GRE OVER IPSEC WITH OSPF配置举例.docx

资源描述

GRE OVER IPSEC WITH OSPF配置举例.docx

《GRE OVER IPSEC WITH OSPF配置举例.docx》由会员分享，可在线阅读，更多相关《GRE OVER IPSEC WITH OSPF配置举例.docx（26页珍藏版）》请在冰豆网上搜索。

GRE OVER IPSEC WITH OSPF配置举例.docx

GREOVERIPSECWITHOSPF配置举例

摘要：

本文简单描述了应用了OSPF路由的GREOverIPsec的特点，详细描述了在SecPath系列防火墙上配置GREoverIPsecwithOSPF的基本配置方法和详细步骤，给出了一种GREOverIPsecwithOSPF的基本配置案例。

缩略语：

缩略语

英文全名

中文解释

VPN

VirtualPrivateNetwork

虚拟私有网

IPsec

IPsecurity

IP安全

IKE

InternetKeyExchange

Internet密钥交换

GRE

GenericRoutingEncapsulation

通用路由封装

RIP

RoutingInformationProtocol

路由信息协议

OSPF

OpenShortestPathFirst

开放最短路由优先协议

1特性介绍3

2特性的优点3

3使用指南3

3.1使用场合3

3.2.1配置IPsec安全联盟3

3.2.2配置GRE协议5

3.2.3配置OSPF路由协议6

3.3注意事项6

3.4举例7

3.4.1组网需求7

3.4.2组网图7

3.4.3配置7

3.4.4验证结果12

3.4.5故障排除15

4关键命令16

4.1ipsecpolicy（系统视图）16

4.2ipseccard-proposal17

4.3ikepeer18

5相关资料18

5.1相关协议和标准18

1特性介绍

IPsec（IPsecurity）协议族是IETF制定的一系列协议，它为IP数据报提供了高质量的、可互操作的、基于密码学的安全性。

特定的通信方之间在IP层通过加密与数据源验证等方式，来保证数据报在网络上传输时的私有性、完整性、真实性和防重放。

GRE协议是对某些网络层协议的数据报进行封装，使这些被封装的数据报能够在另一个网络层协议中传输。

GRE是VPN的第三层隧道协议，在协议层之间采用了一种被称之为Tunnel的技术。

Tunnel是一个虚拟的点对点的连接，在实际中可以看成仅支持点对点连接的虚拟接口，这个接口提供了一条通路使封装的数据报能够在这个通路上传输，并且在一个Tunnel的两端分别对数据报进行封装及解封装。

通常情况下，IPsec不能传输路由协议，例如RIP和OSPF；或者非IP数据流，例如IPX（InternetworkPacketExchange）和AppleTalk。

这样，如果要在IPsec构建的VPN网络上传输这些数据就必须借助于GRE协议，对路由协议报文等进行封装，使其成为IPsec可以处理的IP报文，这样就可以在IPsecVPN网络中实现不同的网络的路由。

2 特性的优点

该特性适合较为大型的网络中总部与分支机构之间，保证了所有的数据，包括路由信息在内的所有报文都能够得到保护。

3 使用指南

3.1 使用场合

1）总部与分支机构跨越Internet互联。

2）总部与分支机构之间的路由协议为动态路由协议。

3.2配置步骤

配置GREoverIPsecwithOSPF，需要配置以下内容：

● 配置IPsec安全联盟

● 配置GRE协议

● 配置OSPF路由协议

3.2.1 配置IPsec安全联盟

IPsec的配置主要包含以下几个步骤：

● 配置访问控制列表

● 配置IKE对等体

● 定义安全提议

● 创建安全策略

● 在接口上应用安全策略

● 使能加密卡快转功能

1. 配置访问控制列表

IPsec使用高级访问控制列表来判断哪些报文需要受到保护，哪些则不需要，用于IPsec的扩展访问控制列表可称为加密访问控制列表。

发起方的访问控制列表的镜像应该为接收方的访问控制列表的子集，或者双方的访问控制列表互为镜像，这样协商才能成功。

建议用户将本端和对端的访问控制列表配置成互为镜像。

步骤

操作说明

操作命令

在系统视图下，创建一个高级访问控制列表

[H3C]aclnumberacl-number[match-order{config|auto}]

