主页 / server / 问题 / 799665
Accepted
john.mill
Asked: 2016-08-29 19:44:12 +0800 CST

基于 IPSec 的 MikroTik GRE

  • 772

我正在尝试在两个 MikroTik 设备之间建立一个 GRE over IPSec 隧道。当我嗅探 WAN 接口时，一切似乎都正常工作，我可以清楚地看到理论上我不应该看到的 GRE 数据包。

我在这上面花了几天时间，我对缺少的东西一无所知。

1.1.1.1 是数据中心 WAN，而 2.2.2.2 是家庭 WAN。

路由器 1：

/interface gre
add allow-fast-path=no !keepalive local-address=1.1.1.1 name=\
    gre-tunnel-home remote-address=2.2.2.2

/ip ipsec peer
add address=2.2.2.2/32 dh-group=modp8192 enc-algorithm=blowfish \
    hash-algorithm=sha512 lifetime=30m local-address=1.1.1.1 \
    nat-traversal=no proposal-check=strict secret=secretcode

/ip ipsec policy
add dst-address=2.2.2.2/32 proposal=proposal1 sa-dst-address=2.2.2.2 \
    sa-src-address=1.1.1.1 src-address=1.1.1.1/32 tunnel=yes

路由器 2：

/interface gre
add allow-fast-path=no !keepalive local-address=2.2.2.2 name=\
    gre-tunnel-datacenter remote-address=1.1.1.1

/ip ipsec peer
add address=1.1.1.1/32 dh-group=modp8192 enc-algorithm=blowfish \
    hash-algorithm=sha512 lifetime=30m local-address=2.2.2.2 \
    nat-traversal=no proposal-check=strict secret=secretcode

/ip ipsec policy
add dst-address=1.1.1.1/32 proposal=proposal1 sa-dst-address=\
    1.1.1.1 sa-src-address=2.2.2.2 src-address=2.2.2.2/32 \
    tunnel=yes
vpn networking ipsec mikrotik gre

1 个回答

  1. Best Answer

    不要在您的 IPSec 策略中使用隧道模式。

    这就是导致 Torch 显示 GRE 数据包的原因。

    由于您正在加密整个 GRE 连接，因此不使用隧道模式将同样安全。无论如何，通过隧道的数据包都将被加密，因此没有人能够看到谁在与隧道内的谁通信。

    对于嗅探流量的第 3 方而言，无论隧道模式如何（即：1.1.1.1 通过协议 50-ipsec 与 2.2.2.2 通信 - 尝试使用隧道模式隐藏此信息没有任何好处），它都几乎相同。

    此外，您将拥有更少的数据包开销。

    来自Mikrotik 维基：

    隧道模式

    在隧道模式下，原始 IP 数据包被封装在一个新的 IP 数据包中，从而保护 IP 有效负载和 IP 标头。

    • 2

相关问题