GRE over IPsec，IPsec不服，要求IPsec over GRE

傷城~ 2022-08-31 00:46 376阅读 0赞

上个实验介绍了GRE over IPsec，就是GRE在IPsec之上，在报文封装的时候先封装GRE，再封装IPsec，从报文结构上看起来就是一个IPsec封装的报文，看不到GRE封装的痕迹，是用IPsec保护GRE隧道。

今天在上个实验基础上做一下IPsec over GRE实验，也就是GRE在IPsec之上，在报文封装的时候先封装IPsec，再封装GRE。因为GRE是不加密的，所以今天从报文结构上看，应该是可以看到外层封装GRE隧道、内层封装IPsec隧道的报文结构的，不能说用GRE隧道保护IPsec隧道了，应该是用GRE隧道转发IPsec报文了。

# 组网需求 #

RT2和RT4分别连接IPv4私有网络SUBNET 1和SUBNET 5。这两个私有网络使用相同的私网地址192.168.1.0/24。通过在RT2和RT4之间建立IPsec隧道，实现两个相同私有网络的加密互访，并对通过GRE隧道转发IPsec加密报文。

# 组网拓扑 #

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70][]

# 配置步骤 #

开头提到，IPsec over GRE，在报文封装的时候先封装IPsec，再封装GRE，是用GRE隧道转发IPsec报文。

1、相比于上个实验，我们要修改访问控制列表需匹配数据的原始范围，把IPsec的保护数据流更改为两端互访的数据流量；

2、为了对网络间传输的数据先进行IPsec封装，再进行GRE封装，需要配置IPsec隧道的对端IP地址为GRE隧道的接口地址；

3、再把流量丢进GRE隧道就可以了，也就是将IPsec应用到GRE隧道接口上。

怎么样，听起来是不是也很简单？直接看看配置吧！

## RT2 ##

\#

sysname RT2

\#

interface GigabitEthernet0/0

ip address 192.168.1.2 255.255.255.0

proxy-arp enable

\#

interface GigabitEthernet0/1

ip address 23.1.1.2 255.255.255.0

\#

interface Tunnel0 mode gre

ip address 1.1.1.2 255.255.255.0

source 23.1.1.2

destination 34.1.1.4

gre key 123321

gre checksum

ipsec apply policy ipsecogre

\#

ip route-static 34.1.1.0 24 23.1.1.3

ip route-static 192.168.1.4 32 Tunnel0

ip route-static 192.168.1.5 32 Tunnel0

\#

acl advanced 3400

rule 0 permit ip source 192.168.1.0 0.0.0.255 destination 192.168.1.0 0.0.0.255

\#

ipsec transform-set TRAN

esp encryption-algorithm 3des-cbc

esp authentication-algorithm sha1

\#

ipsec policy ipsecogre 10 isakmp

transform-set TRAN

security acl 3400

remote-address 1.1.1.4

\#

ike keychain key

pre-shared-key address 1.1.1.4 255.255.255.0 key simple ipsecogre

## RT-ISP ##

\#

interface GigabitEthernet0/0

ip address 34.1.1.3 255.255.255.0

\#

interface GigabitEthernet0/1

ip address 23.1.1.3 255.255.255.0

## RT4 ##

\#

sysname RT4

\#

interface GigabitEthernet0/0

ip address 192.168.1.4 255.255.255.0

proxy-arp enable

\#

interface GigabitEthernet0/1

ip address 34.1.1.4 255.255.255.0

\#

interface Tunnel0 mode gre

ip address 1.1.1.4 255.255.255.0

source 34.1.1.4

destination 23.1.1.2

gre key 123321

gre checksum

ipsec apply policy ipsecogre

\#

ip route-static 23.1.1.0 24 34.1.1.3

ip route-static 192.168.1.1 32 Tunnel0

