H3C GRE OVER IPSEC配置

1、H3C GRE OVER IPSEC配置网络拓扑如下1、公司A端路由器配置#/定义需要保护的安全数据流acl number 3000rule 10 permit ip source 12.12.12.1 0 destination 23.23.23.3 0#/定义IKE对等体ike peer to_rtb/使用预设口令身份验证pre-shared-key 123/对等体的IP地址remote-address 23.23.23.3#/定义IPSec提议ipsec proposal to_rtb （注：使用默认值：隧道模式、MD5认证、DES加密）#/定义IPSec策略，协商方式为isakmp，即

2、使用IKE协商ipsec policy to_rtb 1 isakmp/定义需要加密传送的ACLsecurity acl 3000/选择使用的IKE对等体ike-peer to_rtb/选择安全策略proposal to_rtb#interface Ethernet0/0port link-mode routedescription WANip address 12.12.12.1 255.255.255.0/将安全策略绑定在端口下ipsec policy to_rtb#interface Ethernet0/1port link-mode routedescription LANip add

3、ress 192.168.1.1 255.255.255.0#/定义GRE隧道interface Tunnel0ip address 10.0.0.1 255.255.255.252/指定隧道的源source 12.12.12.1/指定隧道的目的destination 23.23.23.3#/定义默认路由ip route-static 0.0.0.0 0.0.0.0 12.12.12.2/定义静态路由，可以使用动态路由代替ip route-static 192.168.2.0 255.255.255.0 Tunnel02、公司B端路由器配置#/定义需要保护的安全数据流acl number 30

4、00rule 10 permit ip source 23.23.23.3 0 destination 12.12.12.1 0#/定义IKE对等体ike peer to_rta/使用预设口令身份验证pre-shared-key 123/对等体的IP地址remote-address 12.12.12.1#/定义IPSec提议ipsec proposal to_rta （注：使用默认值：隧道模式、MD5认证、DES加密）#/定义IPSec策略，协商方式为isakmp，即使用IKE协商ipsec policy to_rta 1 isakmp/定义需要加密传送的ACLsecurity acl 300

5、0/选择使用的IKE对等体ike-peer to_rta/选择安全策略proposal to_rta#interface Ethernet0/0port link-mode routedescription WANip address 23.23.23.1 255.255.255.0/将安全策略绑定在端口下ipsec policy to_rta#interface Ethernet0/1port link-mode routedescription LANip address 192.168.2.1 255.255.255.0#/定义GRE隧道interface Tunnel0ip addre

6、ss 10.0.0.2 255.255.255.252/指定隧道的源source 12.12.12.1/指定隧道的目的destination 23.23.23.3#/定义默认路由ip route-static 0.0.0.0 0.0.0.0 23.23.23.2/定义静态路由，可以使用动态路由代替ip route-static 192.168.1.0 255.255.255.0 Tunnel0配置完成后先在两边的任意一台路由器上ping一下对端，假设在公司A上PING对端，使用ping -a 192.168.1.1 192.168.2.1然后通过display ike sa和display ip