ospf+gre+ipsec+l2tp研究
- 格式：docx
- 大小：119.68 KB
- 文档页数：16
GRE over IPSEC over l2tp with OSPF案例研究关键词：IPSEC、GRE、OSPF、L2TP、ip route peer-address、ip route peer-address摘要：以下在IPSEC模式下跑OSPF路由协议的讨论上展开的一个讨论研究，如何在IPSEC网络上面去动态实施OSPF路由协议。
特性介绍：IPsec（IP security）协议族是IETF制定的一系列协议，它为IP数据报提供了高质量的、可互操作的、基于密码学的安全性。
特定的通信方之间在IP层通过加密与数据源验证等方式，来保证数据报在网络上传输时的私有性、完整性、真实性和防重放。
GRE协议是对某些网络层协议的数据报进行封装，使这些被封装的数据报能够在另一个网络层协议中传输。
GRE是VPN的第三层隧道协议，在协议层之间采用了一种被称之为Tunnel 的技术。
Tunnel是一个虚拟的点对点的连接，在实际中可以看成仅支持点对点连接的虚拟接口，这个接口提供了一条通路使封装的数据报能够在这个通路上传输，并且在一个Tunnel 的两端分别对数据报进行封装及解封装。
通常情况下，IPsec不能传输路由协议，例如RIP和OSPF；或者非IP数据流，例如IPX （Internetwork Packet Exchange）和AppleTalk。
这样，如果要在IPsec构建的VPN网络上传输这些数据就必须借助于GRE协议，对路由协议报文等进行封装，使其成为IPsec可以处理的IP报文，这样就可以在IPsec VPN网络中实现不同的网络的路由。
在接下来的实验中，我们将验证为什么IPSEC不能传输OSPF路由协议，在IPSEC中只传送单播，而OSPF是基于组播进行通告的，在IPSEC环境下，我们在OSPF路由协议中手动指定neighbor来进行单播传送，并通过debug消息分析原因。
实验拓扑：拓扑描述：R1路由器为网点，使用2条线路，一条为MSTP线路，一条为3G线路。
在此处使用有线模拟3G线路进行L2TP拨号，获取到LNS下发的IP地址，要求为先走主线路，当主线路断掉的情况下，走备份线路，全网使用ospf路由协议进行通告。
在实验中重点介绍l2tp,gre,ipsec和OSPF，其中会涉及到l2tp+ospf这个场景。
R1配置：hostname R1dialer-list 1 protocol ip permit!endinterface loopback10ip address 172.16.0.1 255.255.255.255 exitinterface dialer0encapsulation pppppp chap password 7 [WOWWWNXSXppp chap hostname maipu@ip address negotiatedmtu 1492dialer in-banddialer pool 1dialer idle-timeout 0dialer-group 1ip tcp adjust-mss 1452ui-control inaccessible telnet httpexitinterface fastethernet0pppoe-client dial-pool-number 1pppoe-client auto-dial alwaysexitrouter ospf 1network 0.0.0.0 255.255.255.255 area 0 exitip route 0.0.0.0 0.0.0.0 dialer0R1#show ip interface briefInterface IP-Address Status Protocol Description loopback10 172.16.0.1 up updialer0 1.1.1.3 up upfastethernet0 unassigned up upfastethernet1 unassigned down downvirtual-access0 unassigned up upnull0 unassigned up upR1#show ip ospf neighborOSPF process 1:Neighbor ID Pri State Dead Time Address InterfaceLAC配置：hostname LACuser maipu@ password 7 [WOWWWNXSXip load-sharing per-destinationinterface virtual-template1encapsulation pppppp authentication chapip unnumber fastethernet1mtu 1492ip tcp adjust-mss 1452exitinterface fastethernet0pppoe enableexitinterface fastethernet1ip address 3.3.3.2 255.255.255.252exitvpdn enablevpdn-group 1accept-dialinprotocol pppoevirtual-template 1exitlocal name pppoe-serverexitvpdn-group 2request-dialinprotocol l2tpdomain exitinitiate-to ip 3.3.3.1l2tp tunnel password 7 [WOWWWNXSXexitLNS配置：hostname LNSuser maipu@ password 7 [WOWWWNXSX ip local pool maipu 1.1.1.1 1.1.1.100aaa new-modelaaa authentication login default localaaa authentication