VPN之GRE隧道协议案例配置

VPN虚拟专用网，全称：VirtualPrivateNetwork是一种基于公共数据网的服务，它主要依赖ISP，在公共网络中建立虚拟专用通信网络。隧道技术：在VPN中广泛使用了隧道技术，隧道是一种封装技术，它是利用一种网络协议来传输另一种网络协议。即利用一种网络协议，将其它的一些协议产生的数据报文封装在自己的报文中，而后在网络中传输，它的通信只是一个虚拟的连接。隧道是通过隧道协议来实现，隧道协议包括：第二层隧道协议(PPTP、L2TP)和第三层隧道协议(GRE、IPsec)，下面主要讲解第三层隧道协议：GREGRE隧道协议GRE通用路由封装协议，英文名称：GenericRoutingEncapsulation它实际上是一种封装协议，提供了将一种协议的报文封装在另一种协议报文中的机制，使报文能够在异种网络中传输，异种报文传输的通道称为tunnel（隧道）GRE数据包的格式是乘客协议、封装协议与运输协议3部分组成1.乘客协议：用户要传输的数据，这是真正用户要传输的数据，可以是IP或IPX等2.封装协议：用于建立、保持、拆卸隧道的协议，比如GRE、IPSEC，它把乘客协议报文进行“包装”，加上一个GRE头部，然后再把封装好的原始报文和GRE头部，放在IP地方的“数据区”，由IP进行传输。3.运输协议：主要是指乘客协议被封装协议封装之后要发送出去应用的协议，现在我们主要使用的是IP协议。如果使用我们平时发信来比喻的话，乘客协议就是我们写的信的内容(不同的协议就等于是不同的语言)，而封装协议就是指信封，它对信件进行封装，而运输协议就是我们用哪种方式(协议)把信送出去。示例：gre在中小企业中的应用拓扑图现在我们的要求就是让北京总公司与上海分公司通过广域网之后，两边内网能够相互通信，由于是实验环境，我们使用一个三层交换机来模拟广域网，为了保证其安全性，使用两个H3C的防火墙来做GRE接入第二阶段：配置广域网通信1.配置广域网QuidwaysystemEntersystemview,returntouserviewwithCtrl+Z.[Quidway]vlan10//创建vlan10[Quidway-vlan10]porteth0/1//将1端口加入vlan[Quidway-vlan10]vlan20//创建vlan20[Quidway-vlan20]porteth0/2//将端口2加入[Quidway-vlan20]intvlan10[Quidway-Vlan-interface10]ipadd61.130.131.1255.255.255.0//配置vlanip[Quidway-Vlan-interface10]intvlan20[Quidway-Vlan-interface20]ipadd61.130.130.1255.255.255.0//配置vlanip2.北京总公司防火墙配置H3Csystem[H3C]inteth0/0[H3C-Ethernet0/0]ipadd192.168.1.124//配置内网网关[H3C-Ethernet0/0]inteth0/4[H3C-Ethernet0/4]ipadd61.130.131.224//配置外网ip[H3C]firewallzoneuntrust[H3C-zone-untrust]addinteth0/4//将eth0/4加入untrust区域[H3C-zone-untrust][H3C]iproute-static0.0.0.0061.130.131.1//配置静态路由3.上海分公司防火墙配置H3CsystemSystemView:returntoUserViewwithCtrl+Z.[H3C]inteth0/0[H3C-Ethernet0/0]ipadd192.168.2.124//内网网关[H3C-Ethernet0/0]inteth0/4[H3C-Ethernet0/4]ipadd61.130.130.224//外网IP[H3C]firewallzoneuntrust[H3C-zone-untrust]addinteth0/4//将eth0/4加入untrust区域[H3C]iproute-static0.0.0.0061.130.130.1//配置静态路由4.测试使用北京防火墙ping上海防火墙端口ip[H3C]ping61.130.130.2PING61.130.130.2:56databytes,pressCTRL_CtobreakReplyfrom61.130.130.2:bytes=56Sequence=1ttl=254time=19msReplyfrom61.130.130.2:bytes=56Sequence=2ttl=254time=6msReplyfrom61.130.130.2:bytes=56Sequence=3ttl=254time=5msReplyfrom61.130.130.2:bytes=56Sequence=4ttl=254time=5msReplyfrom61.130.130.2:bytes=56Sequence=5ttl=254time=6ms---61.130.130.2pingstatistics---5packet(s)transmitted5packet(s)received0.00%packetlossround-tripmin/avg/max=5/8/19ms第二阶段：隧道配置1.北京总公司防火墙配置[H3C]intTunnel10//创建隧道10[H3C-Tunnel10]tunnel-protocolgre//gre封装协议[H3C-Tunnel10]source61.130.131.2//源ip（外网合法ip）[H3C-Tunnel10]destination61.130.130.2//目的ip（对端合法ip）[H3C-Tunnel10]ipadd192.168.4.124//隧道ip[H3C-Tunnel10]quit[H3C]iproute-static192.168.2.0255.255.255.0Tunnel10//静态路由，指出到达192.168.2.0网段的路由进入tunnel10进行传输[H3C]firewallzoneuntrust[H3C-zone-untrust]addintTunnel10//把隧道加入非安全区域2.上海总公司防火墙配置[H3C]intTunnel20[H3C-Tunnel20]tunnel-protocolgre[H3C-Tunnel20]source61.130.130.2[H3C-Tunnel20]destination61.130.131.2[H3C-Tunnel20]ipadd192.168.4.224[H3C-Tunnel20]quit[H3C]iproute-static192.168.1.0255.255.255.0Tunnel20[H3C]firewallzoneuntrust[H3C-zone-untrust]addinterfaceTunnel203.测试使用北京总公司一个主机ping上海分公司的网关C:DocumentsandSettingsAdministratorping192.168.2.1Pinging192.168.2.1with32bytesofdata:Replyfrom192.168.2.1:bytes=32time=8msTTL=254Replyfrom192.168.2.1:bytes=32time=5msTTL=254Replyfrom192.168.2.1:bytes=32time=4msTTL=254Replyfrom192.168.2.1:bytes=32time=4msTTL=254Pingstatisticsfor192.168.2.1:Packets:Sent=4,Received=4,Lost=0(0%loss),Approximateroundtriptimesinmilli-seconds:Minimum=4ms,Maximum=8ms,Average=5ms