此篇博客正在介绍的是下图中的Dynamic P2P GRE OVER IPSEC VPN：

为什么出现这种动态的GRE OVER IPSEC VPN技术呢？

首先在前面几篇博客中已经介绍过了，动态是为了保证在不更改总部路由器的配置的情况下，可以随意的增加和删除分部vpn路由器，IPSEC是为了保证数据传输的私密性，对于一个基本vpn通道来讲，这样已经完全可以满足要求了，但是为了使得总部路由器可以和分部路由器之间进行路由的传递，从而又加入了GRE，也就形成了现在的一种技术，Dynamic GRE OVER IPSEC VPN。我们都知道GRE是一个点对点（经常说的P2P）的模式，所以它也是有缺陷的，在下一篇博客中会讲一种MGRE的协议可以弥补这种缺陷。接下来先说一下GRE技术的具体配置。

拓扑结构图如下：

拓扑描述：IOU2是总部的vpn路由器，IOU4是分部的VPN路由器，并且IOU4的出接口是从dhcp中动态获取的地址，为了实现效果，所以设置了一个回环接口lo0地址为3.3.3.3用来作为隧道的地址，IOU3是用路由器模拟的一个internet网络，同样也是一台DHCP服务器，IOU1和IOU5分别是公司的内网。现在要通过技术实现内部网络的路由交换和互通。

步骤一：基础网络配置

IOU1的配置：

IOU1#configure terminal     进入配置模式

IOU1(config)#inter e0/0      进入接口配置模式

IOU1(config-if)#ip add 10.1.1.5 255.255.255.0     配置接口的ip地址

IOU1(config-if)#no shutdown       启动接口

IOU1(config-if)#ip route 0.0.0.0 0.0.0.0 10.1.1.1    配置默认路由指向10.1.1.5，也就是路由表中没有相应匹配项时，从10.1.1.5接口转发　

IOU2的配置：

IOU2#configure terminal

IOU2(config)#inter e0/1

IOU2(config-if)#ip add 12.1.1.1 255.255.255.0

IOU2(config-if)#no shutdown

IOU2(config-if)#inter e0/0

IOU2(config-if)#ip add 10.1.1.1 255.255.255.0

IOU2(config-if)#no shutdown

IOU2(config-if)#ip route 0.0.0.0 0.0.0.0 12.1.1.2　

IOU3的配置：

IOU3#configure terminal

IOU3(config)#inter e0/0

IOU3(config-if)#ip add 12.1.1.2 255.255.255.0

IOU3(config-if)#no shutdown

IOU3(config-if)#inter e0/1

IOU3(config-if)#ip add 23.1.1.2 255.255.255.0

IOU3(config-if)#no shutdown

IOU3(config)#service dhcp    设置为dhcp服务器

IOU3(config)#ip dhcp pool DHCP      进入设置地址池

IOU3(dhcp-config)#default-router 23.1.1.2    设置接受地址的路由器的默认网关为23.1.1.2

IOU3(dhcp-config)#network 23.1.1.0 255.255.255.0    地址池的设置

IOU3(dhcp-config)#exit

IOU3(config)#ip dhcp excluded-address 23.1.1.2   从地址池中除去24.1.1.2

IOU4的配置：

IOU4#configure terminal

IOU4(config)#inter e0/0

IOU4(config-if)#ip add dhcp     IP地址设置成dhcp动态获取

IOU4(config-if)#no shutdown

IOU4(config-if)#inter e0/2

IOU4(config-if)#ip add 192.168.1.3 255.255.255.0

IOU4(config-if)#no shutdown

IOU5的配置：

IOU5#configure terminal     进入配置模式

IOU5(config)#inter e0/0      进入接口配置模式

IOU5(config-if)#ip add 192.168.1.4 255.255.255.0     配置接口的ip地址

IOU5(config-if)#no shutdown       启动接口

IOU5(config-if)#ip route 0.0.0.0 0.0.0.0 192.168.1.3

测试路由连通性：

用IOU2去ping 23.1.1.1是可以ping通的，但是去ping 192.168.1.4是ping不通的：

 IOU2#ping 23.1.1.1

 Type escape sequence to abort.

 Sending , -byte ICMP Echos to 23.1.1.1, timeout is  seconds:

 !!!!!

 Success rate is  percent (/), round-trip min/avg/max = // ms

 IOU2#

 IOU2#ping 192.168.1.3

 Type escape sequence to abort.