ppp default localaaa authorization network default localinterface loopback0ip address 8.8.8.8 255.255.255.255 exitinterface loopback10ip address 10.0.0.1 255.255.255.255 exitinterface virtual-template1encapsulation ppppeer default ip address pool maipu ppp authentication chap defaultppp authorization defaultip unnumber loopback0exitinterface fastethernet0ip address 3.3.3.1 255.255.255.252 exitinterface fastethernet1ip address 4.1.1.1 255.255.255.252 exitvpdn enablevpdn-group 1accept-dialinprotocol l2tpvirtual-template 1exitl2tp tunnel password 7 [WOWWWNXSX no l2tp tunnel authenticationlcp renegotiation on-mismatchexitrouter ospf 1network 0.0.0.0 255.255.255.255 area 0exitip route 0.0.0.0 0.0.0.0 3.3.3.2LNS#show vpdn detailL2TP MaxTun 300, MaxSes 600:tunnel free num: 299TUNNELS:LocID LocName RemID RemName RemAddr Port Sess State48 Router 40 Router 3.3.3.2 1701 1 ESTABsession free num: 599SESSIONS:LocID TunID RemID IfName State3 48 6 virtual-access0 ESTABL2TP total Tunnel and Session Information. Tunnel 1 Session 1LNS#show ip route conLNS#show ip route connectedCodes: C - connected, S - static, R - RIP, O - OSPF, OE-OSPF External, M - ManagementD - Redirect,E - IRMP, EX - IRMP external, o - SNSP, B - BGP, i-ISISGateway of last resort is 3.3.3.2 to network 0.0.0.0C 3.3.3.0/30 is directly connected, 02:52:59, fastethernet0C 4.1.1.0/30 is directly connected, 01:06:08, fastethernet1C 127.0.0.0/8 is directly connected, 04:05:46, lo0C 1.1.1.3/32 is directly connected, 02:28:40, virtual-access0C 1.1.1.200/32 is directly connected, 02:29:09, loopback2C 8.8.8.8/32 is directly connected, 02:58:03, loopback0C 10.0.0.1/32 is directly connected, 02:32:32, loopback10LNS#show ip ospf neighborOSPF process 1:Neighbor ID Pri State Dead Time Address Interface172.16.0.1 1 Init/ - 00:00:29 1.1.1.3 virtual-access0在核心端LNS设备上面debug ip ospf packet hello查看消息：04:10:05: OSPF: RECV[Hello]: From 172.16.0.1 via virtual-access2:8.8.8.8 (1.1.1.4 -> 224.0.0.5) 04:10:15: OSPF: RECV[Hello]: From 172.16.0.1 via virtual-access2:8.8.8.8 (1.1.1.4 -> 224.0.0.5) 04:10:25: OSPF: RECV[Hello]: From 172.16.0.1 via virtual-access2:8.8.8.8 (1.1.1.4 -> 224.0.0.5)此时在R1路由器上面debug ip packet hello查看状态04:14:48: OSPF: Recv: Not match source if(name:dialer0:1.1.1.4 src:1.1.1.4 ) pkt:8.8.8.804:14:58: OSPF: Recv: Not match source if(name:dialer0:1.1.1.4 src:1.1.1.4 ) pkt:8.8.8.8R1#show ip ospf neighborOSPF process 1:Neighbor ID Pri State Dead Time Address Interface根据在R1上面提示源地址检察不匹配，因此在收到对端LNS发过来的hello报文中会进行检察源地址与子网掩码是否包含在同一个网段，在检察中发现地址不是在同一个网段中，那么收到的hell0报文将不会认为是合法的邻居，因此没有邻居没有任何状态。
