配置虚拟隧道接口建立GRE over IPSec隧道

已于 2022-11-11 14:46:35 修改
阅读量990 收藏 6
点赞数 1
文章标签： 网络 服务器 运维 华为 tcp/ip
于 2022-10-29 15:42:42 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/zszfs/article/details/127587962
版权

配置虚拟隧道接口建立GRE over IPSec隧道示例

组网需求

如图1所示，RouterA为企业分支网关，RouterB为企业总部网关，分支与总部通过公网建立通信。

企业希望对分支与总部之间相互访问的流量（包括组播数据）进行安全保护。由于组播数据无法直接应用IPSec，所以基于虚拟隧道接口方式建立GRE over IPSec，对Tunnel接口下的流量进行保护。

图1 配置虚拟隧道接口建立GRE over IPSec隧道组网图

配置思路

采用如下思路配置虚拟隧道接口建立GRE over IPSec隧道：

  1. 配置物理接口的IP地址和到对端的静态路由，保证两端路由可达。

  2. 配置GRE Tunnel接口。

  3. 配置IPSec安全提议，定义IPSec的保护方法。

  4. 配置IKE对等体，定义对等体间IKE协商时的属性。

  5. 配置安全框架，并引用安全提议和IKE对等体。

  6. 在Tunnel接口上应用安全框架，使接口具有IPSec的保护功能。

  7. 配置Tunnel接口的转发路由，将需要IPSec保护的数据流引到Tunnel接口。

操作步骤

  1. 分别在RouterA和RouterB上配置物理接口的IP地址和到对端的静态路由

    # 在RouterA上配置接口的IP地址。

    <Huawei> system-view
[Huawei] sysname RouterA
[RouterA] interface gigabitethernet 1/0/0 
[RouterA-GigabitEthernet1/0/0] ip address 1.1.1.1 255.255.255.0
[RouterA-GigabitEthernet1/0/0] quit
[RouterA] interface gigabitethernet 2/0/0
[RouterA-GigabitEthernet2/0/0] ip address 10.1.1.1 255.255.255.0
[RouterA-GigabitEthernet2/0/0] quit

    # 在RouterA上配置到对端的静态路由，此处假设到对端的下一跳地址为1.1.1.2。

    [RouterA] ip route-static 2.1.1.0 255.255.255.0 1.1.1.2

    # 在RouterB上配置接口的IP地址。

    <Huawei> system-view
[Huawei] sysname RouterB
[RouterB] interface gigabitethernet 1/0/0 
[RouterB-GigabitEthernet1/0/0] ip address 2.1.1.1 255.255.255.0
[RouterB-GigabitEthernet1/0/0] quit
[RouterB] interface gigabitethernet 2/0/0
[RouterB-GigabitEthernet2/0/0] ip address 10.1.2.1 255.255.255.0
[RouterB-GigabitEthernet2/0/0] quit

    # 在RouterB上配置到对端的静态路由，此处假设到对端下一跳地址为2.1.1.2。

    [RouterB] ip route-static 1.1.1.0 255.255.255.0 2.1.1.2
  2. 配置GRE Tunnel接口

    # 配置RouterA。

    [RouterA] interface tunnel 0/0/0
[RouterA-Tunnel0/0/0] ip address 192.168.1.1 255.255.255.0
[RouterA-Tunnel0/0/0] tunnel-protocol gre
[RouterA-Tunnel0/0/0] source 1.1.1.1
[RouterA-Tunnel0/0/0] destination 2.1.1.1
[RouterA-Tunnel0/0/0] quit

    # 配置RouterB。

    [RouterB] interface tunnel 0/0/0
[RouterB-Tunnel0/0/0] ip address 192.168.1.2 255.255.255.0
[RouterB-Tunnel0/0/0] tunnel-protocol gre
[RouterB-Tunnel0/0/0] source 2.1.1.1
[RouterB-Tunnel0/0/0] destination 1.1.1.1
[RouterB-Tunnel0/0/0] quit

  3. 分别在RouterA和RouterB上创建IPSec安全提议

    # 在RouterA上配置IPSec安全提议。

    [RouterA] ipsec proposal tran1
[RouterA-ipsec-proposal-tran1] esp authentication-algorithm sha2-256
[RouterA-ipsec-proposal-tran1] esp encryption-algorithm aes-128
[RouterA-ipsec-proposal-tran1] quit