 Sending , -byte ICMP Echos to 192.168.1.3, timeout is  seconds:

 UUUUU

 Success rate is  percent (/)

 IOU2#

步骤二：IPSEC的配置

IOU2的配置：

IOU2(config)#crypto isakmp policy 10

IOU2(config-isakmp)#encryption 3des

IOU2(config-isakmp)#hash md5

IOU2(config-isakmp)#group 1

IOU2(config-isakmp)#authentication pre-share

IOU2(config-isakmp)#exit

IOU2(config)#crypto isakmp key 0 huwentao address 0.0.0.0     对端地址要设置成所有地址

IOU2(config)#crypto ipsec transform-set IPSEC esp-3des esp-md5-hmac

IOU2(cfg-crypto-trans)#exit

IOU2(config)#crypto dynamic-map dymap 10     设置动态map

IOU2(config-crypto-map)#set transform-set IPSEC

IOU2(config-crypto-map)#exit

IOU2(config)#crypto map mymap 10 ipsec-isakmp dynamic dymap

IOU2(config)#inter e0/1

IOU2(config-if)#crypto map mymap

*Jul 23 12:54:39.519: %CRYPTO-6-ISAKMP_ON_OFF: ISAKMP is ON

IOU2(config-if)#exit

IOU2(config)#

IOU4的配置（正常的GRE over ipsec的配置）：

IOU4(config)#crypto isakmp policy 10

IOU4(config-isakmp)#encryption 3des

IOU4(config-isakmp)#hash md5

IOU4(config-isakmp)#group 1

IOU4(config-isakmp)#authentication pre-share

IOU4(config-isakmp)#exit

IOU4(config)#crypto isakmp key 0 huwentao address 12.1.1.1

IOU4(config)#crypto ipsec transform-set IPSEC esp-3des esp-md5-hmac

IOU4(cfg-crypto-trans)#exit

IOU4(config)#access-list 100 permit gre host 3.3.3.3 host 12.1.1.1      匹配流量为隧道的流量

IOU4(config)#crypto map mymap 10 ipsec-isakmp

% NOTE: This new crypto map will remain disabled until a peer

        and a valid access list have been configured.

IOU4(config-crypto-map)#set peer 12.1.1.1

IOU4(config-crypto-map)#set transform-set IPSEC

IOU4(config-crypto-map)#match address 100

IOU4(config-crypto-map)#exit

IOU4(config)#inter e0/0

IOU4(config-if)#crypto map mymap

IOU4(config-if)#exit

　

步骤三：GRE的配置

IOU2的配置（从此处的配置可以看出，当分部路由器增加的时候，并不是完全的不用配置总部路由器，我们还需要配置他的gre隧道）：

IOU2(config)#inter tunnel 1

IOU2(config-if)#tunnel source 12.1.1.1

IOU2(config-if)#tunnel destination 3.3.3.3      目的地址，这个地方也就是传统的gre的缺点。DMVPN会解决这样的缺点

IOU2(config-if)#ip add 1.1.1.1 255.255.255.0

IOU2(config-if)#exit

IOU2(config)#ip route 3.3.3.3 255.255.255.255 12.1.1.2    这个是默认的配置，虽然说3.3.3.3的路由在公网上面是没有办法传递的。

IOU4的配置：

IOU4(config)#inter tunnel 1

IOU4(config-if)#ip add 1.1.1.2 255.255.255.0

IOU4(config-if)#tunnel source 3.3.3.3

IOU4(config-if)#tunnel destination 12.1.1.1

IOU4(config-if)#exit

用IOU4去ping 1.1.1.1去触发ipsec，发现是可以ping通的，而且还建立了ipsec对等体和sa：

 IOU4#ping 1.1.1.1

 Type escape sequence to abort.

 Sending , -byte ICMP Echos to 1.1.1.1, timeout is  seconds:

 !!!!!

 Success rate is  percent (/), round-trip min/avg/max = // ms

 IOU4#show ipro

 IOU4#show cry

 IOU4#show crypto is

 IOU4#show crypto isakmp peer

 IOU4#show crypto isakmp peers

 Peer: 12.1.1.1 Port:  Local: 23.1.1.4

  Phase1 id: 12.1.1.1

 IOU4#show crypto isakmp sa

 IPv4 Crypto ISAKMP SA

 dst             src             state          conn-id status

 12.1.1.1        23.1.1.4        QM_IDLE            ACTIVE

 IPv6 Crypto ISAKMP SA

 IOU4#

由于双方只是建立了隧道，还没有交换路由信息，因此用IOU5去ping 10.1.1.1是ping不通的。

 IOU5#ping 10.1.1.1

 Type escape sequence to abort.

 Sending , -byte ICMP Echos to 10.1.1.1, timeout is  seconds:

 .....

