H3Cv7版本ipsecovergre配置指导精编版.doc

1、Ipsec over gre 配置RT1 和 RT3 用环回口来模拟私网上的接口。它们的封装方式是先封装 ipsec ，然后在进行 gre 的封装，所以在 ipsec 的 ACL 中要匹配的事两端私网的地址。报文的封装格式：IP 公 |gre|ip头|esp 头 |ip 私 |date|esp尾RT1 的主要配置：进入系统试图system-view配置接口 IPH3Cinterface GigabitEthernet 0/0H3C-GigabitEthernet0/0ip address 10.1.1.1 24创建环回接口：H3C-GigabitEthernet0/0quitH3Cinterf

2、ace LoopBack 0H3C-LoopBack0ip address 192.168.1.1 32创建 Tunnel 口：H3C-LoopBack0quit1H3Cinterface Tunnel 0 mode greH3C-Tunnel0ip address 100.1.1.1 24指定 Tunnel 口源接口地址H3C-Tunnel0source 10.1.1.1指定 Tunnel 口目的端地址H3C-Tunnel0destination 20.1.1.2H3C-Tunnel0 quit创建访问控制列表H3Cacl advanced 3000H3C-acl-ipv4-adv-3000

3、rule 0 permit ip source 192.168.1.1 0.0.0.0 destination 192.168.2.1 0.0.0.0H3C-acl-ipv4-adv-3000quit创建 ipsec 安全提议 tran1H3Cipsec transform-set tran1指定安全协议的工作模式为隧道模式H3C-ipsec-transform-set-tran1encapsulation-mode tunnel选择安全协议为espH3C-ipsec-transform-set-tran1protocol esp加密算法为desH3C-ipsec-transform-set-

4、tran1esp encryption-algorithm des-cbc验证算法为md5H3C-ipsec-transform-set-tran1esp authentication-algorithm md5H3C-ipsec-transform-set-tran1quit配置 ike kaychain ，创建 ike1H3Cike keychain ike1配置对端 tunnel 口的 IP 和使用的预共享秘钥H3C-ike-keychain-ike1pre-shared-key address 100.1.1.2 24 key simple 123H3C-ike-keychain-ik

5、e1quit2创建 ike profile ，名称为 profile1H3Cike profile profile1绑定 ike keychainH3C-ike-profile-profile1keychain ike1配置本地封装的IP 地址H3C-ike-profile-profile1local-identity address 100.1.1.1配置对端封装的IP 地址H3C-ike-profile-profile1match remote identity address 100.1.1.2 24 H3C-ike-profile-profile1quit创建一条 ike 协商方式的i

6、psec 安全策略，序列号为1，名字为 policy1H3Cipsec policy policy1 1 isakmp指定引用 ACL3000H3C-ipsec-policy-isakmp-policy1-1security acl 3000指定引用的ike profile 为 profile1H3C-ipsec-policy-isakmp-policy1-1ike-profile profile1指定引用的安全协议为tran1H3C-ipsec-policy-isakmp-policy1-1transform-set tran1指定对端隧道地址H3C-ipsec-policy-isakmp-

7、policy1-1remote-address 100.1.1.2H3C-ipsec-policy-isakmp-policy1-1quit进入 Tunnel0H3Cinterface Tunnel0把 ipsec 策略在 Tunnel 口生效H3C-Tunnel0ipsec apply policy policy1在三个路由器之间使用rip 路由协议H3CripH3C-rip-1version 23H3C-rip-1undo summaryH3C-rip-1network 10.1.1.1RT2 的主要配置：system-viewH3Cinterface GigabitEthernet 0/

8、0H3C-GigabitEthernet0/0ip address 10.1.1.2 24H3C-GigabitEthernet0/0quitH3Cinterface GigabitEthernet 0/1H3C-GigabitEthernet0/1 ip address 20.1.1.1 24H3C-GigabitEthernet0/1quit配置 rip 路由协议H3CripH3C-rip-1version 2H3C-rip-1undo summaryH3C-rip-1network 10.1.1.2H3C-rip-1network 20.1.1.1RT3 的主要配置：进入系统试图syst

9、em-view配置接口 IPH3Cinterface GigabitEthernet 0/0H3C-GigabitEthernet0/0ip address 20.1.1.2 24创建环回接口：H3C-GigabitEthernet0/0quitH3Cinterface LoopBack 0H3C-LoopBack0ip address 192.168.2.1 324创建 Tunnel 口：H3C-LoopBack0quitH3Cinterface Tunnel 0 mode greH3C-Tunnel0ip address 100.1.1.1 24指定 Tunnel 口源接口地址H3C-Tu

10、nnel0source 20.1.1.2指定 Tunnel 口目的端地址H3C-Tunnel0destination 10.1.1.1H3C-Tunnel0 quit创建访问控制列表H3Cacl advanced 3000H3C-acl-ipv4-adv-3000rule 0 permit ip source 192.168.2.1 0.0.0.0 destination192.168.1.1 0.0.0.0H3C-acl-ipv4-adv-3000quit创建 ipsec 安全提议 tran1H3Cipsec transform-set tran1指定安全协议的工作模式为隧道模式H3C-ip

11、sec-transform-set-tran1encapsulation-mode tunnel选择安全协议为espH3C-ipsec-transform-set-tran1protocol esp加密算法为desH3C-ipsec-transform-set-tran1esp encryption-algorithm des-cbc验证算法为md5H3C-ipsec-transform-set-tran1esp authentication-algorithm md5H3C-ipsec-transform-set-tran1quit配置 ike kaychain ，创建 ike1H3Cike

12、 keychain ike15配置对端 tunnel 口的 IP 和使用的预共享秘钥H3C-ike-keychain-ike1pre-shared-key address 100.1.1.1 24 key simple 123H3C-ike-keychain-ike1quit创建 ike profile ，名称为 profile1H3Cike profile profile1绑定 ike keychainH3C-ike-profile-profile1keychain ike1配置本地封装的IP 地址H3C-ike-profile-profile1local-identity address

13、100.1.1.2配置对端封装的IP 地址H3C-ike-profile-profile1match remote identity address 100.1.1.1 24 H3C-ike-profile-profile1quit创建一条 ike 协商方式的ipsec 安全策略，序列号为1，名字为 policy1H3Cipsec policy policy1 1 isakmp指定引用 ACL3000H3C-ipsec-policy-isakmp-policy1-1security acl 3000指定引用的ike profile 为 profile1H3C-ipsec-policy-isak

14、mp-policy1-1ike-profile profile1指定引用的安全协议为tran1H3C-ipsec-policy-isakmp-policy1-1transform-set tran1指定对端隧道地址H3C-ipsec-policy-isakmp-policy1-1remote-address 100.1.1.1H3C-ipsec-policy-isakmp-policy1-1quit进入 Tunnel0H3Cinterface Tunnel0把 ipsec 策略在 Tunnel 口生效H3C-Tunnel0ipsec apply policy policy16配置 rip 路由协议H3CripH3C-rip-1version 2H3C-rip-1undo summaryH3C-rip-1network 20.1.1.2测试从 RT1 的环回口来ping RT3 的环回口H3Cping -a 192.168.1.1 192.168.2.1Ping 192.168.2.1 (192.168.2.1) from 192.168.1.1: 56 data bytes, press CTRL_C to breakRequest time out56 bytes from 1