    # 在RouterB上配置IPSec安全提议。

    [RouterB] ipsec proposal tran1
[RouterB-ipsec-proposal-tran1] esp authentication-algorithm sha2-256
[RouterB-ipsec-proposal-tran1] esp encryption-algorithm aes-128
[RouterB-ipsec-proposal-tran1] quit

  4. 分别在RouterA和RouterB上配置IKE对等体

    # 在RouterA上配置IKE安全提议。 
    [RouterA] ike proposal 5
[RouterA-ike-proposal-5] authentication-algorithm sha2-256
[RouterA-ike-proposal-5] encryption-algorithm aes-128
[RouterA-ike-proposal-5] dh group14
[RouterA-ike-proposal-5] quit

    # 在RouterA上配置IKE对等体。

    [RouterA] ike peer spub
[RouterA-ike-peer-spub] undo version 2
[RouterA-ike-peer-spub] ike-proposal 5
[RouterA-ike-peer-spub] pre-shared-key cipher Huawei@1234
[RouterA-ike-peer-spub] quit

    # 在RouterB上配置IKE安全提议。

    [RouterB] ike proposal 5
[RouterB-ike-proposal-5] authentication-algorithm sha2-256
[RouterB-ike-proposal-5] encryption-algorithm aes-128
[RouterB-ike-proposal-5] dh group14
[RouterB-ike-proposal-5] quit

    # 在RouterB上配置IKE对等体。

    [RouterB] ike peer spua
[RouterB-ike-peer-spua] undo version 2
[RouterB-ike-peer-spua] ike-proposal 5
[RouterB-ike-peer-spua] pre-shared-key cipher Huawei@1234
[RouterB-ike-peer-spua] quit

  5. 分别在RouterA和RouterB上创建安全框架

    # 在RouterA上配置安全框架。

    [RouterA] ipsec profile profile1
[RouterA-ipsec-profile-profile1] proposal tran1
[RouterA-ipsec-profile-profile1] ike-peer spub
[RouterA-ipsec-profile-profile1] quit

    # 在RouterB上配置安全框架。

    [RouterB] ipsec profile profile1
[RouterB-ipsec-profile-profile1] proposal tran1
[RouterB-ipsec-profile-profile1] ike-peer spua
[RouterB-ipsec-profile-profile1] quit

  6. 分别在RouterA和RouterB的接口上应用各自的安全框架

    # 在RouterA的接口上引用安全框架。

    [RouterA] interface tunnel 0/0/0
[RouterA-Tunnel0/0/0] ipsec profile profile1
[RouterA-Tunnel0/0/0] quit

    # 在RouterB的接口上引用安全框架。

    [RouterB] interface tunnel 0/0/0
[RouterB-Tunnel0/0/0] ipsec profile profile1
[RouterB-Tunnel0/0/0] quit

    # 此时在RouterA和RouterB上执行display ipsec profile会显示所配置的信息。

  7. 配置Tunnel接口的转发路由，将需要IPSec保护的数据流引到Tunnel接口

    # 在RouterA上配置Tunnel接口的转发路由。

    [RouterA] ip route-static 10.1.2.0 255.255.255.0 tunnel 0/0/0

    # 在RouterB上配置Tunnel接口的转发路由。

    [RouterB] ip route-static 10.1.1.0 255.255.255.0 tunnel 0/0/0

  8. 检查配置结果

    # 配置成功后，分别在RouterA和RouterB上执行display ike sa会显示所配置的信息，以RouterA为例。

    [RouterA] display ike sa
IKE SA information :
   Conn-ID   Peer                VPN   Flag(s)   Phase   RemoteType  RemoteID
  --------------------------------------------------------------------------------
   16        2.1.1.1:500               RD|ST     v1:2    IP          2.1.1.1
   14        2.1.1.1:500               RD|ST     v1:1    IP          2.1.1.1
                                               
