问

GRE over IPSec

2021-09-07提问

0关注
1收藏，1409浏览

火灿

火灿一段

粉丝：0人关注：0人

问题描述：

ike sa 协商成功 IPSec sa 协商失败 tun口的协议口是down的怎么排除故障

组网及组网描述：

ike sa 协商成功 IPSec sa 协商失败 tun口的协议口是down的怎么排除故障

最佳答案

无名之辈

无名之辈九段

粉丝：249人关注：0人

您好，参考

4 GRE显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后GRE的运行情况，通过查看显示信息验证配置的效果。

在用户视图下执行reset命令可以清除Tunnel接口的统计信息。

表1-3 GRE显示和维护

操作	命令
显示Tunnel接口的相关信息（本命令的详细介绍，请参见“三层技术-IP业务命令参考”中的“隧道”）	display interface [ tunnel [ number ] ] [ brief [ description \| down ] ]
显示Tunnel接口的IPv6相关信息（本命令的详细介绍，请参见“三层技术-IP业务命令参考”中的“IPv6基础”）	display ipv6 interface [ tunnel [ number ] ] [ brief ]
清除Tunnel接口的统计信息（本命令的详细介绍，请参见“三层技术-IP业务命令参考”中的“隧道”）	reset counters interface [ tunnel [ number ] ]

1.5 GRE典型配置举例

1.5.1 GRE over IPv4隧道典型配置举例

1. 组网需求

Router A和Router B分别连接IPv4私有网络Group 1和Group 2。这两个私有网络都使用私网地址，且属于同一个VPN。通过在Router A和Router B之间建立GRE隧道，实现两个私有网络的互联。

