GRE over IPSec VPN的应用场景与配置

---

前言

GRE（Generic Routing Encapsulation）VPN是一种隧道封装协议，主要用于在公共网络中安全和高效地传输数据。但是它的传输在网络中并不安全，这时我们就需要用到IPSec 与之结合。

---

一、应用场景

可以将多个远程办公地点或分支机构通过互联网安全地连接到公司的核心网络，实现信息的安全传输。

二、实验拓扑

防火墙内部的trust区域，连接防火墙之间的为untrust区域，Tunnel规划为DMZ区域

1.配置缺省包过滤模式

允许路由信息能到达对端防火墙
代码如下（示例）：

firewall packet-filter default permit all 

2.配置tunnel接口用于数据的封装

FW1

代码如下（示例）：

interface Tunnel1
ip address 1.0.12.1 255.255.255.0
tunnel-protocol gre   ##封装类型
source 10.0.12.1      ##本端的公网地址
destination 10.0.12.2 ##对端的公网地址

FW2

interface Tunnel1
ip address 1.0.12.2 255.255.255.0
tunnel-protocol gre 
source 10.0.12.2
destination 10.0.12.1

查看GRE隧道是否建立成功

3.静态路由

把封装的GRE报文引导至tunnel接口
FW1

  ip route-static 192.168.2.0 255.255.254.0 Tunnel1

FW2

 ip route-static 192.168.1.0 255.255.255.0 Tunnel1

4.配置GRE的安全机制

关键字验证：通过Key字段验证对端身份是否可以正常接入

[FW2-Tunnel1]gre key 123456

通过抓包发现Key为1表示启用了关键字验证

校验与认证：对报文携带的校验进行认证，如果符合就进行转发，不符合就丢弃。

[FW2-Tunnel1]gre checksum

keepalive：保活机制，用于检测对端GRE的状态

5.创建IPSec VPN保证报文的安全性和完整性

FW1

acl number 3000
 rule 5 permit ip source 10.0.12.1 0 destination 10.0.12.2 0
#
ike proposal 10
#
ike peer b
 pre-shared-key Text1234556
 ike-proposal 10
#
ipsec proposal 10
#
ipsec policy-template tem1 1
 security acl 3000
 ike-peer b
 proposal 10
#
ipsec policy policy1 1 isakmp template tem1
#

FW2

#
acl number 3000
 rule 5 permit ip source 10.0.12.2 0 destination 10.0.12.1 0
#
ike proposal 10
#
ike peer a
 pre-shared-key Text123456
 ike-proposal 10
 remote-address 10.0.12.1
#
ipsec proposal 10
#
ipsec policy policy1 1 isakmp
 security acl 3000
 ike-peer a
 proposal 10

在上面中我们分别配置了：acl（定义感兴趣流）
IKE安全提议（用于两设备的安全建立SA）、
IKE对等体（建立安全关联（SA）实现安全的点对点通信）、
IPSec安全提议（数据的加密和认证方式）、
IPSec模板（ACL，ike对等体，IPSec安全提议）、
IPSec安全策略（用于关联IPSec模板，ACL，ike对等体，IPSec安全提议）

6.接口下调用IPSec安全策略

FW1

interface GigabitEthernet0/0/0
 ipsec policy policy1

FW2

interface GigabitEthernet0/0/0
 ipsec policy policy1

用PC2去pingPC1查看报文

发现报文已经成功被加密。