×××之GRE隧道協議案例配置

×××虛擬專用網，全稱：VirtualPrivateNetwork是一種基於公共資料網的服務，它主要依賴ISP，在公共網路中建立虛擬專用通訊網路。

隧道技術：在×××中廣泛使用了隧道技術，隧道是一種封裝技術，它是利用一種網路協議來傳輸另一種網路協議。即利用一種網路協議，將其它的一些協議產生的資料報文封裝在自己的報文中，而後在網路中傳輸，它的通訊只是一個虛擬的連線。

隧道是通過隧道協議來實現，隧道協議包括：第二層隧道協議(PPTP、L2TP)和第三層隧道協議

GRE隧道協議

GRE通用路由封裝協議，英文名稱：GenericRoutingEncapsulation它實際上是一種封裝協議，提供了將一種協議的報文封裝在另一種協議報文中的機制，使報文能夠在異種網路中傳輸，異種報文傳輸的通道稱為tunnel（隧道）

GRE資料包的格式是乘客協議、封裝協議與運輸協議3部分組成

1.乘客協議：使用者要傳輸的資料，這是真正使用者要傳輸的資料，可以是IP或IPX等

2.封裝協議：用於建立、保持、拆卸隧道的協議，比如GRE、IPSEC，它把乘客協議報文進行“包裝”，加上一個GRE頭部，然後再把封裝好的原始報文和

3.運輸協議：主要是指乘客協議被封裝協議封裝之後要傳送出去應用的協議，現在我們主要使用的是IP協議。

如果使用我們平時發信來比喻的話，乘客協議就是我們寫的信的內容(不同的協議就等於是不同的語言)，而封裝協議就是指信封，它對信件進行封裝，而運輸協議就是我們用哪種方式(協議)把信送出去。

示例：gre在中小企業中的應用

拓撲圖

現在我們的要求就是讓北京總公司與上海分公司通過廣域網之後，兩邊內網能夠相互通訊，由於是實驗環境，我們使用一個三層交換機來模擬廣域網，為了保證其安全性，使用兩個H3C的防火牆來做GRE接入

第二階段：配置廣域網通訊

1.配置廣域網

<Quidway>system

Entersystemview,returntouserviewwithCtrl+Z.

[Quidway]vlan10//建立vlan10

[Quidway-vlan10]porteth0/1//將1埠加入vlan

[Quidway-vlan10]vlan20//建立vlan20

[Quidway-vlan20]porteth0/2//將埠2加入

[Quidway-vlan20]intvlan10

[Quidway-Vlan-interface10]ipadd61.130.131.1255.255.255.0//配置vlanip

[Quidway-Vlan-interface10]intvlan20

[Quidway-Vlan-interface20]ipadd61.130.130.1255.255.255.0//配置vlanip

2.北京總公司防火牆配置

<H3C>system

[H3C]inteth0/0

[H3C-Ethernet0/0]ipadd192.168.1.124//配置內網閘道器

[H3C-Ethernet0/0]inteth0/4

[H3C-Ethernet0/4]ipadd61.130.131.224//配置外網ip

[H3C]firewallzoneuntrust

[H3C-zone-untrust]addinteth0/4//將eth0/4加入untrust區域

[H3C-zone-untrust]

[H3C]iproute-static0.0.0.0061.130.131.1//配置靜態路由

3.上海分公司防火牆配置

<H3C>system

SystemView:returntoUserViewwithCtrl+Z.

[H3C]inteth0/0

[H3C-Ethernet0/0]ipadd192.168.2.124//內網閘道器

[H3C-Ethernet0/0]inteth0/4

[H3C-Ethernet0/4]ipadd61.130.130.224//外網IP

[H3C]firewallzoneuntrust

[H3C-zone-untrust]addinteth0/4//將eth0/4加入untrust區域

[H3C]iproute-static0.0.0.0061.130.130.1//配置靜態路由

4.測試

使用北京防火牆ping上海防火牆埠ip

[H3C]ping61.130.130.2

PING61.130.130.2:56databytes,pressCTRL_Ctobreak

Replyfrom61.130.130.2:bytes=56Sequence=1ttl=254time=19ms

Replyfrom61.130.130.2:bytes=56Sequence=2ttl=254time=6ms

Replyfrom61.130.130.2:bytes=56Sequence=3ttl=254time=5ms

Replyfrom61.130.130.2:bytes=56Sequence=4ttl=254time=5ms

Replyfrom61.130.130.2:bytes=56Sequence=5ttl=254time=6ms

---61.130.130.2pingstatistics---

5packet(s)transmitted

5packet(s)received

0.00%packetloss

round-tripmin/avg/max=5/8/19ms

第二階段：隧道配置

1.北京總公司防火牆配置

[H3C]intTunnel10//建立隧道10

[H3C-Tunnel10]tunnel-protocolgre//gre封裝協議

[H3C-Tunnel10]source61.130.131.2//源ip（外網合法ip）

[H3C-Tunnel10]destination61.130.130.2//目的ip（對端合法ip）

[H3C-Tunnel10]ipadd192.168.4.124//隧道ip

[H3C-Tunnel10]quit

[H3C]iproute-static192.168.2.0255.255.255.0Tunnel10//靜態路由，指出到達192.168.2.0網段的路由進入tunnel10進行傳輸

[H3C]firewallzoneuntrust

[H3C-zone-untrust]addintTunnel10//把隧道加入非安全區域

2.上海總公司防火牆配置

[H3C]intTunnel20

[H3C-Tunnel20]tunnel-protocolgre

[H3C-Tunnel20]source61.130.130.2

[H3C-Tunnel20]destination61.130.131.2

[H3C-Tunnel20]ipadd192.168.4.224

[H3C-Tunnel20]quit

[H3C]iproute-static192.168.1.0255.255.255.0Tunnel20

[H3C]firewallzoneuntrust

[H3C-zone-untrust]addinterfaceTunnel20

3.測試

使用北京總公司一個主機ping上海分公司的閘道器

C:\DocumentsandSettings\Administrator>ping192.168.2.1

Pinging192.168.2.1with32bytesofdata:

Replyfrom192.168.2.1:bytes=32time=8msTTL=254

Replyfrom192.168.2.1:bytes=32time=5msTTL=254

Replyfrom192.168.2.1:bytes=32time=4msTTL=254

Replyfrom192.168.2.1:bytes=32time=4msTTL=254

Pingstatisticsfor192.168.2.1:

Packets:Sent=4,Received=4,Lost=0(0%loss),

Approximateroundtriptimesinmilli-seconds:

Minimum=4ms,Maximum=8ms,Average=5ms