IPSEC ×××实验（四）

4、GREOver IPSEC实验

4.1实验任务与目的

通过本实验可以掌握：

u（注：是在实验3的配置的基础上）

4.1.1 GRE over IPSec的概念

    4.1.2 GRE over IPSec的配置和调试

4.1.3 GREover IPSec的应用

4.2  封装的报文格式

                     图（一）GRE over IPsec的报文格式

u注：在实验三的基础上。

4.3实验拓扑

图（二）GRE over IPsec的实验拓扑

4.4实验步骤（配置截图及说明）

配置IKE

R1(config)#crypto isakmp enable //开启isakmp （默认开启）

R1(config)#crypto isakmp policy 10 //创建一个isakmp策略，编号为10

R1(config-isakmp)#authentication pre-share

//配置isakmp采用的身份验证，这里采用的是域共享密钥

R1(config-isakmp)#encryption aes 256 //配置isakmp的加密算法，默认的是DES

R1(config-isakmp)#group 5 //配置isakmp采用的DH组，默认为1

R1(config-isakmp)#hash md5 //配置isakmp采用的HASH算法，默认的是SHA

R1(config-isakmp)#lifetime 43200

//配置密钥的更新周期为半天，默认的是86400

R1(config-isakmp)#exit //退出isakmp配置模式

R1(config)#crypto isakmp key 20130330 address 202.97.1.2

A pre-shared key for address mask 202.97.1.2255.255.255.255 already exists!

//配置对等体202.97.1.2的域共享密钥为20130330，双方配置的密钥需要一致

配置IPsec MAP

R1(config)#crypto ipsec transform-set byxah-sha-hmac esp-aes 256

//创建一个IPsec转换集，名称本地有效，但是双方路由器的转换集必须一致。

R1(config)#access-list 100 permit gre host202.96.1.1 host 202.97.1.2

//定义×××感兴趣数据流，用指明什么样的流量要通过×××加密传输。

注：这里限定的是从总部局域网到分部局域网的流量才进行加密，其他的流量不加密。

R1(config)#crypto map byxmap 30 ipsec-isakmp

//创建加密图，名称为byxmap,30为加密图的编号。

u注：名称和编号只本地有效。

R1(config-crypto-map)#set transform-set byx //调用转换集

R1(config-crypto-map)#set peer 202.97.1.2 //调用对等体的地址

R1(config-crypto-map)#match address 100 //指明×××感兴趣流量

R1(config-crypto-map)#ex //退出isakmp的配置模式

应用IPsec MAP

R1(config)#interf s0/0/0

R1(config-if)#crypto map byxmap //在接口上应用创建的加密图

*Jan  307:16:26.785: %CRYPTO-6-ISAKMP_ON_OFF: ISAKMP is ON

配置路由器R2：

R2(config)#crypto isakmp enable

R2(config)#crypto isakmp policy 10

R2(config-isakmp)#authentication pre-share

R2(config-isakmp)#encryption aes 256

R2(config-isakmp)#group 5

R2(config-isakmp)#hash md5

R2(config-isakmp)#lifetime 43200

R2(config-isakmp)#exit

R2(config)#crypto isakmp key 20130330 address202.96.1.1

A pre-shared key for address mask 202.96.1.1255.255.255.255 already exists!

R2(config)#crypto ipsec transform-set byxah-sha-hmac esp-aes 256

R2(config)#access-list 100 permit gre host202.97.1.2 host 202.96.1.1

R2(config)#crypto map byxmap 30 ipsec-isakmp

R2(config-crypto-map)#set transform-set byx

R2(config-crypto-map)#set peer 202.96.1.1

R2(config-crypto-map)#match address 100

R2(config-crypto-map)#exi

R2(config)#interf s0/0/1

R2(config-if)#crypto map byxmap

*Jan  307:16:26.785: %CRYPTO-6-ISAKMP_ON_OFF: ISAKMP is ON

u（注：在配置GRE IPSEC的时候R2上的命令及调试解释都与R1类似这里不再一一介绍）

4.5实验调试和问题处理

（1）sho ip route如图（三）、图（四）

                       图（三）显示R1上的路由条目

      图（四）显示R2上的路由条目

（2）show crypto isakmppolicy

该命令显示isakmp的策略信息。如图（五）、图（六）

   图（五）显示R1上isakmp的策略信息

   图（六）显示R2上isakmp的策略信息

（3）show crypto map

该命令显示加密图的信息。如图（七）、图（八）。

                    图（七）显示R1上的加密图信息

                    图（八）显示R2上的加密图信息

（4）show crypto isakmp sa

该命令显示建立IPsec×××策略的信息。如图（九）、图（十）

                  图（九）显示R1上建立IPsec××× 信息

                   图（十）显示R1上建立IPsec×××信息

（5）tracerouter

跟踪数据包的去向。（表明总部与分支是联通的）如图（十一）。

        图（十一）显示R1到分支网络的数据包跟踪路径

u   注：R3上命令以及调试解释均和R1上的一致，这里就不一一介绍。

u注：如果在设置IPSEC时出错了，可以使用以下命令删除：

全局下：no crypto isakmp poli10

接口下：no crypto map byxmap

全局下：no crypto isakmp key

全局下：no access-list 100

全局下：no crypto ipsectransform-set byx

u顺便问一下大家，有没有用一条命令删除，我这样删太麻烦了。

5、实验总结

通过这次实验和写实验报告，

1、使我更清楚的理解和掌握×××的配置和原理，熟练了一下路由器的基本配置。

2、更深刻的知道，听老师讲课是很幸福的事情，因为，有时候自己埋头自学真的是件很痛苦的事。所以很感激。

3、知道了写好报告的重要性（对自己现在的学习和以后的工作），这个我还不是很熟练，希望在各位老师的监督下，能够熟练的写一份合格的报告。

4、这次实验，我感觉很充实，通过在做实验和写报告里出现的问题，让我知道了交流合作的重要性，让我开始慢慢的理解每一个命令含义，每一个协议的原理。嘿嘿，唯一遗憾的是没有能再真设备上来实验，不知道在真设备上遇到的问题是什么样的，我想可能如果是真设备实验的话，那种喜悦感可能来的会更加的真实，更加的会有成就感。

5、让我不畏惧在试验中有问题出现，呵呵，一个问题，一次提高，也是我更牢固记住这个知识点的一次好的机会。所以，我会很珍惜每次解决问题的机会。

6、参考资料

1、网络工程师教程第三版

2、老师整理的精华笔记和PPT

3、思科网络实验室CCNP（路由技术）实验指南

以上仅是个人学习笔记总结报告，如有不正确或不合理的，烦扰大家多指正！

转载于:https://blog.51cto.com/6152587/1231510