配置分支机构与总部之间通过IPSec Over GRE方式实现安全互通

UID: 25503

【实战配置】分支机构与总部之间通过IPSec Over GRE方式实现安全互通

一、组网需求

Router_1为公司分支网关，Router_2为公司总部网关，分支与总部通过公网建立通信。

原本分支与总部通过GRE隧道实现私网互通，现要求对互访流量（不包括组播数据）进行安全保护。

解决方案：基于虚拟隧道接口方式建立IPSec Over GRE隧道，对分支和总部互通的流量进行加密保护。


二、配置思路

1. 配置接口IP地址及公网可达
2. 配置安全提议、IKE提议、IKE对等体、安全框架
3. 配置GRE隧道接口（承载私网互通）
4. 配置IPSec隧道接口（源接口指向GRE隧道，应用安全框架）
5. 配置静态路由，引导私网流量进入IPSec隧道

三、关键配置与注释

1. 分支网关 Router_1 配置

1. 
   
2. # 配置设备名称
   
3. sysname Router_1
   
4. 
   
5. # ==================== 1. IPsec安全提议 ====================
   
6. ipsec proposal tran1
   
7. esp authentication-algorithm sha2-256   # ESP认证算法：SHA2-256
   
8. esp encryption-algorithm aes-128        # ESP加密算法：AES-128
   
9. 
   
10. # ==================== 2. IKE提议 ====================
    
11. ike proposal 5
    
12. encryption-algorithm aes-cbc-128        # IKE加密算法：AES-CBC-128
    
13. authentication-algorithm sha2-256       # IKE认证算法：SHA2-256
    
14. 
    
15. # ==================== 3. IKE对等体 ====================
    
16. # 不同版本命令有差异：V200R008前用"ike peer spub v2"；V200R008后用"ike peer spub" + "version 2"
    
17. ike peer spub v2
    
18. pre-shared-key cipher huawei123         # 预共享密钥（两端必须一致）
    
19. ike-proposal 5
    
20. 
    
21. # ==================== 4. IPsec安全框架 ====================
    
22. ipsec profile profile1
    
23. ike-peer spub
    
24. proposal tran1
    
25. 
    
26. # ==================== 5. GRE隧道接口 ====================
    
27. interface Tunnel0/0/0
    
28. ip address 192.168.1.1 255.255.255.0   # GRE隧道IP（用于源/目的地址）
    
29. tunnel-protocol gre
    
30. source 202.138.163.1                    # 源地址：公网出接口IP
    
31. destination 202.138.162.1               # 目的地址：总部公网IP
    
32. 
    
33. # ==================== 6. IPSec隧道接口（关键！） ====================
    
34. interface Tunnel0/0/1
    
35. ip address 192.168.2.1 255.255.255.0   # IPSec隧道IP（用于路由）
    
36. tunnel-protocol ipsec
    
37. source Tunnel0/0/0                      # ★ 源接口指向GRE隧道接口
    
38. destination 192.168.1.2                 # ★ 目的地址：对端GRE隧道IP
    
39. ipsec profile profile1                  # 应用IPsec安全框架
    
40. 
    
41. # ==================== 7. 物理接口配置 ====================
    
42. interface GigabitEthernet1/0/0
    
43. ip address 202.138.163.1 255.255.255.0 # 公网出接口
    
44. 
    
45. interface GigabitEthernet2/0/0
    
46. ip address 10.1.1.1 255.255.255.0      # 连接分支内网
    
47. 
    
48. # ==================== 8. 静态路由 ====================
    
49. # 引导分支内网访问总部内网的流量进入IPSec隧道
    
50. ip route-static 10.1.2.0 255.255.255.0 tunnel0/0/1
    
51. 
    
52. # 公网路由：确保GRE隧道源/目的地址可达
    
53. ip route-static 202.138.162.0 255.255.255.0 202.138.163.2
    
54. 
    
55. return
    

复制代码

2. 总部网关 Router_2 配置

1. 
   
2. # 配置设备名称
   
3. sysname Router_2
   
4. 
   
5. # ==================== 1. IPsec安全提议 ====================
   
6. ipsec proposal tran1
   
7. esp authentication-algorithm sha2-256   # 必须与Router_1一致
   
8. esp encryption-algorithm aes-128        # 必须与Router_1一致
   
9. 
   
10. # ==================== 2. IKE提议 ====================
    
11. ike proposal 5
    
12. encryption-algorithm aes-cbc-128        # 必须与Router_1一致
    
13. authentication-algorithm sha2-256       # 必须与Router_1一致
    
14. 
    
