网络工程师如何在Cisco路由器上配置GRE Over IPsec

我之前分享过在eve模拟器环境中使用思科路由器手动配置IPsec V-P-N，但现实中很多情况下两边的站点都不是各只有一个网段，可能会有很多网段

但是，通过IPsec V-P-N在站点之间互连时，存在没有虚拟隧道接口，无法执行动态路由协议的问题。

例如，你不能在OSPF的两边做邻居。

因此，以下龙哥通过共享GRE over IPsec V-P-N的配置示例，可以知道这个问题是如何解决的。

另一方面，需要解决拓扑图2、需求(目的) 1、以及两个站点之间的动态路由协议，并且能够学习端到端的路由。

2、需要解决安全问题。 使用GRE是不安全的(明文)，因此需要进一步在GRE下运行IPsec V-P-N来解决安全问题。

3、配置思路1、构建拓扑图环境，显示计划的IP地址。

2、修改网络设备的默认名称，设定IP地址。

3、配置分公司和总公司网关设备的路由，使之互通。

4、放置GRE (在此使用默认路由)，创建虚拟隧道端口，放置隧道端口的IP地址。

5、配置R1、R3的路由器id、OSPF路由协议。

6、利用ACL构建IPsec感兴趣的流。

7、配置IPsec (这里使用ike )。

8、在出局接口下调用IPsec策略。

4、部署流程01、构建拓扑图环境，显示规划的IP地址。

有关eve模拟器如何添加设备的信息，请参阅我过去的文章：

用手教eve-ng模拟器的安装，周游网络技术的世界！ mp.weixin.qq.com02修改网络设备的默认名称，设定IP地址。

R1配置(分支机构的网关设备) ) ) ) )。

R2 )模拟互联网() )。

R3 )模拟总公司) ) ) ) ) )。

03、配置分公司和总公司网关设备的路由，使之互通。

分支机构的网关和总部的网关设备必须能够通信。 想想看。 在现网上只要接入运营商的网络，就可以连接到公共网络。 两个网站一定可以进行ping通信。

因此在本实验中，使用默认路由来实现两端网关设备的互操作问题。

在R1上配置默认路由：在R1(config ) IProute0.0.0.0.0) 12.1.1.2R3上配置默认路由： R3 ) config ) IP route 0.0.0

04、部署GRE，创建虚拟隧道端口，部署隧道端口的IP地址。

在两个站点之间的网关设备上分别创建GRE的隧道接口，并配置同一网段的IP地址。 在R1上配置GRE。

在R3上配置GRE :

配置GRE后，请尝试测试R1和R3上的虚拟隧道接口连接。 (现在，这些就像直接连接。

）

05、R1、R3的路由器id、OSPF路由协议R1的构成如下。

R3配置如下：

现在，我们来看看OSPF邻居的状态吧？ 然后，你学习了对方的路由吗？

R1学习了总部的路线：

R3学习了分公司的路线：

现在，让我们看一下tunnel端口shutdown，在网关上走出接口，抓住包。 ()在这里抓包，龙哥的目的是配置IPsec V-P-N后进行比较) )。

同时，我还再次学习了GRE的协议号码是47。

您可以看到GRE外部的IP使用了网关接口的IP地址。

06、利用ACL构建IPsec感兴趣的流。 现在，在两侧的网站上跑OSPF的是GRE，普通的业务数据也用GRE封装。

因此，接下来，可以将感兴趣的流进行布置以使GRE的业务相匹配。

在R1上配置GRE感兴趣的流：

在R3上配置GRE感兴趣的流：

07、配置IPsec (这里使用ike ) ) ) )。

08、在出局接口下调用IPsec策略。

R1(config ) intE0/0R1 ) config-if ) #crypto map R1toR3R1) config ) intE0/0R1 ) cryptomapr1tor3变为IPsec

我的包一直开着，所以接下来，我会直接在R1拿着源地址ping总部地址，然后看消息。

从消息的角度来看，可以看到ICMP消息已经用ESP协议封装，也就是说用IPsec加密，无法看到内容。

另外，两边网站的OSPF定期发送的hello消息也被加密了，因为我们看不到真正的内容，所以提高了安全性。

让我们配置IPsec，看看OSPF的邻居，Full的。

顺便也验证一下其他网段的连接性吧。 ((都没问题) ) )。

读了这次的文章你有收获了吗？