问

纯ipsec，没有gre，到对端的路由怎么写？

2022-06-15提问

0关注
1收藏，903浏览

我叫高启强

我叫高启强四段

粉丝：2人关注：10人

问题描述：

到对端的路由应该怎么写，因为有gre的话，可以把去往对端路由指向tun口，那没有gre，只有ipsec去往对端路由，怎么写，两端都是公网ip

最佳答案

已采纳

学道

学道七段

粉丝：6人关注：1人

补充内容

(1) 配置Router A

# 配置一个访问控制列表，定义由子网10.1.1.0/24去子网10.1.2.0/24的数据流。

<RouterA> system-view

[RouterA] acl number 3101

[RouterA-acl-adv-3101] rule permit ip source 10.1.1.0 0.0.0.255 destination 10.1.2.0 0.0.0.255

[RouterA-acl-adv-3101] quit

# 配置到Host B的静态路由。

[RouterA] ip route-static 10.1.2.0 255.255.255.0 serial 2/1/1

# 创建名为tran1的安全提议。

[RouterA] ipsec proposal tran1

# 报文封装形式采用隧道模式。

[RouterA-ipsec-proposal-tran1] encapsulation-mode tunnel

# 安全协议采用ESP协议。

[RouterA-ipsec-proposal-tran1] transform esp

# 选择算法。

[RouterA-ipsec-proposal-tran1] esp encryption-algorithm des

[RouterA-ipsec-proposal-tran1] esp authentication-algorithm sha1

[RouterA-ipsec-proposal-tran1] quit

# 配置IKE对等体。

[RouterA] ike peer peer

[RouterA-ike-peer-peer] pre-shared-key abcde

[RouterA-ike-peer-peer] remote-address 2.2.3.1

[RouterA-ike-peer-peer] quit

# 创建一条安全策略，协商方式为isakmp。

[RouterA] ipsec policy map1 10 isakmp

# 引用安全提议。

[RouterA-ipsec-policy-isakmp-map1-10] proposal tran1

# 引用访问控制列表。

[RouterA-ipsec-policy-isakmp-map1-10] security acl 3101

# 引用IKE对等体。

[RouterA-ipsec-policy-isakmp-map1-10] ike-peer peer

[RouterA-ipsec-policy-isakmp-map1-10] quit

# 配置串口的IP地址。

[RouterA] interface serial 2/1/1

[RouterA-Serial2/1/1] ip address 2.2.2.1 255.255.255.0

# 在串口上应用安全策略组。

[RouterA-Serial2/1/1] ipsec policy map1

(2) 配置Router B

# 配置一个访问控制列表，定义由子网10.1.2.0/24去子网10.1.1.0/24的数据流。

<RouterB> system-view

[RouterB] acl number 3101

[RouterB-acl-adv-3101] rule permit ip source 10.1.2.0 0.0.0.255 destination 10.1.1.0 0.0.0.255

[RouterB-acl-adv-3101] quit

# 配置到Host A的静态路由。

[RouterB] ip route-static 10.1.1.0 255.255.255.0 serial 2/1/2

# 创建名为tran1的安全提议。

[RouterB] ipsec proposal tran1

# 报文封装形式采用隧道模式。

[RouterB-ipsec-proposal-tran1] encapsulation-mode tunnel

# 安全协议采用ESP协议。

[RouterB-ipsec-proposal-tran1] transform esp

# 选择算法。

[RouterB-ipsec-proposal-tran1] esp encryption-algorithm des

[RouterB-ipsec-proposal-tran1] esp authentication-algorithm sha1

[RouterB-ipsec-proposal-tran1] quit

# 配置IKE对等体。

[RouterB] ike peer peer

[RouterB-ike-peer-peer] pre-shared-key abcde

[RouterB-ike-peer-peer] remote-address 2.2.2.1

[RouterB-ike-peer-peer] quit

# 创建一条安全策略，协商方式为isakmp。

[RouterB] ipsec policy use1 10 isakmp

# 引用访问控制列表。

[RouterB-ipsec-policy-isakmp-use1-10] security acl 3101

# 引用安全提议。

[RouterB-ipsec-policy-isakmp-use1-10] proposal tran1

# 引用IKE对等体。

[RouterB-ipsec-policy-isakmp-use1-10] ike-peer peer

[RouterB-ipsec-policy-isakmp-use1-10] quit

# 配置串口的IP地址。

[RouterB] interface serial 2/1/2

[RouterB-Serial2/1/2] ip address 2.2.3.1 255.255.255.0

# 在串口上应用安全策略组。

[RouterB-Serial2/1/2] ipsec policy use1

谢谢解答

我叫高启强发表时间：2022-06-17

4 个回答

按时间按赞数

学道

学道七段

粉丝：6人关注：1人

依然是默认路由，ipsec配置中配置感兴趣数据流即可

proposal

proposal 五段

粉丝：0人关注：1人

写公网IP地址下一跳即可

一二三四

一二三四九段

粉丝：20人关注：2人

去往公网的默认路由即可，不用单独写路由；只要保证两端节点的公网地址的连通性可达，即可搭建IPSec VPN的应用。

定义好相关兴趣流后，路由器进行三层转发查找路由表项时去匹配缺省表项，将该数据包交付给对应出接口，而这个出接口正是你调用IPsec policy接口，于是就触发了IPsec隧道的封装，根据你使用的封装协议（ESP/AH），进行IP包头或（包头与包尾）进一步封装；期间使用加密和验证算法进行校验，最外层封装上源端公网IP头、目的公网IP头。从出接口发出，交付下一跳，中间设备只拆最外层公网封装进行路由；到达目的端设备后，设备正常解封装，解开公网IP头，发现IP协议号对应ESP/AH，于是设备就知道这是IPsec的包，交给对应IPsec模块进行解密及解封装（被VPN保护的），解开后的明文包，设备交给转发模块进行转发（查三层相关表项），于是包就达到了相应的主机。