   Number of IKE SA : 2
  --------------------------------------------------------------------------------
  RD--READY   ST--STAYALIVE   RL--REPLACED   FD--FADING   TO--TIMEOUT
  HRT--HEARTBEAT   LKG--LAST KNOWN GOOD SEQ NO.   BCK--BACKED UP
  M--ACTIVE   S--STANDBY   A--ALONE  NEG--NEGOTIATING
周三叁
关注
  • 1
    点赞
  • 踩
  • 6
    收藏
    觉得还不错? 一键收藏
  • 打赏
    打赏
  • 0
    评论
华为 GRE常见故障处理
03-31
本文针对GRE常见的故障，说明故障处理流程和详细的故障处理步骤。 主要包含内容：GRE简介、了解GRE、GRE隧道不Up故障定位、GRE不通故障定位、故障总结等。
虚拟隧道接口建立GRE over IPSec配置
08-31
虚拟隧道接口建立GRE over IPSec配置
GRE over IPSec 隧道配置案例
最新发布
2401_84264096的博客
05-16 330
通过GRE隧道的hello包没有加密无安全性。青海分部IP地址、DHCP、NAT、路由。上海总部IP地址、DHCP、NAT、路由。OSPF邻居建立成功。
虚拟隧道接口建立GRE over IPSec
weixin_46738835的博客
08-31 302
GRE隧道特点： 1、GRE报头包含一个协议类型字段，因此可通过隧道传输任意第3层协议的数据。 2、GRE会带来额外开销，每个分组至少24字节 3、GRE不提供任何安全机制。 4、GRE是无状态的，也没有流量控制机制。 GRE over IPSec配置 配置IP地址和全网互通，不在讲述 分别在RouterA和RouterB上配置GRE隧道 RouterA RouterB **检查GRE是否建立 配置IPSec，RouterB和RouterA一样 将安全策略应用到tunnel接口 测试最终结果
Cisco GRE Over IPSec配置
weixin_33961829的博客
11-27 166
R1 interface tunnel 0 tunnel source serial0/0/0 tunnel destination 61.0.0.4 ip address 172.16.14.1 255.255.255.0 tunnel key 123456 exit ip route 0.0.0.0 0.0.0.0 serial ...
cisco GRE Over Ipsec 配置
weixin_33721427的博客
06-19 338
cisco GRE Over Ipsec配置1.config tunnel2.config crypto isakmp policy3.config crypto keyring4.config crypto isakmp profile5.config interesting traffic6.config crypto map7.network route...
cisco gre over ipsec详细配置
weixin_34220179的博客
04-23 1060
Cisco GRE OVER IPSEC详细配置 网络环境： A公司总部路由器R1需要与分支机构R3通信，由于总部有很多不同服务器网段，而分支机构也有一些部门要访问这些服务器，则考虑两路由器之间跑动态路由协议EIGRP，由于IPSEC本身不支持动态路由协议，所以考虑使用GRE隧道，由于GRE本身采用明文传递数据，不能对数据提供安全措施，所以采用IPSEC加密GRE隧道提...
配置虚拟隧道接口建立GRE over IPSec隧道示例.zip
03-27
ensp配置虚拟隧道接口建立GRE over IPSec隧道示例
gre.rar_GRE_Over
09-24
在Linux系统中，可以使用`ip`命令行工具或者网络配置接口来设置GRE隧道。 7. **安全考虑**：虽然GRE提供了一种灵活的网络互连方式，但它本身并不提供安全性。为了保护GRE隧道，通常需要配合其他安全措施，如IPSec...
遂宁职业高级玩法跳过运行商gre_over_ipsec
03-17
通常，这个文件包含了设备的接口设置、路由策略、安全策略和GRE/IPSec隧道配置等信息。要解读并应用这些配置，我们需要理解以下知识点： 1. **华为CLI语法**：包括如何通过命令行界面输入配置指令，如开启接口、...
【思科】GRE Over IPsec 实验配置
2301_77161465的博客
01-28 1654
GRE over IPSec可利用GRE和IPSec的优势，通过GRE将组播、广播和非IP报文封装成普通的IP报文通过IPSec为封装后的IP报文提供安全地通信，进而可以提供在总部和分支之间安全地传送广播、组播的业务，例如动态路由协议消息等。就是将GRE的优点和IPsec的优点相结合因为GRE能够传输组播、广播等数据，但对数据的传输是不进行加密的，在不安全的公网上面相当于裸奔啦。而咱们的IPsec 是可以对数据进行加密和认证的，但是不支持传输组播、广播等数据，就是会有一些弊端。
Cisco GRE OVER IPsec ××× 典型配置
weixin_33717298的博客
03-04 227