15. # ==================== 3. IKE对等体 ====================
    
16. ike peer spua v2
    
17. pre-shared-key cipher huawei123         # 预共享密钥必须一致
    
18. ike-proposal 5
    
19. 
    
20. # ==================== 4. IPsec安全框架 ====================
    
21. ipsec profile profile1
    
22. ike-peer spua
    
23. proposal tran1
    
24. 
    
25. # ==================== 5. GRE隧道接口 ====================
    
26. interface Tunnel0/0/0
    
27. ip address 192.168.1.2 255.255.255.0   # GRE隧道IP（对端为192.168.1.1）
    
28. tunnel-protocol gre
    
29. source 202.138.162.1                    # 源地址：公网出接口IP
    
30. destination 202.138.163.1               # 目的地址：分支公网IP
    
31. 
    
32. # ==================== 6. IPSec隧道接口 ====================
    
33. interface Tunnel0/0/1
    
34. ip address 192.168.2.2 255.255.255.0   # IPSec隧道IP（对端为192.168.2.1）
    
35. tunnel-protocol ipsec
    
36. source Tunnel0/0/0                      # ★ 源接口指向GRE隧道接口
    
37. destination 192.168.1.1                 # ★ 目的地址：对端GRE隧道IP
    
38. ipsec profile profile1                  # 应用IPsec安全框架
    
39. 
    
40. # ==================== 7. 物理接口配置 ====================
    
41. interface GigabitEthernet1/0/0
    
42. ip address 202.138.162.1 255.255.255.0 # 公网出接口
    
43. 
    
44. interface GigabitEthernet2/0/0
    
45. ip address 10.1.2.1 255.255.255.0      # 连接总部内网
    
46. 
    
47. # ==================== 8. 静态路由 ====================
    
48. # 引导总部内网访问分支内网的流量进入IPSec隧道
    
49. ip route-static 10.1.1.0 255.255.255.0 tunnel0/0/1
    
50. 
    
51. # 公网路由：确保GRE隧道源/目的地址可达
    
52. ip route-static 202.138.163.0 255.255.255.0 202.138.162.2
    
53. 
    
54. return
    

复制代码

四、配置验证

验证命令：

1. 
   
2. display ike sa      # 查看IKE安全联盟
   
3. display ipsec sa    # 查看IPsec安全联盟
   
4. ping 10.1.2.1       # 测试私网互通性
   

复制代码

预期结果：
●

1. display ike sa

复制代码

显示Flag(s)字段为RD（SA建立成功），Phase字段显示阶段1和阶段2均已建立
● PC_1与PC_2可以相互Ping通（私网互通）

五、核心注意事项

⚠️ 关键点1：IPSec Tunnel接口配置
IPSec Tunnel接口的源接口必须指定为GRE Tunnel接口，目的地址必须为对端GRE Tunnel接口的IP地址。这样才能确保IPSec保护的是经过GRE封装后的流量。

⚠️ 关键点2：路由指向
引导私网流量的路由必须指向IPSec Tunnel接口（而非GRE Tunnel接口），否则流量不会被IPsec加密。

⚠️ 关键点3：IKE版本差异
V200R008之前版本使用

1. ike peer spub v2

复制代码

指定IKEv2；V200R008及之后版本使用

1. ike peer spub

复制代码

+

1. version 2

复制代码

。请根据实际设备版本调整。

💡 扩展思路：
● 如需保护组播/广播流量，GRE Over IPSec（本方案）比IPSec Over GRE更合适
● 如需高可靠性，可结合VRRP为隧道接口提供冗余备份
● 如需动态路由，可在GRE隧道接口上运行OSPF，减少静态路由配置

六、总结

本方案通过“GRE隧道 + IPSec隧道”双层隧道嵌套，实现了分支与总部之间的安全加密通信：

● GRE隧道：承载私网互通，支持多协议封装
● IPSec隧道：对经过GRE封装的流量进行加密和认证
● 虚拟隧道接口方式：配置简洁，便于管理和路由

该模型适用于分支/总部通过公网互通的场景，尤其适合需要保护组播、非IP协议的复杂网络环境。

互动提问

各位网工朋友，在实际工作中，你更倾向使用IPSec Over GRE还是GRE Over IPSec？遇到过哪些版本差异的坑？欢迎留言分享！

--- 鸿鹄论坛，一路同行 ---