3. 配置步骤

在开始下面的配置之前，假设设备各接口的地址都已配置完毕，并且Router A和Router B之间路由可达。

(1) 配置Router A

# 创建Tunnel0接口，并指定隧道模式为GRE over IPv4隧道。

<RouterA> system-view

[RouterA] interface tunnel 0 mode gre

# 配置Tunnel0接口的IP地址。

[RouterA-Tunnel0] ip address 10.1.2.1 255.255.255.0

# 配置Tunnel0接口的源端地址（Router A的GigabitEthernet2/0/2的IP地址）。

[RouterA-Tunnel0] source 1.1.1.1

# 配置Tunnel0接口的目的端地址（Router B的GigabitEthernet2/0/2的IP地址）。

[RouterA-Tunnel0] destination 2.2.2.2

[RouterA-Tunnel0] quit

# 配置从Router A经过Tunnel0接口到Group 2的静态路由。

[RouterA] ip route-static 10.1.3.0 255.255.255.0 tunnel 0

(2) 配置Router B

# 创建Tunnel0接口，并指定隧道模式为GRE over IPv4隧道。

<RouterB> system-view

[RouterB] interface tunnel 0 mode gre

# 配置Tunnel0接口的IP地址。

[RouterB-Tunnel0] ip address 10.1.2.2 255.255.255.0

# 配置Tunnel0接口的源端地址（Router B的GigabitEthernet2/0/2的IP地址）。

[RouterB-Tunnel0] source 2.2.2.2

# 配置Tunnel0接口的目的端地址（Router A的GigabitEthernet2/0/2的IP地址）。

[RouterB-Tunnel0] destination 1.1.1.1

[RouterB-Tunnel0] quit

# 配置从Router B经过Tunnel0接口到Group 1的静态路由。

[RouterB] ip route-static 10.1.1.0 255.255.255.0 tunnel 0

4. 验证配置

# 查看Router A的Tunnel接口状态。

[RouterA] display interface tunnel 0

Tunnel0

Current state: UP

Line protocol state: UP

Description: Tunnel0 Interface

Bandwidth: 64kbps

Maximum Transmit Unit: 1476

Internet Address is 10.1.2.1/24 Primary

Tunnel source 1.1.1.1, destination 2.2.2.2

Tunnel keepalive disabled

Tunnel TTL 255

Tunnel protocol/transport GRE/IP

GRE key disabled

Checksumming of GRE packets disabled

Output queue - Urgent queuing: Size/Length/Discards 0/100/0

Output queue - Protocol queuing: Size/Length/Discards 0/500/0

Output queue - FIFO queuing: Size/Length/Discards 0/75/0

Last clearing of counters: Never

Last 300 seconds input rate: 0 bytes/sec, 0 bits/sec, 0 packets/sec

Last 300 seconds output rate: 0 bytes/sec, 0 bits/sec, 0 packets/sec

Input: 0 packets, 0 bytes, 0 drops

Output: 0 packets, 0 bytes, 0 drops

# 查看Router B的Tunnel接口状态。

[RouterB] display interface tunnel 0

Tunnel0

Current state: UP

Line protocol state: UP

Description: Tunnel0 Interface

Bandwidth: 64kbps

Maximum Transmit Unit: 1476

Internet Address is 10.1.2.2/24 Primary

Tunnel source 2.2.2.2, destination 1.1.1.1

Tunnel keepalive disabled

Tunnel TTL 255

Tunnel protocol/transport GRE/IP

GRE key disabled

Checksumming of GRE packets disabled

Output queue - Urgent queuing: Size/Length/Discards 0/100/0

Output queue - Protocol queuing: Size/Length/Discards 0/500/0

Output queue - FIFO queuing: Size/Length/Discards 0/75/0

Last clearing of counters: Never

Last 300 seconds input rate: 0 bytes/sec, 0 bits/sec, 0 packets/sec

Last 300 seconds output rate: 0 bytes/sec, 0 bits/sec, 0 packets/sec

Input: 0 packets, 0 bytes, 0 drops

Output: 0 packets, 0 bytes, 0 drops

# 从Router B可以Ping通Router A上GigabitEthernet2/0/1接口的地址。

[RouterB] ping -a 10.1.3.1 10.1.1.1

Ping 10.1.1.1 (10.1.1.1) from 10.1.3.1: 56 data bytes, press CTRL_C to break

56 bytes from 10.1.1.1: icmp_seq=0 ttl=255 time=11.000 ms

56 bytes from 10.1.1.1: icmp_seq=1 ttl=255 time=1.000 ms

56 bytes from 10.1.1.1: icmp_seq=2 ttl=255 time=0.000 ms

56 bytes from 10.1.1.1: icmp_seq=3 ttl=255 time=0.000 ms

56 bytes from 10.1.1.1: icmp_seq=4 ttl=255 time=0.000 ms

--- Ping statistics for 10.1.1.1 ---

5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss

round-trip min/avg/max/std-dev = 0.000/2.400/11.000/4.317 ms

1.5.2 GRE over IPv6隧道典型配置举例

1. 组网需求

运行IPv4协议的两个子网Group 1和Group 2通过IPv6网络相连。通过在Router A和Router B之间建立GRE over IPv6隧道，实现两个子网穿越IPv6网络互联。

