no shutdown
R1(config)#ip route 0.0.0.0 0.0.0.0 20.0.0.2
R1(config)#crypto isakmp policy 1
配置ISAKMP/IKE策略，序列号为1，数值越小越优先
R1(config-isakmp)#encryption 3des
指定用于身份验证采用3des加密算法，可选ase、des。
R1(config-isakmp)#hash md5
用于验证数据完整性（散列算法）使用md5算法
R1(config-isakmp)#authentication pre-share
设备身份验证的方式使用pre-sha（预共享密钥）
R1(config-isakmp)#group 1
指定DH密钥组，组号越大，越安全
R1(config-isakmp)#lifetime 10000
管理连接的生存周期为10000s
R1(config)#crypto isakmp key 0 123456 address 30.0.0.2
与R3建立对等体关系，使用明文密钥123456
R1(config)#crypto ipsec transform-set abc esp-des esp-md5-hmac
建立传输集，名称为abc，加密使用esp-des算法，解密使用esp-md5-hmac 算法
R1(config)#access-list 100 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255
配置ACL，允许192.168.1.0网段访问192.168.2.0网段
R1(config)#crypto map R1-map 1 ipsec-isakmp
创建Crypto-Map，名称为R1-map，序列号为1，数值越小，越优先
R1(config-crypto-map)#set peer 30.0.0.2 设置对方路由器ip地址
R1(config-crypto-map)#set transform-set abc 指定传输集
R1(config-crypto-map)#match address 100 调用刚才创建的ACL
R1(config)#int e0/0
R1(config-if)#crypto map R1-map
在连接公网接口上调用

R2(config)#int e0/0
R2(config-if)#ip address 20.0.0.2 255.255.255.0
R2(config)#int e0/1
R2(config-if)#ip address 30.0.0.1 255.255.255.0
R2(config-if)#no shutdown

R3(config)#int lo0
R3(config-if)#ip address 192.168.2.1 255.255.255.0
R3(config)#int e0/0
R3(config-if)#ip address 30.0.0.2 255.255.255.0
R3(config-if)#no shutdown
R3(config)#ip route 0.0.0.0 0.0.0.0 30.0.0.1
R3(config)#crypto isakmp policy 1
R3(config-isakmp)#encryption 3des
指定用于身份验证采用3des加密算法，两边需要相同
R3(config-isakmp)#hash md5
R3(config-isakmp)#authentication pre-share
R3(config-isakmp)#group 1
R3(config-isakmp)#lifetime 10000
R3(config)#crypto isakmp key 0 123456 address 20.0.0.2
与R1建立对等体关系，使用明文密钥123456
R3(config)#crypto ipsec transform-set abc esp-des esp-md5-hmac
建立传输集，名称为abc，加密使用esp-des算法，解密使用esp-md5-hmac 算法
R3(config)#access-list 100 permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255
配置ACL，允许192.168.2.0网段访问192.168.1.0网段
R3(config)#crypto map R1-map 1 ipsec-isakmp
创建Crypto-Map，名称为R1-map，序列号为1，数值越小，越优先
R3(config-crypto-map)#set peer 20.0.0.1 设置对方路由器ip地址
R3(config-crypto-map)#set transform-set abc 指定之前定义的传输集abc
R3(config-crypto-map)#match address 100 调用刚才创建的ACL
R3(config)#int e0/0
R3(config-if)#crypto map R1-map
在连接公网接口上调用

R1#show crypto isakmp policy 查看ISAKMP协商策略的配置结果
R1#show crypto isakmp sa 查看管理连接SA的状态
R1#show crypto ipsec transform-set 查看IPSec传输集
R1#show crypto ipsec security-association lifetime 查看数据连接建立的生存周期
R1#show crypto ipsec sa 查看数据连接SA的细节信息
R1#show crypto map 查看crypto Map的信息，这个命令可以查看到crypto map的名称、ACL、对等体的IP地址、应用Crypto map的接口等。
R1#show crypto engine connections active 可以显示加解密报文的数量,通过流量触发其数量不断增长

四、vpc配置ipv6地址
VPCS> ip 2001:DA8:1001::1/64 2001:DA8:1001::2

五、GRE OVER IPSEC

R1(config)#int lo0
R1(config-if)#ip address 10.1.1.1 255.255.255.0 配置环回口地址当接入PC用
R1(config)#int e0/0
R1(config-if)#ip address 202.1.1.1 255.255.255.0
R1(config-if)#no shutdown
R1(config)# ip route 0.0.0.0 0.0.0.0 202.1.1.2 默认路由指向公网分配地址
R1(config)# int tunnel 0 进入gre隧道，两端可不同
R1(config-if)#ip address 1.1.1.1 255.255.255.0 配置接口地址，两端需要同网段
R1(config-if)# tunnel source 202.1.1.1 定义隧道源地址，就是自己的出口地址
R1(config-if)# tunnel destination 61.1.1.1 定义对端公网地址
R1(config)# ip route 172.16.1.0 255.255.255.0 tunnel 0让到对端内网的流量通过隧道道走
建立IPSEC加密通过通道的流量
R1(config)#crypto isakmp policy 2
R1(config-isakmp)#hash md5
R1(config-isakmp)#authentication pre-share
R1(config-isakmp)#group 2
R1(config)#crypto isakmp key lab5 address 61.1.1.1
R1(config)#crypto ipsec transform-set tor3 esp-des esp-md5-hmac
R1(cfg-crypto-trans)# mode transport 传输集模式改为transport
R1(config)#crypto ipsec profile aaa 配置IPSEC加密，名为aaa
R1(ipsec-profile)# set transform-set tor3
R1(config)# int tunnel 0
R1(config-if)# tunnel protection ipsec profile aaa tunnel下调用IPSEC加密配置

R2(config)#int e0/0
R2(config-if)#ip address 202.1.1.2 255.255.255.0
R2(config-if)#no shutdown
R2(config)#int e0/1
R2(config-if)#ip address 61.1.1.2 255.255.255.0
R2(config-if)#no shutdown

R3(config)#int lo0 同上
R3(config-if)#ip address 172.16.1.1 255.255.255.0
R3(config)#int e0/0
R3(config-if)#ip address 61.1.1.1 255.255.255.0
R3(config-if)#no shutdown
R1(config)#ip route 0.0.0.0 0.0.0.0 61.1.1.2
R3(config)# int tunnel 1
R3(config-if)#ip address 1.1.1.2 255.255.255.0
R3(config-if)# tunnel source 61.1.1.1
R3(config-if)# tunnel destination 202.1.1.1
R3(config)# ip route 10.1.1.0 255.255.255.0 tunnel 1
R3(config)#crypto isakmp policy 2
R3(config-isakmp)#hash md5
R3(config-isakmp)#authentication pre-share
R3(config-isakmp)#group 2
R3(config)#crypto isakmp key lab5 address 202.1.1.1
R3(config)#crypto ipsec transform-set tor1 esp-des esp-md5-hmac
R3(cfg-crypto-trans)# mode transport
R3(config)#crypto ipsec profile ipsec
R3(ipsec-profile)# set transform-set tor1
R3(config)# int tunnel 1
R3(config-if)# tunnel protection ipsec profile ipsec