P2P GRE over IPsec

R1(config)#interface tunnel 1

R1(config-if)#ip address 1.1.1.1 255.255.255.0

R1(config-if)#tunnel source 12.1.1.1

R1(config-if)#tunnel destination 23.1.1.3

R1(config-if)#exit

R3(config)#int tunnel 3

R3(config-if)#ip address 1.1.1.3 255.255.255.0

R3(config-if)#tunnel source 23.1.1.3

R3(config-if)#tunnel destination 12.1.1.1

R3(config-if)#exit

R1(config)#crypto isakmp policy 1

R1(config-isakmp)#encryption 3des

R1(config-isakmp)#hash sha

R1(config-isakmp)#authentication pre-share

R1(config-isakmp)#group 2

R1(config-isakmp)#exit

R1(config)#crypto isakmp key 0 cisco123 address 23.1.1.3

R1(config)#crypto ipsec transform-set ccie esp-3des esp-sha-hmac

R1(cfg-crypto-trans)#exit

R1(config)#access-list 100 permit gre host 12.1.1.1 host 23.1.1.3 R1(config)#crypto map l2l 1 ipsec-isakmp

R1(config-crypto-map)#set peer 23.1.1.3

R1(config-crypto-map)#set transform-set ccie

R1(config-crypto-map)#match address 100 R1(config-crypto-map)#exit

R1(config)#int f0/0 R1(config-if)#crypto map l2l

R1(config-if)#exit

R1(config)#

*Mar 1 00:21:45.171: %CRYPTO-6-ISAKMP_ON_OFF: ISAKMP is ON

R1(config)#

R3(config)#crypto isakmp policy 1

R3(config-isakmp)#encryption 3des

R3(config-isakmp)#hash sha

R3(config-isakmp)#authentication pre-share

R3(config-isakmp)#group 2

R3(config-isakmp)#exit

R3(config)#crypto isakmp key 0 cisco123 address 12.1.1.1

R3(config)#crypto ipsec transform-set ccie esp-3des esp-sha-hmac

R3(cfg-crypto-trans)#exit

R3(config)#access-list 100 permit gre host 23.1.1.3 host 12.1.1.1 R3(config)#

R3(config)#crypto map l2l 1 ipsec-isakmp

R3(config-crypto-map)#set peer 12.1.1.1

R3(config-crypto-map)#set transform-set ccie

R3(config-crypto-map)#match address 100

R3(config-crypto-map)#exit

R3(config)#

R3(config)#int f0/1

R3(config-if)#crypto map l2l

R3(config-if)#

*Mar 1 00:32:58.907: %CRYPTO-6-ISAKMP_ON_OFF: ISAKMP is ON

R3(config-if)#

R1(config)#router eigrp 1

R1(config-router)#no auto-summary

R1(config-router)#network 1.1.1.1 0.0.0.0

R1(config-router)#network 10.1.1.1 0.0.0.0

R1(config-router)#exit

R3(config)#router eigrp 1

R3(config-router)#no auto-summary

R3(config-router)#network 1.1.1.3 0.0.0.0

R3(config-router)#network 192.168.1.3 0.0.0.0

R3(config-router)#

說明：IPsec默認的mode是Tunnel mode，這個應該是大家都不會有疑問的。

（1）測試將R3的IPsec Mode改為transport mode:

R3(config)#crypto ipsec transform-set ccie esp-3des esp-sha-hmac

R3(cfg-crypto-trans)#mode transport

清除雙方SA：

R3#clear crypto sa

R3#

說明：改變mode后，清除雙方SA以便重新連接

雖然已經將R3的IPsec Mode改為transport mode，但還是工作在Tunnel mode，因為對方沒有改，只有雙方都改時，才會改變最終工作的mode。

說明：將雙方的IPsec Mode改為transport mode后，最終雙方工作在了transport mode，在此還需要強烈說明和提醒，只有在p2p GRE over IPsec的情況下，IPsec Mode的工作模式才能是transport mode，否則即使強制改變雙方的mode為transport mode，最終雙方也會依然工作在Tunnel mode。