在高级访问控制列表视图下，配置ACL规则

[H3C-acl-adv-3000]rule[rule-id]{permit|deny}protocol[source{sour-addrsour-wildcard|any}][destination{dest-addrdest-wildcard|any}][source-portoperatorport1[port2]][destination-portoperatorport1[port2]][icmp-type{icmp-typeicmp-code|icmp-message}][precedenceprecedence][dscpdscp][established][tostos][time-rangetime-name][logging][fragment]

2. 配置IKE对等体

在实施IPsec的过程中，可以使用Internet密钥交换IKE（InternetKeyExchange）协议来建立安全联盟，该协议建立在由Internet安全联盟和密钥管理协议ISAKMP（InternetSecurityAssociationandKeyManagementProtocol）定义的框架上。

IKE为IPsec提供了自动协商交换密钥、建立安全联盟的服务，能够简化IPsec的使用和管理。

步骤

操作说明

操作命令

配置一个IKE对等体并进入ikepeer视图

ikepeerpeer-name

配置IKE阶段协商所使用的身份验证字

pre-shared-keykey

配置对端设备的IP地址

remote-addresslow-ip-address[high-ip-address]

3. 定义安全提议

安全提议保存IPsec需要使用的特定安全性协议以及加密/验证算法，为IPsec协商安全联盟提供各种安全参数。

为了能够成功的协商IPsec的安全联盟，两端必须使用相同的安全提议。

步骤

操作说明

操作命令

创建加密卡安全提议并进入安全提议视图

[H3C]ipseccard-proposalproposal-name

指定加密卡安全提议使用的加密卡

[H3C-ipsec-card-proposal-card10]useencrypt-cardslot-id

设置安全协议对IP报文的封装形式

[H3C-ipsec-card-proposal-card10]encapsulation-mode{transport|tunnel}

设置安全提议采用的安全协议

[H3C-ipsec-card-proposal-card10]transform{ah|ah-esp|esp}

设置ESP协议采用的加密算法

[H3C-ipsec-card-proposal-card10]espencryption-algorithm{3des|des|aes}

设置ESP协议采用的验证算法

[H3C-ipsec-card-proposal-card10]espauthentication-algorithm{md5|sha1}

4. 创建安全策略

安全策略规定了对什么样的数据流采用什么样的安全提议。

安全策略分为手工安全策略和IKE协商安全策略，前者需要用户手工配置密钥、SPI等参数，在隧道模式下还需要手工配置安全隧道两个端点的IP地址；后者则由IKE自动协商生成这些参数。

本文档仅介绍IKE方式创建安全策略。

步骤

操作说明

操作命令

用IKE创建安全策略，进入安全策略视图

[H3C]ipsecpolicypolicy-nameseq-numberisakmp

设置安全策略所引用的安全提议

[H3C-ipsec-policy-isakmp-tran-10]proposalproposal-name1[proposal-name2...proposal-name6]

设置安全策略引用的访问控制列表

[H3C-ipsec-policy-isakmp-tran-10]securityaclacl-number

在安全策略中引用IKE对等体

[H3C-ipsec-policy-isakmp-tran-10]ike-peerpeer-name

5. 在接口上应用安全策略组

为使定义的安全联盟生效，应在每个要加密的出站数据、解密的入站数据所在接口（逻辑的或物理的）上应用一个安全策略组，由这个接口根据所配置的安全策略组和对端加密安全网关配合进行报文的加密处理。

步骤

操作

命令

进入接口视图

[H3C]interfacetypenumber

应用安全策略组

[H3C-GigabitEthernet0/0]ipsecpolicypolicy-name

6. 启用加密卡快转功能

加密卡快转指的是对于[SourIP,SourPort,DestIP,DestPort,Prot]五元组相同的一系列报文，安全网关在接收或发送第一个报文时就会创建一个快转表项，之后符合此表项的所有报文都会直接被发往加密卡进行加密或解密，然后再由加密卡发往目的出口。

