R1和R2上运行×××网关和GLBP,R3模拟ISP路由器,R1和R4建立SVTI的ipsec站点。
如果使用传统的IPsec建立的×××站点,由于源地址是无法指定IP,所以R1无法使用虚拟IP和R4建立×××关联。
SVTI在IPsec内嵌了GRE,由tunnel指定源IP和目的IP,加挂IPsec,IPsec的起点和终点就和tunnel指定的相同,这样就可以实现IPsec的源IP指定。
看一下R1配置
crypto isakmp policy 10
authentication pre-share
crypto isakmp key cisco address 40.1.1.2
!
!
crypto ipsec transform-set ESP-des-md5 esp-des esp-md5-hmac
!
crypto ipsec profile ipsec-profile
set transform-set ESP-des-md5
!
!
!
!
!
interface Tunnel0
ip address 172.16.1.1 255.255.255.0
tunnel source 61.1.1.1
tunnel destination 40.1.1.2
tunnel mode ipsec ipv4
tunnel protection ipsec profile ipsec-profile
!
interface FastEthernet0/0
ip address 61.1.1.4 255.255.255.0
duplex auto
speed auto
glbp 1 ip 61.1.1.1
glbp 1 load-balancing host-dependent
!
no ip http server
no ip http secure-server
ip route 0.0.0.0 0.0.0.0 61.1.1.3
////
R2的配置,就是接口的IP不同为61.1.1.2,其它的都相同。
另外glbp 1 load-balancing host-dependent
这样可以黏住R3,向61.1.1.1送的包一直向R1或者R2不变,如果默认的话会随着ARP的超时,或者其它什么原因,把包送到另外一台路由上,造成IPsec中断。
R3就配置接口就行,略。
R4的配置
crypto isakmp policy 10
authentication pre-share
crypto isakmp key cisco address 61.1.1.1
!
!
crypto ipsec transform-set ESP-des-md5 esp-des esp-md5-hmac
!
crypto ipsec profile ipsec-profile
set transform-set ESP-des-md5
!
!
!
!
!
interface Tunnel0
ip address 172.16.1.4 255.255.255.0
tunnel source 40.1.1.2
tunnel destination 61.1.1.1
tunnel mode ipsec ipv4
tunnel protection ipsec profile ipsec-profile
!
interface FastEthernet0/0
ip address 40.1.1.2 255.255.255.0
duplex auto
speed auto
!
no ip http server
no ip http secure-server
ip route 0.0.0.0 0.0.0.0 40.1.1.1
当然是要HSRP和VRRP也能达到同样的效果,另外也不用glbp 1 load-balancing host-dependent了。
免责声明:本站发布的内容(图片、视频和文字)以原创、转载和分享为主,文章观点不代表本网站立场,如果涉及侵权请联系站长邮箱:is@yisu.com进行举报,并提供相关证据,一经查实,将立刻删除涉嫌侵权内容。