GRE over IPSec vs IPSec over GRE

最新推荐文章于 2024-10-30 15:53:22 发布
最新推荐文章于 2024-10-30 15:53:22 发布
阅读量1.9k 收藏 39
点赞数 3
分类专栏： 路由交换 文章标签： 网络 安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-NC-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/u012391293/article/details/125054123
版权

GRE over IPSec

即 IPSec 在最外层(或称最底层)。意思是先在 R1 与 R2 之间建立 IPSec Tunnel，把里面的 GRE Tunnel 整个进行加密，Routing Protocol 在 GRE Tunnel 里面完成 Route 交换，最后 Data 在 GRE Tunnel 里面传送。从下图所见，因整个 GRE Tunnel 被加密，所以里面的 Routing Protocol 及 Data 都会被加密。
请添加图片描述

GRE over IPSec隧道示例

配置思路

采用如下思路配置虚拟隧道接口建立GRE over IPSec隧道：
1.配置物理接口的IP地址和到对端的静态路由，保证两端路由可达。
2.配置GRE Tunnel接口。
3.配置IPSec安全提议，定义IPSec的保护方法。
4.配置IKE对等体，定义对等体间IKE协商时的属性。
5.配置安全框架，并引用安全提议和IKE对等体。
6.在Tunnel接口上应用安全框架，使接口具有IPSec的保护功能。
7.配置Tunnel接口的转发路由，将需要IPSec保护的数据流引到Tunnel接口。
请添加图片描述

#
 sysname RouterA
#
ipsec proposal tran1
 esp authentication-algorithm sha2-256
 esp encryption-algorithm aes-128
#
ike proposal 5
 encryption-algorithm aes-128
 dh group14
 authentication-algorithm sha2-256
 authentication-method pre-share
 integrity-algorithm hmac-sha2-256
 prf hmac-sha2-256
#
ike peer spub
 undo version 2
 pre-shared-key cipher %^%#JvZxR2g8c;a9~FPN~n'$7`DEV&=G(=Et02P/%\*!%^%#
 ike-proposal 5
#
ipsec profile profile1
 ike-peer spub
 proposal tran1
#
interface Tunnel0/0/0
 ip address 192.168.1.1 255.255.255.0
 tunnel-protocol gre
 source 1.1.1.1
 destination 2.1.1.1
 ipsec profile profile1
#
interface GigabitEthernet1/0/0
 ip address 1.1.1.1 255.255.255.0
#
interface GigabitEthernet2/0/0
 ip address 10.1.1.1 255.255.255.0
#
ip route-static 2.1.1.0 255.255.255.0 1.1.1.2
ip route-static 10.1.2.0 255.255.255.0 tunnel0/0/0
#
return



•RouterB的配置文件

#
 sysname RouterB
#
ipsec proposal tran1
 esp authentication-algorithm sha2-256
 esp encryption-algorithm aes-128
#
ike proposal 5
 encryption-algorithm aes-128
 dh group14
 authentication-algorithm sha2-256
 authentication-method pre-share
 integrity-algorithm hmac-sha2-256
 prf hmac-sha2-256
#
ike peer spua
 undo version 2
 pre-shared-key cipher %^%#K{JG:rWVHPMnf;5\|,GW(Luq'qi8BT4nOj%5W5=)%^%#
 ike-proposal 5
#
ipsec profile profile1
 ike-peer spua
 proposal tran1
#
interface Tunnel0/0/0
 ip address 192.168.1.2 255.255.255.0
 tunnel-protocol gre
 source 2.1.1.1
 destination 1.1.1.1
 ipsec profile profile1
#
interface GigabitEthernet1/0/0
 ip address 2.1.1.1 255.255.255.0
#
interface GigabitEthernet2/0/0
 ip address 10.1.2.1 255.255.255.0
#
ip route-static 1.1.1.0 255.255.255.0 2.1.1.2
ip route-static 10.1.1.0 255.255.255.0 tunnel0/0/0
#
return

