大型网络配置系列课程详解（十一） ---IPSec over GRE隧道 ***实验

大型网络配置系列课程详解（十一）

---IPSec over GRE隧道 ***实验

 

实验背景：

单独配置基于预共享密钥的IPSec ***，可以实现不同站点之间的网络互联，但是IPSec工作于网络层，是不能和NAT一起使用的，否则就会造成数据源和目的地址的混乱；而且不能形成内网之间的路由协议。这就需要将IPSec运行在GRE（tunnel）隧道之上，真实物理接口运行NAT进行网络地址转换，这就避免了IPSec ***和NAT之间的冲突。使用GRE隧道的另外一个好处是可以在各个站点的隧道之间学习路由协议。GRE是通用路由封装协议，可以实现任意一种网络层协议在另一种网络层协议上的封装。

 

实验目的：

1、 在模拟公网上配置OSPF路由协议，在各个站点之间配置EIGRP路由协议。

2、 了解GRE隧道的建立过程

3、 将IPSec ***应用于GRE隧道之上实现安全的通信

4、 在出口路由器上做NAT实现私有地址到公有地址的转换

5、 测试各个过程的运行结果

 

实验网络拓扑：

实验步骤

1. 配置网络互联的基本参数

1.1、 配置R2和R3网络之间的基本参数，并启用OSPF路由协议

注意：在R2和R3上各配置了一条默认路由指向两边的末梢网络，这样公网就可以访问内网的数据了。

 

1.2、 使用show ip route查看R2和R3是否学习到了OSPF路由条目（OSPF路由条目以O IA显示）

 

1.3、 配置私网出口路由R1和R4的基本参数，并配置一条默认路由指向公网

 

2. 配置GRE隧道，并启用EIGRP路由协议

2.1、 在R1和R4上配置tunnel 1，并启用EIGRP路由协议。注意：只宣告内网网段和tunnel隧道的网段。

 

2.2、 使用show ip route查看内网之间学习的EIGRP路由条目（EIGRP的路由条目以D显示）

 

3. 配置IPSec，并将其应用到GRE隧道上

3.1、 在R1和R4上分别配置IPSec ***，并应用Crypto MAP到GRE隧道上（Tunnel 1）。

 

4. 测试站点之间的连通性

4.1、 下面是ping之前和ping之后加密的数据

 

5. 配置NAT实现网络地址转换

5.1、 在R1和R4上配置NAT（PAT），将私网地址全部转换成路由出口公网的IP地址

 

5.2、 然后在PC1上分别ping私网的IP地址和公网的IP地址，可以发现ping公网的IP地址都进行了NAT地址转换，而ping私网的IP地址都经过了隧道加密。

 

关于***和GRE的配置可参考下面的文章

[url]http://dcpromo.blog.51cto.com/418026/138791[/url]

[url]http://dcpromo.blog.51cto.com/418026/132268[/url]