ip route-static 192.168.1.2 32 Tunnel0

\#

acl advanced 3400

rule 0 permit ip source 192.168.1.0 0.0.0.255 destination 192.168.1.0 0.0.0.255

\#

ipsec transform-set TRAN

esp encryption-algorithm 3des-cbc

esp authentication-algorithm sha1

\#

ipsec policy ipsecogre 10 isakmp

transform-set TRAN

security acl 3400

remote-address 1.1.1.2

\#

ike keychain key

pre-shared-key address 1.1.1.2 255.255.255.0 key simple ipsecogre

## 配置说明 ##

1、删除物理接口上的IPsec策略；

2、修改ACL匹配流量为两端的私网地址；

3、修改IKE预共享密钥的对端地址和密钥；

4、创建新的IPsec策略，对端地址为对端GRE隧道地址；

4、在GRE隧道接口上应用IPsec策略。

# 验证配置 #

查看RT4设备Tunnel口状态。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 1][]

可以看到有几个相对关键的指标项：

1、MTU为1468字节，跟GRE over IPsec相同；

2、隧道keepalive功能未开启，开启命令如下：

![20210721203434294.png][]

3、隧道TTL值为255；

4、GRE over IPv4隧道中安全功能key已设置，密钥为123321；

5、GRE over IPv4隧道中安全功能checksum已设置。

使用display ike sa命令，可以看到第一阶段的SA正常建立。

![20210721203439437.png][]

使用display ipsec sa命令可以看到IPsec SA的建立情况。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 2][]

可以看到，IPsec封装在内层，MTU是1412字节；GRE封装在外层，MTU是1468字节。那这次最后会是多少呢？

# 验证隧道MTU #

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 3][]

可以发现，实际能通过的最大报文大小也是1384字节，跟GRE over IPsec相同。抓个包分析一下。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 4][]

这个地方我们捋一下，报文的封装结构应该是\[以太网包头\]\[外层IPv4包头\] \[GRE封装\] \[ESP报文头\] \[内层IPv4包头\] \[ICMP报文\] \[ESP-T校验字段\]。

反过来看，内层数据报文IPsec封装后长度为1464字节，比1384字节的数据长80字节，\[ESP报文头\] \[内层IPv4包头\] \[ICMP报文\] \[ESP-T校验字段\] 段长度为1444字节，比业务报文还要长60字节；单独使用IPsec封装时，ESP封装的数据长度为1476字节，比业务报文的1400字节长76字节。这次少了16字节，问题出在哪了呢？看来后面要和上次的问题一起验证一下了。

# 验证两端同子网 #

现在已经知道两端相同子网互通也是没有问题了。但是单独的IPsec实验不能查看traceroute路径，GRE over IPsec就可以，那这次我们看一下IPsec over GRE可不可以？

![20210721203502807.png][]

很棒，traceroute路径显示和上次一样，原来使用IPsec over GRE也可以解决，那是不是可以理解为用了GRE隧道就能解决这个问题？

# 总结 #

1、IPsec over GRE就是用GRE隧道保护IPsec隧道，从报文结构看起来和GRE报文比较像，但是因为内层封装的是IPsec报文，所以外层显示还是ESP报文。可以看到GRE隧道里面还套了一层IPsec隧道，最终的MTU也是1384字节，和GRE over IPsec相同；

2、不管是先封装GRE隧道，还是先封装IPsec隧道，都可以看到内层报文的traceroute路径，提高了实用性；

3、因为先封装IPsec隧道，所以在调整保护流量时，还是要和单独使用IPsec隧道一样，调整ACL的兴趣流，配置比GRE over IPsec要麻烦。其实，这个麻烦是相对而言的，只是配置ACL要指定两端的网段，并且还是反掩码，而路由则是目的网段和下一跳；

4、补充了上次的遗留问题，IPsec over GRE实际能通过的最大报文大小为1384字节，ESP封装字段的长度为1444字节，比业务报文长60字节；单独使用IPsec封装时，ESP封装的数据长度为1476字节，比业务报文的1400字节长76字节。上次多余的4个字节哪里去了？这次少了16字节，问题又出在哪里呢？

