《計(jì)算機(jī)網(wǎng)絡(luò)安全防護(hù)技術(shù)（第二版）》 課件 第4章 任務(wù)4.2.1 配置GRE Over IPSec

第4章虛擬專用網(wǎng)技術(shù)編著：

秦?zé)鰟诖浣?/p>

任務(wù)4.2.1配置GREOverIPSec任務(wù)4.2配置GREOverIPSec和SVTIVPN

IPSECVPN通過校驗(yàn)算法、驗(yàn)證算法和加密算法確保了數(shù)據(jù)在公網(wǎng)上傳輸時(shí)的安全性，但I(xiàn)OS12.4之前版本的IPSEC，無法使用虛擬隧道接口技術(shù)，難以很好的支持組播和路由協(xié)議等IP協(xié)議族中的協(xié)議，只適用于簡單的網(wǎng)絡(luò)環(huán)境。

GRE（GenericRoutingEncapsulation，通用路由封裝），是一種通用的封裝協(xié)議，采用的虛擬隧道接口，可以支持組播、廣播和路由等協(xié)議，實(shí)現(xiàn)任意一種網(wǎng)絡(luò)層協(xié)議在另一種網(wǎng)絡(luò)層協(xié)議上的封裝。但是GRE不能確保數(shù)據(jù)的私密性、完整性和源認(rèn)證。

將IPSEC和GRE結(jié)合起來，綜合了兩者的優(yōu)點(diǎn)，既能保證數(shù)據(jù)的安全性，又可以支持組播、廣播，可以配置動(dòng)態(tài)路由協(xié)議以及配置ACL、QoS等對(duì)數(shù)據(jù)流進(jìn)行控制。

IOS12.4之后全新的虛擬隧道接口（VirtualTunnelInterface，VTI）技術(shù)不再需要依托GRE，可直接使用IPSec建立隧道接口，并且比GREOverIPSec少了4個(gè)字節(jié)的GRE頭部。VTI技術(shù)分為SVTI(靜態(tài)VTI)和動(dòng)態(tài)VTI（DVTI），其中SVTI可用于替換傳統(tǒng)的靜態(tài)cryptomap配置，用于站點(diǎn)到站點(diǎn)的VPN。

本節(jié)將分別介紹GREOverIPSec和SVTIVPN的配置。任務(wù)4.2.1配置GREOVERIPSec如圖4-2-1所示，打開EVE-NG，搭建實(shí)驗(yàn)拓?fù)?。圖4-2-1GREOverIPSec和SVTIVPN實(shí)驗(yàn)拓?fù)鋱D一、基礎(chǔ)配置：VPCS1>ip192.168.1.1255.255.255.01.1.1.254R1(config)#intg0/1R1(config-if)#ipadd192.168.1.254255.255.255.0R1(config-if)#noshuR1(config-if)#intg0/0R1(config-if)#ipadd192.168.2.1255.255.255.0R1(config-if)#noshuR2(config)#intg0/0R2(config-if)#ipadd192.168.2.2255.255.255.0R2(config-if)#noshuR2(config-if)#intg0/1R2(config-if)#ipadd200.1.1.1255.255.255.0R2(config-if)#noshuR3(config)#intg0/1R3(config-if)#ipadd200.1.1.2255.255.255.0R3(config-if)#noshuR3(config-if)#intg0/0R3(config-if)#ipadd200.2.2.1255.255.255.0R3(config-if)#noshuR4(config)#intg0/0R4(config-if)#ipadd200.2.2.2255.255.255.0R4(config-if)#noshuR4(config-if)#intg0/1R4(config-if)#ipadd192.168.3.254255.255.255.0R4(config-if)#noshuVPCS2>ip192.168.3.1255.255.255.0192.168.3.254配置Internet路由：R2(config)#iproute200.2.2.0255.255.255.0200.1.1.2R4(config)#iproute200.1.1.0255.255.255.0200.2.2.1二、配置GREoveripsec配置GREoveripsec與配置IPSECVPN類似，需要配置cryptoisakmp策略、ipsec轉(zhuǎn)換集、感興趣流、cryptomap（含對(duì)等體等）。要注意的是，感興趣流的配置是“permitgrehost200.1.1.1host200.2.2.2”，匹配的是gre流量，不是ip流量；源、目地址匹配的是公網(wǎng)地址，不是私網(wǎng)地址。配置R2的tunnel0：R2(config)#inttunnel0R2(config-if)#ipadd192.168.4.1255.255.255.0R2(config-if)#tunnelsource200.1.1.1R2(config-if)#tunneldestination200.2.2.2配置R4的tunnel0：R4(config)#inttunnel0R4(config-if)#ipadd192.168.4.2255.255.255.0R4(config-if)#tunnelsource200.2.2.2R4(config-if)#tunneldestination200.1.1.1在R4上運(yùn)行ping測試：R4#ping192.168.4.1//能成功ping通在R2上，配置GREoveripsec：R2(config)#cryptoisakmppolicy10R2(config-isakmp)#encryptionaesR2(config-isakmp)#hashsha512R2(config-isakmp)#authenticationpre-shareR2(config-isakmp)#group2R2(config-isakmp)#exitR2(config)#cryptoisakmpkeyciscoaddress200.2.2.2R2(config)#ipaccess-listextendedvpnacl1R2(config-ext-nacl)#permitgrehost200.1.1.1host200.2.2.2R2(config-ext-nacl)#exitR2(config)#cryptoipsectransform-settrans1esp-aesesp-sha512-hmacR2(cfg-crypto-trans)#exitR2(config)#cryptomapcrymap110ipsec-isakmpR2(config-crypto-map)#matchaddressvpnacl1R2(config-crypto-map)#setpeer200.2.2.2R2(config-crypto-map)#settransform-settrans1R2(config-crypto-map)#exitR2(config)#intg0/1R2(config-if)#cryptomapcrymap1

R4上，配置GREoveripsecR4(config)#cryptoisakmppolicy10R4(config-isakmp)#encryptionaesR4(config-isakmp)#hashsha512R4(config-isakmp)#authenticationpre-shareR4(config-isakmp)#group2R4(config-isakmp)#exitR4(config)#cryptoisakmpkeyciscoaddress200.1.1.1R4(config)#ipaccess-listextendedvpnacl1R4(config-ext-nacl)#permitgrehost200.2.2.2host200.1.1.1R4(config-ext-nacl)#exitR4(config)#cryptoipsectransform-settrans1esp-aesesp-sha512-hmacR4(cfg-crypto-trans)#exitR4(config)#cryptomapcrymap110ipsec-isakmpR4(config-crypto-map)#matchaddressvpnacl1R4(config-crypto-map)#setpeer200.1.1.1R4(config-crypto-map)#settransform-settrans1R4(config-crypto-map)#exitR4(config)#intg0/0R4(config-if)#cryptomapcrymap1三、為私網(wǎng)配置動(dòng)態(tài)路由：R1(config)#routerospf1R1(config-router)#network192.168.1.00.0.0.255area0R1(config-router)#network192.168.2.00.0.0.255area0R2(config)#routerospf1R2(config-router)#network192.168.2.00.0.0.255area0R2(config-router)#netw