tunnel + ***R1=================================================================enableconf tnoip domain-lookupline 0no exec-timeout logging synchronousexithost R1in f0/0ip add 170.58.12.1 25...
k8s学习-StatefulSet（模板、更新、扩缩容、删除等）_statefulset模板
2401_84281594的博客
05-02 539
name: web。
GRE Over IPSEC配置
耶锋的博客
05-02 193
crypto ipsec transform-set ts esp-3des esp-sha-hmac //配置转换集。ip access-list extended ipsec-acl-1 //通过acl配置感兴趣流量。crypto map map-1 10 ipsec-isakmp //配置加密图。match address ipsec-acl-1 //感兴趣流量。interface Ethernet0/1 //在物理接口应用加密图。set transform-set ts //转换集。
GRE over IPsec VPN配置
傻傻的心动的博客
06-19 2061
GRE over IPsec VPN配置
GRE over IPSec
BJH23的博客
09-04 4076
IPSec也可以建Vpn隧道但是因为上边不能跑组播那么就意味着不能跑动态路由协议所以在现网中几乎没有单独用IPSec做Vpn的于是其他更加灵活的Vpn协议结合IPSec-----GREoverIPSec、L2TPoverIPSec就应运而生了GRE over IPSec 最简单理解就是GRE管怎么将数据传给接受者，IPSec管安全、加密、身份验证之类的部分，这两个结合就是GRE over IPSec 而中间over的意思就是。
HuaWei ❀ 配置GRE Over IPSec传输组播数据
无糖可乐没有灵魂
04-30 461
配置GRE Over IPSec传输组播数据 如下图所示，R1与R3之间传输组播数据，并要求对数据进行IPSec加密； 配置接口IP地址： [r1]int g0/0/0 [r1-GigabitEthernet0/0/0]ip address 12.1.1.1 24 配置RIP协议： [r1]rip 1 [r1-rip-1]version 2 [r1-rip-1]network 1...
GRE over IPSEC
ikaros_fire的博客
10-17 3678
前提：路由可达，相互可通信。 GRE提供通道，IPSEC保护通道数据。 GRE over IPSEC与IPSEC over GRE 哪个好？肯定是前者。 在R2与R4之间建立tunnel，ipsec为tunnel数据加密，即GRE over IPSEC 起接口IP规则依旧是老样子：R1-R2,那么就是12.1.1.1-12.1.1.2，其余类似。 R2配置如下： R2#sh run Buildi...
l2tp over ipsec配置的大概思路
qq_47529104的博客
04-09 1757
l2tp over ipsec的大概思路 先配置l2tp的内容，然后再正常地建立ipsec隧道，将创建后地ipsec policy挂在l2tp隧道的接口上。如果是client发起的,且使用的就是l2tp over ipsec那么从一开始就会在client发出相关请求报文就会包括l2tp隧道建立以及ipsec隧道的建立。如果是NAS发起的，那么pppoe的客户端所有的流量都是先到NAS，然后NAS再将这些流量通过l2tp隧道将流量转发给防火墙，也就是l2tp隧道的对端，那么针对这种网络场景，ipsec的隧道
IPsec Over GRE与GRE Over IPsec的比较
07-23
IPsec Over GRE（IPsec在GRE上）和GRE Over IPsec（GRE在IPsec上）是两种不同的组合方式，用于在广域网中提供加密和隧道功能。 IPsec Over GRE是指在GRE隧道中使用IPsec加密和身份验证的方式。它将GRE数据包封装在IPsec数据包中，以实现数据的安全传输。这种方式可以提供端到端的加密和认证，保护数据的机密性和完整性。然而，由于IPsec的额外开销，会增加数据包的大小和传输延迟。 GRE Over IPsec是指在IPsec隧道中使用GRE封装的方式。它将IPsec数据包封装在GRE数据包中，以实现数据的封装和隧道功能。这种方式可以提供更高的灵活性和可扩展性，因为GRE可以支持多个协议和多个隧道。然而，由于GRE的额外开销，会增加数据包的大小和传输延迟。 比较这两种方式时，需要考虑具体的应用场景和需求。如果对数据的加密和认证有较高要求，并且可以容忍一定的传输延迟，那么IPsec Over GRE可能是一个合适的选择。如果对灵活性和可扩展性有较高要求，并且可以容忍一定的数据包大小增加，那么GRE Over IPsec可能更合适。 综上所述，选择IPsec Over GRE还是GRE Over IPsec取决于具体需求和权衡。在实际应用中，需要综合考虑安全性、性能、灵活性和可扩展性等因素，并进行适当的配置和测试。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

周三叁

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值