3. 配置步骤

在开始下面的配置之前，假设设备各接口的地址都已配置完毕，并且Router A和Router B之间路由可达。

(1) 配置Router A

# 创建Tunnel0接口，并指定隧道模式为GRE over IPv6隧道。

<RouterA> system-view

[RouterA] interface tunnel 0 mode gre ipv6

# 配置Tunnel0接口的IP地址。

[RouterA-Tunnel0] ip address 10.1.2.1 255.255.255.0

# 配置Tunnel0接口的源端地址（Router A的GigabitEthernet2/0/2的IP地址）。

[RouterA-Tunnel0] source 2002::1:1

# 配置Tunnel0接口的目的端地址（Router B的GigabitEthernet2/0/2的IP地址）。

[RouterA-Tunnel0] destination 2001::2:1

[RouterA-Tunnel0] quit

# 配置从Router A经过Tunnel0接口到Group 2的静态路由。

[RouterA] ip route-static 10.1.3.0 255.255.255.0 tunnel 0

(2) 配置Router B

# 创建Tunnel0接口，并指定隧道模式为GRE over IPv6隧道。

<RouterB> system-view

[RouterB] interface tunnel 0 mode gre ipv6

# 配置Tunnel0接口的IP地址。

[RouterB-Tunnel0] ip address 10.1.2.2 255.255.255.0

# 配置Tunnel0接口的源端地址（Router B的GigabitEthernet2/0/2的IP地址）。

[RouterB-Tunnel0] source 2001::2:1

# 配置Tunnel0接口的目的端地址（Router A的GigabitEthernet2/0/2的IP地址）。

[RouterB-Tunnel0] destination 2002::1:1

[RouterB-Tunnel0] quit

# 配置从Router B经过Tunnel0接口到Group 1的静态路由。

[RouterB] ip route-static 10.1.1.0 255.255.255.0 tunnel 0

4. 验证配置

# 查看Router A的Tunnel接口状态。

[RouterA] display interface tunnel 0

Tunnel0

Current state: UP

Line protocol state: UP

Description: Tunnel0 Interface

Bandwidth: 64kbps

Maximum Transmit Unit: 1456

Internet Address is 10.1.2.1/24 Primary

Tunnel source 2002::1:1, destination 2001::2:1

Tunnel TTL 255

Tunnel protocol/transport GRE/IPv6

GRE key disabled

Checksumming of GRE packets disabled

Output queue - Urgent queuing: Size/Length/Discards 0/100/0

Output queue - Protocol queuing: Size/Length/Discards 0/500/0

Output queue - FIFO queuing: Size/Length/Discards 0/75/0

Last clearing of counters: Never

Last 300 seconds input rate: 0 bytes/sec, 0 bits/sec, 0 packets/sec

Last 300 seconds output rate: 0 bytes/sec, 0 bits/sec, 0 packets/sec

Input: 0 packets, 0 bytes, 0 drops

Output: 0 packets, 0 bytes, 0 drops

# 查看Router B的Tunnel接口状态。

[RouterB] display interface tunnel 0

Tunnel0

Current state: UP

Line protocol state: UP

Description: Tunnel0 Interface

Bandwidth: 64kbps

Maximum Transmit Unit: 1456

Internet Address is 10.1.2.2/24 Primary

Tunnel source 2002::2:1, destination 2001::1:1

Tunnel TTL 255

Tunnel protocol/transport GRE/IPv6

GRE key disabled

Checksumming of GRE packets disabled

Output queue - Urgent queuing: Size/Length/Discards 0/100/0

Output queue - Protocol queuing: Size/Length/Discards 0/500/0

Output queue - FIFO queuing: Size/Length/Discards 0/75/0

Last clearing of counters: Never

Last 300 seconds input rate: 0 bytes/sec, 0 bits/sec, 0 packets/sec

Last 300 seconds output rate: 0 bytes/sec, 0 bits/sec, 0 packets/sec

Input: 0 packets, 0 bytes, 0 drops

Output: 0 packets, 0 bytes, 0 drops

# 从Router B可以Ping通Router A上GigabitEthernet2/0/1接口的地址。

[RouterB] ping -a 10.1.3.1 10.1.1.1

Ping 10.1.1.1 (10.1.1.1) from 10.1.3.1: 56 data bytes, press CTRL_C to break

56 bytes from 10.1.1.1: icmp_seq=0 ttl=255 time=2.000 ms

56 bytes from 10.1.1.1: icmp_seq=1 ttl=255 time=1.000 ms

56 bytes from 10.1.1.1: icmp_seq=2 ttl=255 time=1.000 ms

56 bytes from 10.1.1.1: icmp_seq=3 ttl=255 time=0.000 ms

56 bytes from 10.1.1.1: icmp_seq=4 ttl=255 time=1.000 ms

--- Ping statistics for 10.1.1.1 ---

5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss

round-trip min/avg/max/std-dev = 0.000/1.000/2.000/0.632 ms

1.6 常见配置错误举例

GRE的配置相对比较简单，但要注意配置的一致性，大部分的错误都可以使用调试命令debugging gre和debugging tunnel定位。这里仅就一种错误进行分析。

1. 故障现象

如图1-9所示，Tunnel两端接口配置正确且Tunnel两端可以ping通，但Host A和Host B之间却无法ping通。

图1-9 GRE排错示例

2. 故障分析

出现该故障的原因可能是Device A或Device C上没有到达对端网络的路由。

3. 故障排除

(1) 在Device A和Device C分别执行display ip routing-table命令，观察在Device A是否有经过Tunnel0接口到10.2.0.0/16的路由；在Device C是否有经过Tunnel0接口到10.1.0.0/16的路由。

