H3C MSR系列路由器IPSEC Over GRE功能的配置

一、组网需求：
RTA和RTB之间建立GRE隧道，RTA和RTB下挂网段间流量走GRE，在GRE中对流量进行加密
设备清单：MSR系列路由器2台

二、组网图：

二、配置步骤：
适用设备和版本：MSR系列、Version 5.20, Beta 1105后所有版本。
RTA配置
 
#
//定义IKE提议，使用IKE必配
ike proposal 1
#
//定义IKE对等体，IKE必配
ike peer rtb
 //使用预设口令身份验证
 pre-shared-key 123
 //对等体的IP地址，注意是GRE Tunnel的地址
 remote-address 1.2.1.2
#
//定义IPSec提议
ipsec proposal rtb
#
//定义IPSec策略，协商方式为isakmp，即使用IKE协商
ipsec policy rtb 1 isakmp
 //定义需要加密传送的ACL
 security acl 3000
 //选择使用的IKE对等体
 ike-peer rtb
 //选择安全策略
 proposal rtb
 
 
 //安全ACL
acl number 3000
 rule 0 permit ip source 1.0.0.0 0.0.0.255 destination 2.0.0.0 0.0.0.255
#
interface Ethernet0/0
 port link-mode route
 description connects to RTB
 ip address 1.2.0.1 255.255.255.252
#
interface Ethernet0/1
 port link-mode route
 description connects to 1.0.0.0/24 subnet
 ip address 1.0.0.1 255.255.255.0
#
 

 //定义GRE隧道
interface Tunnel0
 //隧道口地址，用于IKE协商和GRE封装
 ip address 1.2.1.1 255.255.255.252
 source 1.2.0.1
 destination 1.2.0.2
 //蒋IPSec策略绑定到GRE隧道
 ipsec policy rtb
#
 //定义静态路由，可以使用动态路由代替
 ip route-static 2.0.0.0 255.255.255.0 Tunnel0
#
 
 RTB配置
 #
//定义IKE提议，使用IKE必配
ike proposal 1
#
//定义IKE对等体，IKE必配
ike peer rta
 //使用预设口令身份验证
 pre-shared-key 123
 //对等体的IP地址
 remote-address 1.2.1.1
#
//定义IPSec提议
ipsec proposal rta
 
 //定义IPSec策略，协商方式为isakmp，即使用IKE协商
ipsec policy rta 1 isakmp
 //定义需要加密传送的ACL
 security acl 3000
 //选择使用的IKE对等体
 ike-peer rta
 //选择安全策略
 proposal rta
#
//安全ACL
acl number 3000
 rule 0 permit ip source 2.0.0.0 0.0.0.255 destination 1.0.0.0 0.0.0.255
#
interface Ethernet0/0
 port link-mode route
 description connects to RTA
 ip address 1.2.0.2 255.255.255.252

 //将安全策略绑定在端口下 
 ipsec policy rta
#
interface Ethernet0/1
 port link-mode route
 description connects to 2.0.0.0/24 subnet
 ip address 2.0.0.1 255.255.255.0
#
//定义GRE隧道
interface Tunnel0
 //隧道口地址，用于IKE协商和GRE封装
 ip address 1.2.1.2 255.255.255.252
 source 1.2.0.2
 destination 1.2.0.1
 将IPSec策略绑定到GRE隧道上
 ipsec policy rta
 //定义静态路由，可以使用动态路由代替 
 ip route-static 1.0.0.0 255.255.255.0 Tunnel0
#
四、配置关键点：
1) 和基本IPSec配置较为相似；
2) IKE Peer的Remote address是对方的GRE隧道口IP地址，不是物理接口地址；
3) IPSec策略绑定到GRE隧道上；
4) 定义静态路由或策略路由将需要加密的流量引入到GRE隧道上;
5) ACL一定不要最后添加一条deny ip的规则，该配置会导致不需要加密的流量被丢弃。