×××之GRE隧道協議案例配置

                          ×××之GRE隧道協議案例配置

××× 虛擬專用網，全稱：Virtual Private Network 是一種基於公共數據網的服務，它主要依賴ISP，在公共網絡中創建虛擬專用通訊網絡。

隧道技術：在×××中普遍使用了隧道技術，隧道是一種封裝技術，它是利用一種網絡協議來傳輸另外一種網絡協議。即利用一種網絡協議，將其它的一些協議產生的數據報文封裝在本身的報文中，然後在網絡中傳輸，它的通訊只是一個虛擬的鏈接。

隧道是經過隧道協議來實現，隧道協議包括：第二層隧道協議(PPTP、L2TP)和第三層隧道協議(GRE、IPsec)，下面主要講解第三層隧道協議：GRE

                    GRE隧道協議

GRE 通用路由封裝協議，英文名稱：Generic Routing Encapsulation  它其實是一種封裝協議，提供了將一種協議的報文封裝在另外一種協議報文中的機制，使報文可以在異種網絡中傳輸，異種報文傳輸的通道稱爲tunnel（隧道）

GRE數據包的格式是乘客協議、封裝協議與運輸協議3部分組成

  1.乘客協議：用戶要傳輸的數據，這是真正用戶要傳輸的數據，能夠是IP或IPX等

  2.封裝協議：用於創建、保持、拆卸隧道的協議，好比GRE、IPSEC，它把乘客協議報文進行「包裝」，加上一個GRE頭部，而後再把封裝好的原始報文和GRE頭部，放在IP地方的「數據區」，由IP進行傳輸。

  3.運輸協議：主要是指乘客協議被封裝協議封裝以後要發送出去應用的協議，如今咱們主要使用的是IP協議。

若是使用咱們平時發信來比喻的話，乘客協議就是咱們寫的信的內容(不一樣的協議就等因而不一樣的語言)，而封裝協議就是指信封，它對信件進行封裝，而運輸協議就是咱們用哪一種方式(協議)把信送出去。

示例：gre在中小企業中的應用

     拓撲圖

如今咱們的要求就是讓北京總公司與上海分公司經過廣域網以後，兩邊內網可以相互通訊，因爲是實驗環境，咱們使用一個三層交換機來模擬廣域網，爲了保證其安全性，使用兩個H3C的防火牆來作GRE接入

第二階段：配置廣域網通訊

1.配置廣域網

      <Quidway>system

      Enter system view, return to user view with Ctrl+Z.

      [Quidway]vlan 10                    //建立vlan10

      [Quidway-vlan10]port eth0/1            //將1端口加入vlan

      [Quidway-vlan10]vlan 20              //建立vlan20

      [Quidway-vlan20]port eth0/2            //將端口2加入

      [Quidway-vlan20]int vlan 10

      [Quidway-Vlan-interface10]ip add 61.130.131.1 255.255.255.0    //配置vlan ip

      [Quidway-Vlan-interface10]int vlan 20

      [Quidway-Vlan-interface20]ip add 61.130.130.1 255.255.255.0    //配置vlan ip

2.北京總公司防火牆配置

      <H3C>system

      [H3C]int eth0/0

      [H3C-Ethernet0/0]ip add 192.168.1.1 24           //配置內網網關

      [H3C-Ethernet0/0]int eth0/4

      [H3C-Ethernet0/4]ip add 61.130.131.2 24          //配置外網ip

      [H3C]firewall zone untrust 

      [H3C-zone-untrust]add int eth0/4                 //將eth0/4加入untrust區域

      [H3C-zone-untrust]

      [H3C]ip route-static 0.0.0.0 0 61.130.131.1         //配置靜態路由

3.上海分公司防火牆配置

  <H3C>system

  System View: return to User View with Ctrl+Z.

  [H3C]int eth0/0

  [H3C-Ethernet0/0]ip add 192.168.2.1 24          //內網網關

  [H3C-Ethernet0/0]int eth0/4 

  [H3C-Ethernet0/4]ip add 61.130.130.2 24         //外網IP

  [H3C]firewall zone untrust 

  [H3C-zone-untrust]add int eth0/4                 //將eth0/4加入untrust區域

  [H3C]ip route-static 0.0.0.0 0 61.130.130.1         //配置靜態路由

  4.測試

   使用北京防火牆ping上海防火牆端口ip

   [H3C]ping 61.130.130.2

  PING 61.130.130.2: 56  data bytes, press CTRL_C to break

    Reply from 61.130.130.2: bytes=56 Sequence=1 ttl=254 time=19 ms

    Reply from 61.130.130.2: bytes=56 Sequence=2 ttl=254 time=6 ms

    Reply from 61.130.130.2: bytes=56 Sequence=3 ttl=254 time=5 ms

    Reply from 61.130.130.2: bytes=56 Sequence=4 ttl=254 time=5 ms

    Reply from 61.130.130.2: bytes=56 Sequence=5 ttl=254 time=6 ms

  --- 61.130.130.2 ping statistics ---

    5 packet(s) transmitted

    5 packet(s) received

    0.00% packet loss

    round-trip min/avg/max = 5/8/19 ms

 第二階段：隧道配置

         1. 北京總公司防火牆配置

            [H3C]int Tunnel 10                            //建立隧道10

            [H3C-Tunnel10]tunnel-protocol gre               //gre封裝協議

            [H3C-Tunnel10]source 61.130.131.2              //源ip（外網合法ip）

            [H3C-Tunnel10]destination 61.130.130.2          //目的ip（對端合法ip）

            [H3C-Tunnel10]ip add 192.168.4.1 24             //隧道ip

            [H3C-Tunnel10]quit

            [H3C]ip route-static 192.168.2.0 255.255.255.0 Tunnel 10 //靜態路由，指出到達192.168.2.0網段的路由進入tunnel 10進行傳輸

        [H3C]firewall zone untrust                  

        [H3C-zone-untrust]add int Tunnel 10               //把隧道加入非安全區域

         2. 上海總公司防火牆配置

        [H3C]int Tunnel 20

        [H3C-Tunnel20]tunnel-protocol gre

        [H3C-Tunnel20]source 61.130.130.2

        [H3C-Tunnel20]destination 61.130.131.2

        [H3C-Tunnel20]ip add 192.168.4.2 24

        [H3C-Tunnel20]quit

        [H3C]ip route-static 192.168.1.0 255.255.255.0 Tunnel 20 

        [H3C]firewall zone untrust

        [H3C-zone-untrust]add interface Tunnel 20

    3.測試

      使用北京總公司一個主機ping上海分公司的網關

    C:\Documents and Settings\Administrator>ping 192.168.2.1

    Pinging 192.168.2.1 with 32 bytes of data:

    Reply from 192.168.2.1: bytes=32 time=8ms TTL=254

    Reply from 192.168.2.1: bytes=32 time=5ms TTL=254

    Reply from 192.168.2.1: bytes=32 time=4ms TTL=254

    Reply from 192.168.2.1: bytes=32 time=4ms TTL=254

    Ping statistics for 192.168.2.1:

      Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),

   Approximate round trip times in milli-seconds:

      Minimum = 4ms, Maximum = 8ms, Average = 5ms