GRE over IPSEC-VPN实验.doc

思科模拟器:GRE over IPSEC-VPN实验 时间：2011-06-21　来源：未知 作者：蓝梦野百合 GRE over IPSEC-VPN则是通过GRE通用路由封装协议来建立一个非安全的隧道去传递私网路由，而且GRE支持组播协议，所以也就支持动态路由协议。但GRE的安全性就需要IPSEC去保证了，而IPSEC可悲的是又不支持组播，除非用到其它诸如VTI的一些技术了。所以自然而然，人们就想到GRE overIPSEC的VPN去安全的传递内网数据。 Top: ? ? 配置： 解法：首先呢，配置好GRE隧道，然后再配置IPSEC-VPN，隧道模式选传输模式就可以了，因为GRE已经封装了公网的IP了，就不需要再新添IP报头了，因为我们的GRE隧道的建立是通过默认路由来建立的，所以对于VPN路由器如何建立好IPSEC-VPN可以有两种配置：1，静态路由，2，动态路由。 一：利用静态路由指向vpnb/vpna出口为gre tunnel0口。 R1: ? ? R1#show run hostname R1 ip cef crypto isakmp policy 1 ?encr 3des ?authentication pre-share ?group 2 crypto isakmp key cisco address 192.168.23.2 ! ! crypto ipsec transform-set myset esp-3des esp-sha-hmac ?mode transport//指明为IPSEC-VPN模式为传输模式。 ! crypto map map 1 ipsec-isakmp ?set peer 192.168.23.2 ?set transform-set myset ?match address 101 ????? interface Loopback0//模拟VPN内网 ?ip address 1.1.1.1 255.255.255.0 ! interface Tunnel0 ?ip address 10.1.1.1 255.255.255.0//指明隧道地址与对端的IP同处于一个网络里 ?tunnel source FastEthernet0/0//指明隧道源 ?tunnel destination 192.168.23.2/指明隧道目的 ?tunnel key 520 //用来验证GRE隧道 ! interface FastEthernet0/0 ?ip address 192.168.12.1 255.255.255.0 crypto map map ! ip route 0.0.0.0 0.0.0.0 FastEthernet0/0 /默认路由可以用来建立GRE tunnel，而后续组播的应用也是基于它的如动态路由协议。 ip route 3.3.3.3 255.255.255.255 Tunnel0 //指定VPN流量的出口 logging alarm informational access-list 101 permit gre host 192.168.12.1 host 192.168.23.2//定义感兴趣流，由于VPN流量需要经过GRE tunnel0之后再经过实际物理口FA0/0出去，显然到fa0/0时，GRE封装已完成，且IP地址也为192.168.12.1,192.168.23.2故VPN隧道模式为传输模式。 R2： interface FastEthernet0/0 ?ip address 192.168.12.2 255.255.255.0 ?duplex auto ?speed auto ! interface FastEthernet0/1 ?ip address 192.168.23.1 255.255.255.0 ?duplex auto ?speed auto ? R3： ? R3#show run hostname R3 ! ip cef ! crypto isakmp policy 1 ?encr 3des ?authentication pre-share ?group 2 crypto isakmp key cisco address 192.168.12.1 ! ! crypto ipsec transform-set myset esp-3des esp-sha-hmac 爉ode transport ! crypto map map 1 ipsec-isakmp 爏et peer 192.168.12.1 爏et transform-set myset 爉atch address 101 !牋牋牋牋 interface Loopback0 爄p