这样省去了对每个报文逐一进行从IP到IPsec的处理，加速了处理过程。

步骤

操作

命令

使能加密卡快转功能

[H3C]encrypt-cardfast-switch

3.2.2配置GRE协议

在各项配置中，必须先创建虚拟Tunnel接口，才能在虚拟Tunnel接口上进行其它功能特性的配置。

当删除虚拟Tunnel接口后，该接口上的所有配置也将被删除。

GRE主要配置包括：

● 创建虚拟Tunnel接口（必选）

● 设置Tunnel接口报文的封装模式（可选）

● 指定Tunnel的源端（必选）

● 指定Tunnel的目的端（必选）

● 设置Tunnel接口的网络地址（必选）

步骤

操作说明

操作命令

创建虚拟Tunnel接口

[H3C]interfacetunnelnumber

设置Tunnel接口报文的封装模式

[H3C-Tunnel0]tunnel-protocolgre

指定Tunnel的源端

[H3C-Tunnel0]sourceip-address

指定Tunnel的目的端

[H3C-Tunnel0]destinationip-address

设置Tunnel接口的网络地址

[H3C-Tunnel0]ipaddressip-addressnetmask

3.2.3配置OSPF路由协议

对于基本的OSPF配置，需要进行的操作包括：

● 配置RouterID

● 启动OSPF

● 进入OSPF区域视图

● 在指定网段使能OSPF

步骤

操作说明

操作命令

配置安全网关的RouterID号

[H3C]routeridrouter-id

启动OSPF，进入OSPF视图

[H3C]ospf[process-id[router-idrouter-id]]

进入OSPF区域视图

[H3C-ospf-1]areaarea-id

指定网段运行OSPF协议

[H3C-ospf-1-area-0.0.0.0]networkip-addresswildcard-mask

3.3注意事项

当配置GREoverIPsecwithOSPF时，应该注意以下几点：

1）IPsec保护的数据流应该是GRE隧道两端的Tunnel接口地址，也就是说ACL的源和目的地址应该为Tunnel接口的Source和Destination。

2）要使所有的数据流都要经由GREoverIPsec隧道转发，就必须配置路由使所有数据都由Tunnel接口转发。

3）要使OSPF路由信息通过GRE隧道转发，就必须指定Tunnel接口所在网段运行OSPF协议，而不能指定应用了IPsec策略组的接口所在网段。

3.4举例

3.4.1组网需求

本例使用一个通用组网图，使用的设备皆为SecPath系列防火墙。

SecPathA和SecPathB分别为两个局域网络的出口防火墙，在两个防火墙之间建立GREoverIPsec隧道。

为模拟Internet网络，使用Router作为中间路由器，只需要简单配置IP地址即可。

网段17.1.1.0/24和17.2.1.0/24将通过GREoverIPsec隧道互通。

3.4.2组网图

图1GREoverIPsecwithOSPF典型组网图

3.4.3配置

1. 使用的版本

displayversion

H3CComwarePlatformSoftware

Comwaresoftware,Version3.40,Release1607P03

Allrightsreserved.

Withouttheowner'spriorwrittenconsent,nodecompiling

norreverse-engineeringshallbeallowed.

H3CSecPathF1000-Suptimeis0week,0day,0hour,1minute

CPUtype:

MipsBCM1125H600MHz

512MbytesDDRSDRAMMemory

16MbytesFlashMemory

Pcb Version:

3.0

Logic Version:

2.0

BootROM Version:

1.22

[SLOT0]2GBE （Hardware）3.0,（Driver）2.0,（Cpld）2.0

[SLOT1]2GBE （Hardware）3.0,（Driver）2.0,（Cpld）2.0

[SLOT2]NDEC （Hardware）3.0,（Driver）3.3,（Cpld）2.0

vrbd

RoutingPlatformSoftware

VersionSecPathF1000-S8042V100R006B01D027SP01（COMWAREV300R002B40D028）,RELEASESOFTWARE

CompiledMar13200717:

38:

39byxiedong

2. 配置防火墙SecPathA

当前视图

配置命令

简单说明

[SecPathA]

firewallpacket-filterdefaultpermit

防火墙包过滤默认改为允许

[SecPathA]

encrypt-cardfast-switch

使能加密卡快转功能

[SecPathA]

Ikepeerpeer

配置一个IKE对等体并进入ikepeer视图

[SecPathA-ike-peer-peer]

Pre-shared-key123456

配置IKE阶段协商所使用的身份验证字

[SecPathA-ike-peer-peer]

remote-address2.1.1.1

配置对端设备的IP地址

[SecPathA-ike-peer-peer]

quit

退出ikepeer视图

[SecPathA]

ipseccard-proposalcard10

创建加密卡安全提议并进入安全提议视图