iproute2应用－GRE over IPSEC

bin19830808

平台：Red Hat AS4
软件：Iproute2
要求：Kernel支持Gre tunnel

Server1:
Lan:10.0.0.1
Wan:202.89.43.56 （随便写的一个，地址如有雷同，纯属偶然！）

Server2:
Lan:10.0.1.1
Wan:61.134.34.89 （随便写的一个，地址如有雷同，纯属偶然！）

试验要求：
让Server1与Server2通过建立Gre 隧道，使Server1的内网与Server2的内网可以互联，并且要求Server1与Server2之间的通信用Ipsec加密。

配置步骤：

Server1:

# 加载GRE模块
/sbin/modprobe ip_gre
# 添加tunnel口
/sbin/ip tunnel add gre_tun1 mode gre remote 61.134.34.89 local 202.89.43.56 ttl 255
# 设置tunnel的IP地址
/sbin/ip addr add 10.0.255.1 dev gre_tun1
# 启动tunnel
/sbin/ip link set gre_tun1 up
# 添加去往Server2网段的路由
/sbin/ip r add 10.0.255.0/24 dev gre_tun1
/sbin/ip r add 10.0.1.0/24 via 10.0.255.1 dev gre_tun1
# 加载Ipsec的配置
/sbin/setkey -v -f /etc/ipsec.conf

ipsec.conf的配置如下：

#!/sbin/setkey -f
flush;
spdflush;
#AH
add 61.134.34.89 202.89.43.56 ah 15710 -A hmac-md5 "1234567890123456";
add 202.89.43.56 61.134.34.89 ah 24510 -A hmac-md5 "1234567890123456";
#ESP
add 61.134.34.89 202.89.43.56  esp 0x10001 -E des-cbc 0x3ffe05014819ffff;
add 202.89.43.56 61.134.34.89 esp 0x10002 -E des-cbc 0x3ffe05014819ffff;
spdadd 61.134.34.89 202.89.43.56 any -P in ipsec esp/transport//require ah/transport//require;
spdadd 202.89.43.56 61.134.34.89 any -P out ipsec esp/transport//require ah/transport//require;

Server2:

# 加载GRE模块
/sbin/modprobe ip_gre
# 添加tunnel口
/sbin/ip tunnel add gre_tun1 mode gre remote 202.89.43.56 local 61.134.34.89 ttl 255
# 设置tunnel的IP地址
/sbin/ip addr add 10.0.255.2 dev gre_tun1
# 启动tunnel
/sbin/ip link set gre_tun1 up
# 添加去往Server1网段的路由
/sbin/ip r add 10.0.255.0/24 dev gre_tun1
/sbin/ip r add 10.0.0.0/24 via 10.0.255.2 dev gre_tun1
# 加载Ipsec的配置
/sbin/setkey -v -f /etc/ipsec.conf

ipsec.conf的配置如下：

#!/sbin/setkey -f
flush;
spdflush;
#AH
add 61.134.34.89 202.89.43.56 ah 15710 -A hmac-md5 "1234567890123456";
add 202.89.43.56 61.134.34.89 ah 24510 -A hmac-md5 "1234567890123456";
#ESP
add 61.134.34.89 202.89.43.56  esp 0x10001 -E des-cbc 0x3ffe05014819ffff;
add 202.89.43.56 61.134.34.89 esp 0x10002 -E des-cbc 0x3ffe05014819ffff;
spdadd 61.134.34.89 202.89.43.56 any -P out ipsec esp/transport//require ah/transport//require;
spdadd 202.89.43.56 61.134.34.89 any -P in ipsec esp/transport//require ah/transport//require;


测试：
1/从Server1端ping 10.0.1.1
2/从Server2端ping 10.0.0.1

最后主要注意：
在加载ipsec配置后，需要调整tunnel本身的mtu去适应实际的网络传输。

本次试验中使用的mtu为1400
               
               
               

本文来自ChinaUnix博客，如果查看原文请点：http://blog.chinaunix.net/u2/70415/showart_724677.html