IPsecOverGRE

IPsecOverGRE

  图示

  说明：通过IPsec Over GRE 保护loopback100网段的网络，IPsec Over GRE就是走GRE隧道用IPsec加密。GRE本身可以让两内部网络通信，但是没有加密。R1公网接口为f0/0

R3的公网接口为f0/1.

 R1配置

crypto isakmp policy 10  encr 3des  hash md5  authentication pre-share  group 2 crypto isakmp key cisco address 3.3.3.3 255.255.255.0 crypto isakmp key cisco address 23.23.23.2 255.255.255.0 ! ! crypto ipsec transform-set VPNSET esp-3des esp-md5-hmac ! crypto map VPNMAP local-address Loopback100      //必须要写 crypto map VPNMAP 10 ipsec-isakmp  set peer 3.3.3.3                               //peer为环回口  set transform-set VPNSET  match address VPNACL ! ! interface Tunnel0　　　　　　　　　　　　　　　//GRE配置  ip address 192.168.1.1 255.255.255.0  tunnel source FastEthernet0/0  tunnel destination 23.23.23.2  crypto map VPNMAP                         //在tunnel口加密 ! router eigrp 100  network 1.1.1.0 0.0.0.255  network 172.16.1.0 0.0.0.255  network 192.168.1.0  no auto-summary ! ip route 0.0.0.0 0.0.0.0 12.12.12.2 ! ip access-list extended VPNACL  permit ip 172.16.1.0 0.0.0.255 172.16.2.0 0.0.0.255 !

 R1路由

uIPsecOverGRE封装过程

当172.16.1.1 ping 172.16.2.1时，首先查找路由表，发现下一跳路由是192.168.1.2，本地的出口为Tunnel0口。所以把数据包由tunnel0转发，当转发时，有一条crypto map VPNMAP加密映射图，VPNMAP中的感兴趣流量中VPNACL正好匹配了172.16.1.1 到172.16.2.1，所以要用ESP保护流量。对该数据包进行重新封装，添加新的源IP（1.1.1.1）和目的IP（3.3.3.3）. 再有tunnel口通过GRE出去。GRE的源IP为12.12.12.1，目的为3.3.3.3.再次查看路由再由物理口出去。下图是封装格式：

u  R3配置

crypto isakmp policy 10  encr 3des  hash md5  authentication pre-share  group 2 crypto isakmp key cisco address 1.1.1.1 255.255.255.0 crypto isakmp key cisco address 12.12.12.1 255.255.255.0  //可以不配置 ! ! crypto ipsec transform-set VPNSET esp-3des esp-md5-hmac ! crypto map VPNMAP local-address Loopback100      //必须要写 crypto map VPNMAP 10 ipsec-isakmp  set peer 1.1.1.1                               //peer为环回口  set transform-set VPNSET  match address VPNACL ! ! interface Tunnel0　　　　　　　　　　　　　　　//GRE配置  ip address 192.168.1.2 255.255.255.0  tunnel source FastEthernet0/1  tunnel destination 12.12.12.1  crypto map VPNMAP                         //在环回口加密 ! router eigrp 100  network 3.3.3.0 0 0.0.0.255  network 172.16.2.0 0.0.0.255  network 192.168.1.0  no auto-summary ! ip route 0.0.0.0 0.0.0.0 23.32.23.1 ! ip access-list extended VPNACL  permit ip 172.16.2.0 0.0.0.255 172.16.1.0 0.0.0.255 !

 

 

转载于:https://www.cnblogs.com/houzhiqing/archive/2012/09/05/5289421.html