IPSec over GRE

即 GRE 在最外层(或称最底层)。在 R1 与 R2 之间先建立 GRE Tunnel，在 GRE Tunnel 里面再建 IPSec Tunnel，有趣的是：由于 IPSec 并不支缓 Multicast，因此通常把 Routing Protocol 建在 GRE Tunnel 进行 Route 交换，并无加密，只有 Data 在 IPSec Tunnel 里面被加密。如坚持把 Routing Protocol 也放在 IPSec Tunnel 中，可以透过设定 Unicast IP Address 建立 Neighbor，但这样做 Router 就无法自动建立 Neighbor 关系，如果 Router 数量多起来，设定方面肯定比较痛苦。
请添加图片描述请添加图片描述

IPSec over GRE隧道示例

配置思路

采用如下思路配置虚拟隧道接口建立IPSec over GRE隧道：
1.配置物理接口的IP地址和到对端的静态路由，保证两端路由可达。
2.配置GRE Tunnel接口。
3.配置IPSec安全提议，定义IPSec的保护方法。
4.配置IKE对等体，定义对等体间IKE协商时的属性。
5.配置安全框架，并引用安全提议和IKE对等体。
6.配置IPSec Tunnel接口，将IPSec Tunnel的源接口配置为GRE Tunnel接口；且IPSec Tunnel的目的地址的路由必须从GRE Tunnel接口出去。
7.在IPSec Tunnel接口上应用安全框架，使接口具有IPSec的保护功能。
8.配置IPSec Tunnel接口的转发路由，将需要IPSec保护的数据流引到IPSec Tunnel接口。

•Router_1的配置文件
#
 sysname Router_1
#
ipsec proposal tran1
 esp authentication-algorithm sha2-256
 esp encryption-algorithm aes-128
#
ike proposal 5
 encryption-algorithm aes-128
 dh group14
 authentication-algorithm sha2-256
 authentication-method pre-share
 integrity-algorithm hmac-sha2-256
 prf hmac-sha2-256
#
ike peer spub
 undo version 2
 pre-shared-key cipher %^%#JvZxR2g8c;a9~FPN~n'$7`DEV&=G(=Et02P/%\*!%^%#
 ike-proposal 5
#
ipsec profile profile1
 ike-peer spub
 proposal tran1
#
interface Tunnel0/0/0
 ip address 192.168.1.1 255.255.255.0
 tunnel-protocol gre
 source 1.1.1.1
 destination 2.1.1.1
#
interface Tunnel0/0/1
 ip address 192.168.2.1 255.255.255.0
 tunnel-protocol ipsec
 source Tunnel0/0/0
 destination 192.168.1.2
 ipsec profile profile1
#
interface GigabitEthernet1/0/0
 ip address 1.1.1.1 255.255.255.0
#
interface GigabitEthernet2/0/0
 ip address 10.1.1.1 255.255.255.0
#
ip route-static 10.1.2.0 255.255.255.0 tunnel0/0/1
ip route-static 2.1.1.0 255.255.255.0 1.1.1.2
#
return