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70]: /images/20220829/cbdadf7df8574b8eaf27f7bb868084fe.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 1]: /images/20220829/582b6002c7244ee68189e45908cbaf01.png
[20210721203434294.png]: /images/20220829/94e0c0ddac154bb68adf79661761ee3b.png
[20210721203439437.png]: /images/20220829/b169f115699e49aa84a5cedc6769ac9b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 2]: /images/20220829/8b4e617a77ea4e1e851f33656227e74b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 3]: /images/20220829/ed3fd479674b490a90f1ddf4e6afc317.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 4]: /images/20220829/c33e5a5e47f948e288cc97bbeefdb536.png
[20210721203502807.png]: /images/20220829/9f3e02ae00a342c8b600d5dd6f9061f4.png

发表评论取消回复

表情：

评论列表（有 0 条评论，376人围观）

还没有评论，来说两句吧...

相关阅读

相关 FD.io/VPP — GRE over IPSec

3\ 目录文章目录 GRE over IPSec VPP Responder（被动）配置接口配置 IPSec IKEv

水深无声/ 2023年10月04日 11:04/ 0 赞/ 40 阅读

相关 GRE Over IPsec

GRE Over IPsec（GRE 结合 IPsce） IPsec：不支持组播（意味着不能传递路由 IGP路由利用组播学习）（不是传递路由表而是通过ACL交给隧道

雨点打透心脏的1/2处/ 2023年10月01日 05:19/ 0 赞/ 29 阅读

相关 HCIP-R&S-GRE

• 通用路由封装协议 GRE （ Generic Routing Encapsulation ）提供了将一种协议的报文封装在另一种协议报文中的机制，是一种隧道封装技术。 GRE

- 日理万妓/ 2023年07月19日 11:00/ 0 赞/ 30 阅读

相关思科 GRE

> 昨晚有个同学过来问我，他说：“你会配置GRE么？” > 我一听心想这不是GRE技术么，用来建立Tunnel私有隧道用的。然后我直接给他解析了，我解析完之后，他来一句，那

心已赠人/ 2022年12月08日 14:28/ 0 赞/ 310 阅读

相关 gre tunnel linux,linux cent os 6.4 建立GRE tunnel

加载GRE模块 modprobe ip\_gre 创建Tunnel 名为office ip tunnel add office mode gre remote 111

﹏ヽ暗。殇╰゛Y/ 2022年10月16日 01:57/ 0 赞/ 133 阅读

相关 GRE over IPsec，IPsec不服，要求IPsec over GRE

上个实验介绍了GRE over IPsec，就是GRE在IPsec之上，在报文封装的时候先封装GRE，再封装IPsec，从报文结构上看起来就是一个IPsec封装的报文，看不到G

傷城~/ 2022年08月31日 00:46/ 0 赞/ 377 阅读

相关 GRE和IPsec搭配使用，到底是谁over谁？先看GRE over IPsec

关于相同的二层子网跨广域网进行互通，目前我们测试了VXLAN、IPsec和GRE三种方式，分别是（[VXLAN小实验：VXLAN头端复制配置][VXLAN_VXLAN]）、（[

╰+哭是因爲堅強的太久メ/ 2022年08月30日 11:59/ 0 赞/ 447 阅读

相关 VxLAN和GRE

转载：[http://www.cnblogs.com/sammyliu/p/4627230.html][http_www.cnblogs.com_sammyliu_p_4627

以你之姓@/ 2022年06月13日 10:11/ 0 赞/ 332 阅读

相关 cisco asa l2tp over ipsec 配置详解

Cisco ASA L2TP over IPSEC 配置详解 1 创建×××地址池 ciscoasa(config)\ ip local pool \\\pool 19

短命女/ 2022年01月17日 05:53/ 0 赞/ 708 阅读

相关华为***技术三：GRE

GRE通过静态路由实现IPv4互通拓扑： ![fig\_dc\_cfg\_gre\_002101.png][fig_dc_cfg_gre_002101.png]

雨点打透心脏的1/2处/ 2022年01月13日 22:53/ 0 赞/ 356 阅读