 Success rate is  percent (/)

 IOU5#

步骤四：配置动态路由

IOU2的配置：

IOU2(config)#router eigrp 1    配置eigre 宣告网络，并且关掉路由汇总功能，用来传递两端路由

IOU2(config-router)#network 10.1.1.0 0.0.0.255

IOU2(config-router)#network 1.1.1.1 0.0.0.255

IOU2(config-router)#no auto-summary

IOU2(config-router)#exit

IOU4的配置：

IOU4(config)#router eigrp 1

IOU4(config-router)#network  1.1.1.2 0.0.0.0

*Jul 23 13:23:51.739: %DUAL-5-NBRCHANGE: EIGRP-IPv4 1: Neighbor 1.1.1.1 (Tunnel1) is up: new adjacency

IOU4(config-router)#network  192.168.1.0 0.0.0.255

IOU4(config-router)#no auto-summary

IOU4(config-router)#exit

查看IOU4的路由表发现，已经有了10.1.1.0的网络，是通过1.1.1.1这个隧道接口传递过去的。

 IOU4(config)#do show ip route

 Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP

        D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area

        N1 - OSPF NSSA external type , N2 - OSPF NSSA external type

        E1 - OSPF external type , E2 - OSPF external type

        i - IS-IS, su - IS-IS summary, L1 - IS-IS level-, L2 - IS-IS level-

        ia - IS-IS inter area, * - candidate default, U - per-user static route

        o - ODR, P - periodic downloaded static route, H - NHRP, l - LISP

        a - application route

        + - replicated route, % - next hop override

 Gateway of last resort is 23.1.1.2 to network 0.0.0.0

 S*    0.0.0.0/ [/] via 23.1.1.2

       1.0.0.0/ is variably subnetted,  subnets,  masks

 C        1.1.1.0/ is directly connected, Tunnel1

 L        1.1.1.2/ is directly connected, Tunnel1

       3.0.0.0/ is subnetted,  subnets

 C        3.3.3.3 is directly connected, Loopback0

       10.0.0.0/ is subnetted,  subnets

 D        10.1.1.0 [/] via 1.1.1.1, ::, Tunnel1

       23.0.0.0/ is variably subnetted,  subnets,  masks

 C        23.1.1.0/ is directly connected, Ethernet0/

 L        23.1.1.4/ is directly connected, Ethernet0/

       192.168.1.0/ is variably subnetted,  subnets,  masks

 C        192.168.1.0/ is directly connected, Ethernet0/

 L        192.168.1.3/ is directly connected, Ethernet0/

 IOU4(config)#

测试结果：

在IOU5上面ping 10.1.1.5,是可以ping通的，说明配置成功。

IOU5#

IOU5#ping 10.1.1.5

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 10.1.1.5, timeout is 2 seconds:

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 1/2/6 ms

IOU5#

　　

最新文章

  1. Fatal error: Allowed memory size of 524288000 bytes exhausted (tried to allocate 64 bytes) in D
  2. Media Wiki
  3. hdu 3449 有依赖性的01背包
  4. Uva 548 Tree
  5. 通过MSSQL连接服务器连接至Oracle数据库
  6. python入门，猜数
  7. 【CSS3】Advanced7：CSS Transitions
  8. OpenCV LDA(Linnear Discriminant analysis)类的使用---OpenCV LDA演示样例
  9. 3 Sum 解答
  10. JS封装移动端触摸滑动插件应用于导航banner【精装版】
  11. Hack 语言学习/参考---1.2 Hack Background
  12. Ubuntu 12.04 中自定义DNS服务器设置
  13. Linux常用命令及部分详解
  14. 把项目放到码云上，通过git 进行项目管理
  15. bzoj 4823: [Cqoi2017]老C的方块 [最小割]
  16. ERROR: The Python ssl extension was not compiled. Missing the OpenSSL lib?
  17. Git(创建与合并分支)
  18. DAX/PowerBI系列 - 库存总价值（Inventory Value）
  19. Activity 的启动过程深入学习
  20. JavaScript快速入门-ECMAScript本地对象(Array)

热门文章

  1. Log4net (Log for .net)
  2. iotop使用详解
  3. 深入编解码：ASCII,UNICODE,UTF8等
  4. 平衡二叉树、B树、B+树、B*树 理解其中一种你就都明白了
  5. 谈谈hashcode和equals的用法
  6. 2014年百度之星资格赛第一题Energy Conversion
  7. springMVC文件上传大小超过限制的问题
  8. BZOJ3999:[TJOI2015]旅游(树链剖分)
  9. VOC 数据集
  10. 字符串匹配KMP算法（转自阮一峰）