•Router_2的配置文件

#
 sysname Router_2
#
ipsec proposal tran1
 esp authentication-algorithm sha2-256
 esp encryption-algorithm aes-128
#
ike proposal 5
 encryption-algorithm aes-128
 dh group14
 authentication-algorithm sha2-256
 authentication-method pre-share
 integrity-algorithm hmac-sha2-256
 prf hmac-sha2-256
#
ike peer spua
 undo version 2
 pre-shared-key cipher %^%#K{JG:rWVHPMnf;5\|,GW(Luq'qi8BT4nOj%5W5=)%^%#
 ike-proposal 5
#
ipsec profile profile1
 ike-peer spua
 proposal tran1
#
interface Tunnel0/0/0
 ip address 192.168.1.2 255.255.255.0
 tunnel-protocol gre
 source 2.1.1.1
 destination 1.1.1.1
#
interface Tunnel0/0/1
 ip address 192.168.2.2 255.255.255.0
 tunnel-protocol ipsec
 source Tunnel0/0/0
 destination 192.168.1.1
 ipsec profile profile1
#
interface GigabitEthernet1/0/0
 ip address 2.1.1.1 255.255.255.0
#
interface GigabitEthernet2/0/0
 ip address 10.1.2.1 255.255.255.0
#
ip route-static 10.1.1.0 255.255.255.0 tunnel0/0/1
ip route-static 1.1.1.0 255.255.255.0 2.1.1.2
#
return
GRE Over IPSec配置
weixin_30247781的博客
12-13 1968
路由器GRE over IPSec站点到站点VPN 问题分析：对于前面的经典的IPSec VPN的配置来说，兼容性较好，适合于多厂商操作的时候，但是这种经典的配置方式不适合在复杂的网路中配置，如下： 这样在site 1和site 2后面有很多的网络，这样出现的难题是： *没有虚拟隧道接口，不能让两个站点的动态路由协议贯通 *由于没有虚...
GRE over IPsec
Goallegoal的博客
04-09 866
GRE over IPsec 概述 GRE，Generic Routing Encapsulation，通用路由封装，GRE 采用 Tunnel 技术，是 VPN 三层隧道协议，用于对某些网络层协议（如IP和IPX）的数据报文进行封装，使这些被封装的数据报文能够在另一个网络层协议（如IP）中传输。 GRE 技术是一种明文 Tunnel 技术，而 IPsec 是一种加密隧道技术，为什么要将两种隧道技...
IPSEC Over GRE与GRE Over IPSEC的区别和好处
weixin_33859504的博客
07-22 1902
到底是IPSEC Over GRE好呢，还是GRE Over IPSEC好？以前一直是出于一个模糊的状态，能通就行了么。今天再次作了一下研究比较，得出的结论是，当然是GRE Over IPSEC好！（怪不得CCNP的教材上只提了GRE Over IPSEC） 在此，先把这两个概念理一下。IPSEC Over GRE即IPSEC在里，GRE在外。先把需要加密...
GRE Over IPsec（华三）
最新发布
qq_73757784的博客
10-30 986
当总部想要访问分部172.16.10.0网段时，下一跳为tunnel接口，进入接口后，首先会被GRE封装，封装为源1.1.1.1，目的3.3.3.3然后从G0/1发出，因为在g0/1接口调用了ipsec策略，又会被感兴趣流匹配上，封装为公网地址源100.1.1.1，目的200.1.1.2从g0/1接口发出。那么当数据进入tunnel隧道后，会先被GRE封装后再进行IPsec感兴趣流acl匹配，匹配上了则封装IPsec，没匹配上则丢包。GRE Over IPsec 顾名思义，GRE在内，IPsec在外。
GRE over IPSec和IPSec over GRE的区别
Lin_Jumping的博客
04-01 1699
通俗来说，GRE over IPSec是将GRE流量作为私网流量进行加密，GRE隧道的建立以及隧道中传输的流量都会被加密；2、对于IPSecVPN，若一端公网地址固定，一端公网地址不固定（如通过PPPoE拨号方式，或DHCP分配等），则需要采用野蛮模式，且公网地址不固定端需使用id-type name (默认是id-type ip)、remote name(ike local name默认是网关设备名称)和remote addess方式，IPSec流量触发为公网地址不固定一端主动触发。
IPSec Over GRE和GRE Over IPSec技术
qq_56228347的博客
04-19 8811
IPSec Over GRE 和 GRE Over IPSec 一. 技术介绍 IPsec     主要作用是对数据进行加密，因为他能提供所有有时候被单独用作实现加密的一种方法！IPsec建立的是一个逻辑隧道，并不是真正意义上的隧道！并且不能提供路由功能，因为IPsec不支持非ip流量，也不支持广播（组播）！ GRE     （通用路由封装）能很好的提供一个真正意义上的点对点的隧道，GRE是一种三层VPN封装技术。GRE可以对某些网络层协议（如IPX、Apple Talk、IP等）的报文进行封装，使封装后
