《计算机网络安全防护技术（第二版）》 课件 第4章 任务4.2.1 配置GRE Over IPSec

第4章虚拟专用网技术编著：

秦燊劳翠金

任务4.2.1配置GREOverIPSec任务4.2配置GREOverIPSec和SVTIVPN

IPSECVPN通过校验算法、验证算法和加密算法确保了数据在公网上传输时的安全性，但IOS12.4之前版本的IPSEC，无法使用虚拟隧道接口技术，难以很好的支持组播和路由协议等IP协议族中的协议，只适用于简单的网络环境。

GRE（GenericRoutingEncapsulation，通用路由封装），是一种通用的封装协议，采用的虚拟隧道接口，可以支持组播、广播和路由等协议，实现任意一种网络层协议在另一种网络层协议上的封装。但是GRE不能确保数据的私密性、完整性和源认证。

将IPSEC和GRE结合起来，综合了两者的优点，既能保证数据的安全性，又可以支持组播、广播，可以配置动态路由协议以及配置ACL、QoS等对数据流进行控制。

IOS12.4之后全新的虚拟隧道接口（VirtualTunnelInterface，VTI）技术不再需要依托GRE，可直接使用IPSec建立隧道接口，并且比GREOverIPSec少了4个字节的GRE头部。VTI技术分为SVTI(静态VTI)和动态VTI（DVTI），其中SVTI可用于替换传统的静态cryptomap配置，用于站点到站点的VPN。

本节将分别介绍GREOverIPSec和SVTIVPN的配置。任务4.2.1配置GREOVERIPSec如图4-2-1所示，打开EVE-NG，搭建实验拓扑。图4-2-1GREOverIPSec和SVTIVPN实验拓扑图一、基础配置：VPCS1>ip192.168.1.1255.255.255.01.1.1.254R1(config)#intg0/1R1(config-if)#ipadd192.168.1.254255.255.255.0R1(config-if)#noshuR1(config-if)#intg0/0R1(config-if)#ipadd192.168.2.1255.255.255.0R1(config-if)#noshuR2(config)#intg0/0R2(config-if)#ipadd192.168.2.2255.255.255.0R2(config-if)#noshuR2(config-if)#intg0/1R2(config-if)#ipadd200.1.1.1255.255.255.0R2(config-if)#noshuR3(config)#intg0/1R3(config-if)#ipadd200.1.1.2255.255.255.0R3(config-if)#noshuR3(config-if)#intg0/0R3(config-if)#ipadd200.2.2.1255.255.255.0R3(config-if)#noshuR4(config)#intg0/0R4(config-if)#ipadd200.2.2.2255.255.255.0R4(config-if)#noshuR4(config-if)#intg0/1R4(config-if)#ipadd192.168.3.254255.255.255.0R4(config-if)#noshuVPCS2>ip192.168.3.1255.255.255.0192.168.3.254配置Internet路由：R2(config)#iproute200.2.2.0255.255.255.0200.1.1.2R4(config)#iproute200.1.1.0255.255.255.0200.2.2.1二、配置GREoveripsec配置GREoveripsec与配置IPSECVPN类似，需要配置cryptoisakmp策略、ipsec转换集、感兴趣流、cryptomap（含对等体等）。要注意的是，感兴趣流的配置是“permitgrehost200.1.1.1host200.2.2.2”，匹配的是gre流量，不是ip流量；源、目地址匹配的是公网地址，不是私网地址。配置R2的tunnel0：R2(config)#inttunnel0R2(config-if)#ipadd192.168.4.1255.255.255.0R2(config-if)#tunnelsource200.1.1.1R2(config-if)#tunneldestination200.2.2.2配置R4的tunnel0：R4(config)#inttunnel0R4(config-if)#ipadd192.168.4.2255.255.255.0R4(config-if)#tunnelsource200.2.2.2R4(config-if)#tunneldestination200.1.1.1在R4上运行ping测试：R4#ping192.168.4.1//能成功ping通在R2上，配置GREoveripsec：R2(config)#cryptoisakmppolicy10R2(config-isakmp)#encryptionaesR2(config-isakmp)#hashsha512R2(config-isakmp)#authenticationpre-shareR2(config-isakmp)#group2R2(config-isakmp)#exitR2(config)#cryptoisakmpkeyciscoaddress200.2.2.2R2(config)#ipaccess-listextendedvpnacl1R2(config-ext-nacl)#permitgrehost200.1.1.1host200.2.2.2R2(config-ext-nacl)#exitR2(config)#cryptoipsectransform-settrans1esp-aesesp-sha512-hmacR2(cfg-crypto-trans)#exitR2(config)#cryptomapcrymap110ipsec-isakmpR2(config-crypto-map)#matchaddressvpnacl1R2(config-crypto-map)#setpeer200.2.2.2R2(config-crypto-map)#settransform-settrans1R2(config-crypto-map)#exitR2(config)#intg0/1R2(config-if)#cryptomapcrymap1

R4上，配置GREoveripsecR4(config)#cryptoisakmppolicy10R4(config-isakmp)#encryptionaesR4(config-isakmp)#hashsha512R4(config-isakmp)#authenticationpre-shareR4(config-isakmp)#group2R4(config-isakmp)#exitR4(config)#cryptoisakmpkeyciscoaddress200.1.1.1R4(config)#ipaccess-listextendedvpnacl1R4(config-ext-nacl)#permitgrehost200.2.2.2host200.1.1.1R4(config-ext-nacl)#exitR4(config)#cryptoipsectransform-settrans1esp-aesesp-sha512-hmacR4(cfg-crypto-trans)#exitR4(config)#cryptomapcrymap110ipsec-isakmpR4(config-crypto-map)#matchaddressvpnacl1R4(config-crypto-map)#setpeer200.1.1.1R4(config-crypto-map)#settransform-settrans1R4(config-crypto-map)#exitR4(config)#intg0/0R4(config-if)#cryptomapcrymap1三、为私网配置动态路由：R1(config)#routerospf1R1(config-router)#network192.168.1.00.0.0.255area0R1(config-router)#network192.168.2.00.0.0.255area0R2(config)#routerospf1R2(config-router)#network192.168.2.00.0.0.255area0R2(config-router)#netw