GLBP实现SVTI的ipsec站点冗余-创新互联
R1和R2上运行×××网关和GLBP,R3模拟ISP路由器,R1和R4建立SVTI的ipsec站点。
如果使用传统的IPsec建立的×××站点,由于源地址是无法指定IP,所以R1无法使用虚拟IP和R4建立×××关联。
SVTI在IPsec内嵌了GRE,由tunnel指定源IP和目的IP,加挂IPsec,IPsec的起点和终点就和tunnel指定的相同,这样就可以实现IPsec的源IP指定。
看一下R1配置
crypto isakmp policy 10
authentication pre-share
crypto isakmp key cisco address 40.1.1.2
!
!
crypto ipsec transform-set ESP-des-md5 esp-des esp-md5-hmac
!
crypto ipsec profile ipsec-profile
set transform-set ESP-des-md5
!
!
!
!
!
interface Tunnel0
ip address 172.16.1.1 255.255.255.0
tunnel source 61.1.1.1
tunnel destination 40.1.1.2
tunnel mode ipsec ipv4
tunnel protection ipsec profile ipsec-profile
!
interface FastEthernet0/0
ip address 61.1.1.4 255.255.255.0
duplex auto
speed auto
glbp 1 ip 61.1.1.1
glbp 1 load-balancing host-dependent
!
no ip http server
no ip http secure-server
ip route 0.0.0.0 0.0.0.0 61.1.1.3
////
R2的配置,就是接口的IP不同为61.1.1.2,其它的都相同。
另外glbp 1 load-balancing host-dependent
这样可以黏住R3,向61.1.1.1送的包一直向R1或者R2不变,如果默认的话会随着ARP的超时,或者其它什么原因,把包送到另外一台路由上,造成IPsec中断。
R3就配置接口就行,略。
R4的配置
crypto isakmp policy 10
authentication pre-share
crypto isakmp key cisco address 61.1.1.1
!
!
crypto ipsec transform-set ESP-des-md5 esp-des esp-md5-hmac
!
crypto ipsec profile ipsec-profile
set transform-set ESP-des-md5
!
!
!
!
!
interface Tunnel0
ip address 172.16.1.4 255.255.255.0
tunnel source 40.1.1.2
tunnel destination 61.1.1.1
tunnel mode ipsec ipv4
tunnel protection ipsec profile ipsec-profile
!
interface FastEthernet0/0
ip address 40.1.1.2 255.255.255.0
duplex auto
speed auto
!
no ip http server
no ip http secure-server
ip route 0.0.0.0 0.0.0.0 40.1.1.1
当然是要HSRP和VRRP也能达到同样的效果,另外也不用glbp 1 load-balancing host-dependent了。
另外有需要云服务器可以了解下创新互联scvps.cn,海内外云服务器15元起步,三天无理由+7*72小时售后在线,公司持有idc许可证,提供“云服务器、裸金属服务器、高防服务器、香港服务器、美国服务器、虚拟主机、免备案服务器”等云主机租用服务以及企业上云的综合解决方案,具有“安全稳定、简单易用、服务可用性高、性价比高”等特点与优势,专为企业上云打造定制,能够满足用户丰富、多元化的应用场景需求。
文章题目:GLBP实现SVTI的ipsec站点冗余-创新互联
URL分享:http://scyanting.com/article/ddcggc.html