问

MSR36-10配置gre over ipsec vpn问题

IPSec VPN

2017-06-26提问

0关注
1收藏，3657浏览

Crystal

Crystal 二段

粉丝：1人关注：0人

问题描述：

两台设备，之间配置的是gre over ipsec vpn，gre中的源目IP地址是IPSEC vpn中的加密地址，按照正常的方式的话是以下顺序（这里使用的IPSEC IKE）

配置本端安全网关名字

配置访问控制列表

配置ike安全提议

配置ike对等体

配置ipsec安全提议

配置安全策略

在接口上应用安全策略组

其中一台设备是按照这样的顺序配置的，但是另外一台设备在配置安全策略时没有引入ACL，同时配置的访问控制列表也没有对应的IP地址（gre中的源目地址），但是IPSEC还是建立起来了并且能正常使用，请问这是为什么，感觉不能理解，麻烦告诉下，谢谢了

最佳答案

笃行之

笃行之八段

粉丝：20人关注：3人

从没有配置ACL侧触发访问也能正常吗？

3 个回答

按时间按赞数

Crystal

Crystal 二段

粉丝：1人关注：0人

我只是ping过，从配置了ACL测是可以ping通的，但是没配置侧ping不能ping通，不过我觉得仍然不能理解，如果一侧没有配置的话应该两边都无法建立连接的吧

为保证IPsec对等体上能够成功建立SA，建议两端设备上用于IPsec的ACL配置为镜像对称，即保证两端定义的要保护的数据流范围的源和目的尽量对称。例如，图1-5中Router A和Router B上的ACL配置都是完全镜像对称的，因此用于保护主机Host A与主机Host C之间、子网Network 1与子网Network 2之间流量的SA均可成功建立。具体可以看下： http://www.h3c.com/cn/Service/Document_Center/Routers/Catalog/MSR/MSR_5600/Configure/Operation_Manual/H3C_MSR_CG(V7)-R0306-6W106/12/201609/949911_30005_0.htm#_Toc460339452

笃行之发表时间：2017-06-26

你可以这样理解：没有写ACL一端，所有数据进入接口的时候都匹配了一遍，当数据流和对端对应上之后就转发出去了。

笃行之发表时间：2017-06-26

回复笃行之:

那请问这样配置的意义何在呢

Crystal 发表时间：2017-06-26

回复笃行之:

还有你这里说的：没有写ACL一端，所有数据进入接口的时候都匹配了一遍，当数据流和对端对应上之后就转发出去了现在其实我是疑惑，因为没有配置ACL，没有引用，并且我查看路由表也没有发现有对应的路由，那么这个数据出去以后对端怎么知道这个数据能和我匹配上？

Crystal 发表时间：2017-06-26

这里能不能这样理解，就是，我在gre over ipsec vpn环境下，虽然没有配置ACL并且引用，但是由于出局的接口应用了安全策略组，那么默认从我这个安全策略组出去的所有流量，都会被封装成出接口的IP，拿GRE来说明，假如配置如下 ip address 172.16.123.25 255.255.255.252 source 192.168.251.7 destination 192.168.253.7 那么这个时候数据包的源目IP就是192.168这个了，然后在接口出去的时候也被默认封装成出接口的IP地址，然后到对端以后，如果没有对应的IPSECvpn，那么这个数据就会被丢弃，如果有的话，则可以正常通信，请问能这样理解吗

Crystal 发表时间：2017-06-27

回复Crystal:

路由器有反向路由注入的功能

笃行之发表时间：2017-06-27

嗯我知道你说的那个，我也在操作手册里看了，但主要实际配置中没有这个，所以我觉得有点难理解

Crystal 发表时间：2017-06-27