GLBP实现SVTI的ipsec站点冗余

GLBP实现SVTI的ipsec站点冗余

创新互联是一家集网站建设,凤城企业网站建设,凤城品牌网站建设,网站定制,凤城网站建设报价,网络营销,网络优化,凤城网站推广为一体的创新建站企业,帮助传统企业提升企业形象加强企业竞争力。可充分满足这一群体相比中小企业更为丰富、高端、多元的互联网需求。同时我们时刻保持专业、时尚、前沿,时刻以成就客户成长自我,坚持不断学习、思考、沉淀、净化自己,让我们为更多的企业打造出实用型网站。

R1和R2上运行×××网关和GLBP,R3模拟ISP路由器,R1和R4建立SVTI的ipsec站点。

如果使用传统的IPsec建立的×××站点,由于源地址是无法指定IP,所以R1无法使用虚拟IP和R4建立×××关联。

SVTI在IPsec内嵌了GRE,由tunnel指定源IP和目的IP,加挂IPsec,IPsec的起点和终点就和tunnel指定的相同,这样就可以实现IPsec的源IP指定。

看一下R1配置

crypto isakmp policy 10
 authentication pre-share
crypto isakmp key cisco address 40.1.1.2
!
!
crypto ipsec transform-set ESP-des-md5 esp-des esp-md5-hmac
!
crypto ipsec profile ipsec-profile
 set transform-set ESP-des-md5
!
!
!
!
!
interface Tunnel0
 ip address 172.16.1.1 255.255.255.0
 tunnel source 61.1.1.1
 tunnel destination 40.1.1.2
 tunnel mode ipsec ipv4
 tunnel protection ipsec profile ipsec-profile
!
interface FastEthernet0/0
 ip address 61.1.1.4 255.255.255.0
 duplex auto
 speed auto
 glbp 1 ip 61.1.1.1
 glbp 1 load-balancing host-dependent
!
no ip http server
no ip http secure-server
ip route 0.0.0.0 0.0.0.0 61.1.1.3

////

R2的配置,就是接口的IP不同为61.1.1.2,其它的都相同。

另外glbp 1 load-balancing host-dependent

这样可以黏住R3,向61.1.1.1送的包一直向R1或者R2不变,如果默认的话会随着ARP的超时,或者其它什么原因,把包送到另外一台路由上,造成IPsec中断。

R3就配置接口就行,略。

R4的配置

crypto isakmp policy 10
 authentication pre-share
crypto isakmp key cisco address 61.1.1.1
!
!
crypto ipsec transform-set ESP-des-md5 esp-des esp-md5-hmac
!
crypto ipsec profile ipsec-profile
 set transform-set ESP-des-md5
!
!
!
!
!
interface Tunnel0
 ip address 172.16.1.4 255.255.255.0
 tunnel source 40.1.1.2
 tunnel destination 61.1.1.1
 tunnel mode ipsec ipv4
 tunnel protection ipsec profile ipsec-profile
!
interface FastEthernet0/0
 ip address 40.1.1.2 255.255.255.0
 duplex auto
 speed auto
!
no ip http server
no ip http secure-server
ip route 0.0.0.0 0.0.0.0 40.1.1.1

 

 当然是要HSRP和VRRP也能达到同样的效果,另外也不用glbp 1 load-balancing host-dependent了。


标题名称:GLBP实现SVTI的ipsec站点冗余
网站URL:http://myzitong.com/article/poeihp.html