GRE与ipsec vpn的cisco实验（详细配置）

GRE

实验拓扑

配置接口

R1

int g0/0
ip add 192.168.1.254 255.255.255.0
int g0/1 
ip add 200.1.1.1 255.255.255.0 

R2

int g0/0
ip add 200.1.1.2 255.255.255.0
int g0/1 
ip add 200.2.2.1 255.255.255.0

R3

int g0/0
ip add 200.2.2.2 255.255.255.0
int g0/1 
ip add 192.168.2.254 255.255.255.0

配置缺省路由

给R1和R3配置一条缺省路由，实现公网之间互通
R1

ip route 0.0.0.0 0.0.0.0 200.1.1.2

R3

ip route 0.0.0.0 0.0.0.0 200.2.2.1

配置tunnel接口

R1

int tunnel 1(一个编号)
ip add 10.1.1.1 255.255.255.0
tunnel mode gre ip (开启gre模式)
tunnel source g0/1
tunnel destination 200.2.2.2

R2

int tunnel 1(一个编号)
ip add 10.1.1.2 255.255.255.0
tunnel mode gre ip (开启gre模式)
tunnel source g0/0
tunnel destination 200.1.1.1

配置静态路由

R1

ip route 192.168.2.0 255.255.255.0 10.1.1.2

R2

ip route 192.168.1.0 255.255.255.0 10.1.1.1

实验结果

路由器配置好GRE之后，数据包到达该路由器会对数据包进行封装，加上了GRE头部以及公网的源IP是路由器的接口，这里是200.1.1.1，目的IP是配置的destination的IP地址，这里也就是200.2.2.2，后面才是真正的ip和icmp的头部和数据部分

IKE

实验拓扑

配置接口

R1

int g0/0
ip add 192.168.1.254 255.255.255.0
int g0/1 
ip add 200.1.1.1 255.255.255.0 

R2

int g0/0
ip add 200.1.1.2 255.255.255.0
int g0/1 
ip add 200.2.2.1 255.255.255.0

R3

int g0/0
ip add 200.2.2.2 255.255.255.0
int g0/1 
ip add 192.168.2.254 255.255.255.0

配置缺省路由

给R1和R3配置一条缺省路由，实现公网之间互通
R1

ip route 0.0.0.0 0.0.0.0 200.1.1.2

R3

ip route 0.0.0.0 0.0.0.0 200.2.2.1

配置IKE阶段一

配置R1和R3将加密算法、hash算法、身份认证、DH算法组、生命周期等参数配置相同
R1

crypto isakmp en（使用isakmp协议）
crypto isakmp policy 1
encryption 3des（加密算法为3des）
hash sha（hash算法为sha）
authen preshare（身份认证方式为共享key）
group 2（DH算法组号为2）
lifetime 86400（生命周期为一天）

R3

crypto isakmp en
crypto isakmp policy 1
encryption 3des
hash sha
authen preshare
group 2
lifetime 86400

配置IKE的阶段二

R1

crypto ipsec transform-set p2（名字可以自己取） esp-aes esp-sha-hmac
mode tunnel
crypto ipsec security-association lifetime seconds 3600
access-list 101 permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255 ——（感兴趣流量）
提示：前面的是源ip地址后面的是目的ip别配反了
crypto isakmp key cisco(密码可以自己取) address 200.2.2.2

R3

crypto ipsec transform-set p2（名字要与上面的相同） esp-aes esp-sha-hmac
mode tunnel
crypto ipsec security-association lifetime seconds 3600
access-list 101 permit ip 192.168.2.0 0.0.0.255 192.168.1.0 0.0.0.255 ——（感兴趣流量）
提示：前面的是源ip地址后面的是目的ip别配反了
crypto isakmp key cisco（密码要与上面的相同）address 200.1.1.1

配置加密图

R1

crypto map cisco(名字自己取) 10 ipsec-isakmp ——建立加密图
set transform-set p2（前面取的名字）
match address 101
set peer 200.2.2.2

R3

crypto map (与前面取的名字相同) 10 ipsec-isakmp ——建立加密图
set transform-set p2（前面取的名字）
match address 101
set peer 200.2.2.2

绑定接口

R1

int g0/1
crypto map cisco(名字与上面的一致)——加密图绑定在接口上

R3

int g0/0
crypto map cisco(名字与上面的一致)——加密图绑定在接口上

实验结果

在ping完之后，两个路由器会开始协商，开始是Main Mode一共有六个包，前面四个是在协商规则为后面的消息提供加密保护，后面两个就已经是加密的，最后三个是quick Mode，这样就成功建立了ipsec SA，就能为数据提供加密保护了

这些是传输在公网上的ping包都是经过加密处理的