IPsec over GRE 和GRE over IPsec比较和区别与配置
weixin_34205826的博客
11-18 1130
原帖：http://blog.sina.com.cn/s/blog_4090d3790100epvg.html GRE over IPsec & IPsec over GRE IPSec -Over-GRE是先ipsec后gre，这种我没用过。 GRE -Over-IPSec 是先gre后ipsec，也就是说ipsec是最后的承载方式。一般常用的就是这种，解决了i...
3分支GRE OVER IPSEC + OSPF
yayun616的博客
10-19 1163
3分支GRE OVER IPSEC + OSPF 注意：ospf宣告不要用0.0.0.0 255.255.255.255 宣告 AR21 [AR 21]dis cu [V200R003C00] sysname AR 21 snmp-agent local-engineid 800007DB03000000000000 snmp-agent clock timezone China-Standard-Time minus 08:00:00 portal local-server load flas
GRE over IPSec
weixin_45138093的博客
06-18 491
GRE & IPSEC 由于GRE是支持动态路由协议来以组播的方式来发送路由更新，没有对数据报文进行加密操作的。相反IPsec支持对数据包的加密封装而不支持组播，也没有虚拟的隧道接口，因此IPsec对动态路由协议并没有太好的支持。 因此有了GRE over IPsec的出现 网络基本配置： R1: R1(config)#interface f0/0 R1(config-if)#ip address 202.100.1.1 255.255.255.0 R1(config-if)#no shutdow
GRE Over IPSec配置及抓包分析.doc
05-20
GRE Over IPSec配置及抓包分析.doc
思科路由器和山石网科防火墙做GRE Over IPSec对接.doc
12-21
对于同一厂家的设备之间，比如思科路由器和思科防火墙、神码路由器和神码防火墙、华为路由器和华为防火墙做对接一般都比较容易，甚至同一厂家的同种设备之间做对接那就更轻松了。但是实际环境中我们总会遇到两个不同...
天融信防火墙配置GRE Over IPSEC
09-19
天融信防火墙配置GRE Over IPSEC GRE over IPSec，是将整个已经封装过的GRE数据包进行加密。由于IPSec不支持对多播和广播数据包的加密，这样的话，使用IPSec的隧道中，动态路由协议等依靠多播和广播的协议就不能进行...
思科路由器对接山石网科防火墙——GRE Over IPSec.doc
08-18
思科路由器对接山石网科防火墙——GRE Over IPSec.doc
IPSec over GRE 和 GRE over IPSec配置区别
耶锋的博客
04-28 1249
gre over ipsec
IPsec over GRE 和GRE over IPsec比较和区别
weixin_33894640的博客
07-13 1599
GRE over IPsec & IPsec over GRE IPSec -Over-GRE是先ipsec后gre，这种我没用过。 GRE -Over-IPSec 是先gre后ipsec，也就是说ipsec是最后的承载方式。一般常用的就是这种，解决了ipsec不支持多播的问题。 另外在mtu上也有一些相关，gre是先分段后封装，而ipsec则是先封装再分段。...
关于GRE over IPsec及IPsec over GRE
weixin_34129145的博客
07-30 2263
GRE over IPsec & IPsec over GRE IPSec -Over-GRE是先ipsec后gre，这种我没用过。 GRE -Over-IPSec 是先gre后ipsec，也就是说ipsec是最后的承载方式。一般常用的就是这种，解决了ipsec不支持多播的问题。 另外...
ipsec over gre与gre over ipsec
weixin_33843409的博客
10-31 237
需求分析: 由于IPSec不支持对多播和广播数据包的加密，这样的话，使用IPSec的隧道中，动态路由协议等依靠多播和广播的协议就不能进行正常通告，所以，这时候要配合GRE隧道，GRE隧道会将多播和广播数据包封装到单播包中，再经过IPSec加密。 此外由于GRE建立的是简单的，不进行加密的×××隧道，他通过在物理链路中使用ip地址和路由穿越普通网络。所以很常见的方法就是使...
GRE over IPSEC
ikaros_fire的博客
10-17 3731
前提：路由可达，相互可通信。 GRE提供通道，IPSEC保护通道数据。 GRE over IPSEC与IPSEC over GRE 哪个好？肯定是前者。 在R2与R4之间建立tunnel，ipsec为tunnel数据加密，即GRE over IPSEC 起接口IP规则依旧是老样子：R1-R2,那么就是12.1.1.1-12.1.1.2，其余类似。 R2配置如下： R2#sh run Buildi...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

期待未来的男孩

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值
>