CCNP实验GRE隧道流量的IPSEC加密.docVIP

CCNP实验GRE隧道流量的IPSEC加密 CCNP实验GRE隧道流量的IPSEC加密 PAGE / NUMPAGES CCNP实验GRE隧道流量的IPSEC加密 CCNP实验 GRE隧道流量的 IPSEC加密 由于 IPSEC 只支持对单播流量的加密， 所以我们使用 GRE隧道可以将广播、 组播包封装在一个单播包中，再用 IPSEC 进行加密。 在进行 IPSEC 配置前应首先配置好 GRE隧道，下面是 R1 上的 GRE隧道配置： R1： interface tunnel0 tunnel source s1/1 exit interface s1/1 ip access-group perimeter in exit interface lo0 exit ! 在这里我将总公司内部的骨干网络设为 Area0, 隧道部分和分公司内部网络设为 Area1 router ospf 1 network 192.168.1.0 0.0.0.255 area 0 network 192.168.3.0 0.0.0.255 area 1 exit ip access-list extended perimeter permit udp host 192.1.1.20 host 192.1.1.40 eq 500 deny ip any any exit R2： interface tunnel0 tunnel source s1/0 exit interface s1/0 ip access-group perimeter in exit interface lo0 exit router ospf 1 network 192.168.2.0 0.0.0.255 area 1 network 192.168.3.0 0.0.0.255 area 1 exit ip access-list extended perimeter permit udp host 192.1.1.40 host 192.1.1.20 eq 500 deny ip any any exit GRE隧道建立好后，就可以进行 IPSEC 配置了： R1 上的配置： crypto isakmp enable crypto isakmp identity address crypto isakmp policy 10 encryption aes authentication pre-share group 2 hash sha exit crypto isakmp key cisco123 address 192.1.1.20 no-xauth !IPSEC 只对进入 GRE隧道的流量进行加密 ip access-list extended ToR2 exit 这里的 GRE隧道是点对点模式的，所以传输集应使用传输模式 crypto ipsec transform-set trans esp-aes esp-sha-hmac mode transport exit crypto map mymap 10 ipsec-isakmp match address ToR2 set transform-set trans exit interface s1/1 crypto map mymap exit 最后别忘记删除 测试 隧道时建立的流量： ip access-list extended perimeter R2 上的配置： crypto isakmp enable crypto isakmp identity address crypto isakmp policy 10 encryption aes authentication pre-share group 2 hash sha exit crypto isakmp key cisco123 address 192.1.1.40 no-xauth ip access-list extended ToR1 exit crypto ipsec transform-set trans esp-aes esp-sha-hmac mode transport exit crypto map mymap 10 ipsec-isakmp match address ToR1 set transform-set trans exit interface s1/0 crypto map mymap exit ip access-list extended perimeter 测试实验结果： r1#sh ip route Codes: C - connected, S - static, R - RIP, M - mobile,