用Mikrotik Router搭建GRE over IPSec 备用链路

最新推荐文章于 2025-03-30 00:00:00 发布

weixin_34121282

最新推荐文章于 2025-03-30 00:00:00 发布

阅读量1.4k

点赞数

CC 4.0 BY-SA版权

文章标签：网络

原文链接：https://yq.aliyun.com/articles/548133

本文详细介绍了如何利用Mikrotik RouterOS搭建GRE over IPSec备用链路，以确保在全球多地业务的网络冗余和故障切换。通过配置GRE隧道和IPSec加密，实现路由协议的互联，并通过OSPF进行路径选择。测试结果显示，当主链路GPN中断时，网络能自动切换到GRE备用链路，并在主链路恢复后自动回切。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

公司在国内、日本、美国、德国、新加坡等多地均有业务，中间业务网络用的公司专有GPN(Global Private Network中文名是全球私有化网络）链路，目前测试搭建一条备用链路，用于网络冗余和故障切换。

初步选用方案GRE over IPSec，跑ospf路由协议。

一、为何要选GRE over IPSec：

各个site网络比较多，需要使用路由协议进行互联；
IPSEC不支持组播，即不能传递路由协议，在承载路由协议上不如GRE隧道方便；
GRE隧道不能提供加密保障；
使用GRE在两个网关之间搭建一个隧道，运行路由协议及传输正常数据，使用IPSec对整个GRE隧道进行加密，因此需要把两者进行结合。

二、测试环境：

以中国、日本、美国三地为例，基本网络拓扑如下图，用Mikrotik RouterOS（简称ROS）做路由器和防火墙，中间跑ospf协议。GPN链路就相当于一个大二层，能够把中日美三地打通，相当于专线，因此在网络质量上优于直接走大网，做业务主线，这里不多写；主要写一下如何配置GRE链路实现备用链路功能，在GPN链路中断的时候能够自动切换到备线。

routeros上配置外网：

中国：101.251.x.x

日本：205.177.x.x

美国：38.83.x.x

三地的内网地址：

中国：10.13.24.0/22

日本：10.13.4.0/22

美国：10.13.12.0/22

三地互联地址(用10.13.253.0/24段做互联地址段)：

中国和日本：10.13.253.0/30

日本和美国：10.13.253.16/30

美国和中国：10.13.253.4/30

GPN链路网段：

10.13.252.0/24

三、配置

1、三个ros的interface（ether1/2/3分别对应着外网/内网/GPN网络）：

2、IPSec配置

中国：

 
         /ip  
         ipsec peer 
        
         add address=205.177.x.x 
         /32 
         :500 comment= 
         "JP Link"  
         auth-method=pre-shared-key secret= 
         "mypassword" 
        
         generate-policy=no exchange-mode=main send-initial-contact= 
         yes 
        
         nat-traversal=no proposal-check=obey  
         hash 
         -algorithm=sha1 
        
         enc-algorithm=3des dh-group=modp1024 lifetime=1d lifebytes=0 
        
         dpd-interval=disable-dpd dpd-maximum-failures=5 
        
         add address=38.83.x.x 
         /32 
         :500 comment=  
         "USALink"  
         auth-method=pre-shared-key secret= 
         "mypassword" 
        
         generate-policy=no exchange-mode=main send-initial-contact= 
         yes 
        
         nat-traversal=no proposal-check=obey  
         hash 
         -algorithm=sha1 
        
         enc-algorithm=3des dh-group=modp1024 lifetime=1d lifebytes=0 
        
         dpd-interval=disable-dpd dpd-maximum-failures=5 
        
         /ip  
         ipsec policy 
        
         add src-address=101.251.x.x 
         /32 
         :any dst-address=205.177.x.x 
         /32 
         :any 
        
         protocol=all action=encrypt level=require ipsec-protocols=esp tunnel= 
         yes 
        
         sa-src-address=101.251.x.x sa-dst-address=205.177.x.x proposal=default  
        
         priority=0 
        
         add src-address=101.251.x.x 
         /32 
         :any dst-address=38.83.x.x 
         /32 
         :any 
        
         protocol=all action=encrypt level=require ipsec-protocols=esp tunnel= 
         yes 
        
         sa-src-address=101.251.x.x sa-dst-address=38.83.x.x proposal=default  
        
         priority=0