安全进阶：GRE实验配置指导

末蓝、 2023-10-07 21:16 16阅读 0赞

### 实验拓扑 ###

![9e4ec26c480777a8aac7ee19898e9cc8.png][]

1.  网络拓扑及IP编址如上图所示；
2.  PC所在的192.168.1.0/24网络及PC2所在的192.168.2.0/24网络是两座信息孤岛，因为R2并没有这两个网络的路由。

### 实验需求 ###

1.  本实验采用静态路由部署；R2上不配置任何静态路由条目；
2.  在R1、R3上部署GRE隧道，使得PC1及PC2能够互通。

### 实验步骤及配置 ###

1.  所有设备完成基本配置

R1的配置如下：

[R1] interface gigabitEthernet0/0/0
    [R1-gigabitEthernet0/0/0] ip address 10.1.12.1 24
    [R1] interface gigabitEthernet0/0/1
    [R1-gigabitEthernet0/0/1] ip address 192.168.1.254 24
    [R1] ip route-static 0.0.0.0 0 10.1.12.2

R2的配置如下：

[R2] interface gigabitEthernet0/0/0
    [R2-gigabitEthernet0/0/0] ip address 10.1.12.2 24
    [R2] interface gigabitEthernet0/0/1
    [R2-gigabitEthernet0/0/0] ip address 10.1.23.2 24

在本实验中，R2只配置接口IP地址，不做任何静态路由的配置。

R3的配置如下：

[R3] interface gigabitEthernet0/0/0
    [R3-gigabitEthernet0/0/0] ip address 10.1.23.3 24
    [R3] interface gigabitEthernet0/0/1
    [R3-gigabitEthernet0/0/1] ip address 192.168.2.254 24
    [R3] ip route-static 0.0.0.0 0 10.1.23.2

完成上述配置后，PC1显然是ping不通PC2的，数据包从R1转发出来后，在R2这里就被丢包了，因为R2此时没有192.168.1.0/24及192.168.2.0/24的路由，也就是说192.168.1.0/24及192.168.2.0/24相当于两座孤岛。

1.  在R1及R3上部署GRE隧道，使得PC1与PC2能够互通

得益于我们在R1及R3上配置的默认路由，此时R1与R3是能够互通的。现在我们借助GRE隧道来实现PC1及PC2的互通。

R1的配置如下：

[R1] interface tunnel 0/0/0 #创建Tunnel0/0/0接口
    [R1-Tunnel0/0/0] tunnel-protocol gre  #指定Tunnel接口的协议类型为GRE
    [R1-Tunnel0/0/0] ip address 1.1.1.1 24 #配置Tunnel接口的IP地址
    [R1-Tunnel0/0/0] source gigabitEthernet0/0/0 #指定Tunnel的本地源
    [R1-Tunnel0/0/0] destination 10.1.23.3 #指定Tunnel的目的地
    [R1-Tunnel0/0/0] quit
    [R1] ip route-static 192.168.2.0 24 tunnel0/0/0  #配置静态路由，将去往192.168.2.0/24网络的流量引导向Tunnel0/0/0接口

R3的配置如下：

[R3] interface tunnel 0/0/0
    [R3-Tunnel0/0/0] tunnel-protocol gre
    [R3-Tunnel0/0/0] ip address 1.1.1.2 24
    [R3-Tunnel0/0/0] source gigabitEthernet0/0/0
    [R3-Tunnel0/0/0] destination 10.1.12.1
    [R3-Tunnel0/0/0] quit
    [R3] ip route-static 192.168.1.0 24 tunnel0/0/0

以R1的配置为例，我们首先是创建了一个隧道口（Tunnel），然后将隧道接口指定为GRE类型，并指定隧道的源和目的。隧道的源是本地的GE0/0/0接口，隧道的目的地址是10.1.23.3，这就明确了隧道的端点：10.1.12.1及10.1.23.3。当R1收到需要从隧道接口送出的报文时，它会为这些报文封装上一个GRE的头部，然后再封装上一个新的IP头部，在这个IP头部中写入源地址10.1.12.1（也就是GE0/0/0接口的地址）和目的IP地址10.1.23.3，然后把数据包转发出去。那么什么数据包是需要被送到隧道的呢？这就要看路由了，我们配置的ip route-static192.168.2.0 24 tunnel0/0/0这条路由发挥的用途就是将去往192.168.2.0/24这个网络的报文送到隧道。由于送入隧道的报文被封装上一个新的IP头部，而这个IP头部中的源、目的地址是全局可路由的，因此这个报文会被顺利的转发到隧道的另一端，另一端的路由器将增加的IP头部和GRE头部剥除，然后将里头所包裹的数据转发下去。如此一来，两座孤岛就能够被打通。

现在PC1就能够与PC2互访了。报文的转发过程如下：

![d729d1d5076e1434273b4e813cc27f62.png][]

[9e4ec26c480777a8aac7ee19898e9cc8.png]: https://img-blog.csdnimg.cn/img_convert/9e4ec26c480777a8aac7ee19898e9cc8.png
[d729d1d5076e1434273b4e813cc27f62.png]: https://img-blog.csdnimg.cn/img_convert/d729d1d5076e1434273b4e813cc27f62.png