(2) 如果不存在上述路由，则在系统视图下使用ip route-static命令添加静态路由。以Device A为例，配置如下：

[DeviceA] ip route-static 10.2.0.0 255.255.0.0 tunnel 0

暂无评论

3 个回答

按时间按赞数

已采纳

得闲饮水049

得闲饮水049 九段

粉丝：40人关注：6人

IPSEC VPN故障排查：
1、检查公网地址的连通性
2、检查ipsec acl是否配置正确（两端ACL以互为镜像的方式配置）
3、检查ike keychain/ike profile 协商参数配置是否正确（工作模式、keychain、identity、本端/对端隧道地址或隧道名称、NAT穿越功能v7自适应）
4、检查ipsec proposal（v5平台） /ipsec transform-set（v7平台）参数两端是否一致（封装模式、安全协议、验证算法、加密算法）
5、检查设备是否创建ipsec策略，并加载协商参数（acl、ike profile 、ipsec transform-set、对端隧道IP）
6、检查ipsec策略是否应用在正确的接口上

IPSEC排查命令：
1、disp ipsec policy
2、disp acl
3、dis cu conf ike-profile
4、dis cu conf ike-keychain
5、display ike proposal
6、display ipsec transform-set
7、disp ike sa (verbose)
8、disp ipsec sa
9、reset ipsec sa
10、reset ike sa

暂无评论

vlan划分50一次

vlan划分50一次九段

粉丝：22人关注：11人

感兴趣流acl匹配的是tunnel的源目吗

暂无评论

奇怪的流量

奇怪的流量九段

粉丝：29人关注：9人

1.tunnel是down的，检查一下去往隧道目的地址的路由是否在路由表中生效，看看出接口是不是up的。当然源和目的地址以及隧道ip等配置也顺便检查一下。
2.ipsec协商失败。可以开启debugging来定位故障。<>视图下debugging ipsec all，然后terminal debugging，尝试发起一次连接，看看报什么错。

暂无评论

编辑答案

分享扩散:

➤

网站相关: 关于我们; 服务条款; 帮助中心; 经验与权限; 积分规则

联系我们: 联系我们; 建议反馈

常用链接: 标杆的神器下载

关注我们: H3C官网; 新华三服务公众号; 安仔远程运维服务; 新华三商城

内容许可: 除特别说明外，用户内容均可采用知识共享署名-相同方式共享3.0中国大陆许可协议进行许可

本图标版权归新华三集团所有，仅限本社区使用，切勿用做商业目的，违者必究

浙ICP备09064986号-1 浙公网安备 33010802004416号

✖

亲~登录后才可以操作哦!

确定

✖

亲~检测到您登陆的账号未在http://hclhub.h3c.com进行注册

注册后可访问此模块

跳转hclhub

✖

你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作

✖

侵犯我的权益 >

对根叔社区有害的内容 >

辱骂、歧视、挑衅等（不友善）

侵犯我的权益

泄露了我的隐私 >

侵犯了我企业的权益 >

抄袭了我的内容 >

诽谤我 >

辱骂、歧视、挑衅等（不友善）

骚扰我

泄露了我的隐私

您好，当您发现根叔知了上有泄漏您隐私的内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。

1. 您认为哪些内容泄露了您的隐私？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）

侵犯了我企业的权益

您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。

1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
3. 是哪家企业？（营业执照，单位登记证明等证件）
4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）

我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

抄袭了我的内容

原文链接或出处

诽谤我

您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。

1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
2. 您是谁？（身份证明材料，可以是身份证或护照等证件）

我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。

对根叔社区有害的内容

垃圾广告信息

色情、暴力、血腥等违反法律法规的内容

政治敏感

不规范转载 >

辱骂、歧视、挑衅等（不友善）

骚扰我

诱导投票

不规范转载

举报说明

产品线		搜索取消
案例类型
发布者
是否解决
是否官方
时间
搜索引擎
匹配模式	默认策略匹配全词匹配整句

GRE over IPSec

问题描述：

组网及组网描述：

4 GRE显示和维护

1.5 GRE典型配置举例

1.5.1 GRE over IPv4隧道典型配置举例

1. 组网需求

2. 组网图

3. 配置步骤

4. 验证配置

1.5.2 GRE over IPv6隧道典型配置举例

1. 组网需求

2. 组网图

3. 配置步骤

4. 验证配置

1.6 常见配置错误举例

1. 故障现象

2. 故障分析

3. 故障排除

编辑答案

提出建议