Tunnel GRE - Cisco

GRE (Generic Router Encapsulation): Es un protocolo que puede encapsular una amplia variedad de protocolos diferentes dentro de túneles IP.

Es importante conocer la necesidad a la hora de realizar la configuración de Túneles GRE, pues, podrían ser difíciles de manejar si crece la red demasiado, este túnel es muy útil manejando protocolos que NO son enrutables (como NetBIOS o protocolos enrutables de diferentes IP).

Actualmente el uso de GRE, se ha vuelto uno de los principales mecanismos de transición para la implementación de redes IPv6. Es decir es posible conectar dos islas IPv6 a través de tunnel Ipv4.

Método Site-to-Site con políticas de encriptación. 

Vamos a implementar este proceso en este ejemplo de red, los routers son c3700:

El túnel va ser creado desde R1 hasta R2. La configuración de Internet (WAN-A y WAN-B) es un servicio del ISP, es decir, que la conexión a Internet normalmente sirve, solo falta es crea el túnel; Lo único que nos interesa es configurar los nodos de la empresa (Red VPN).

Los routers R1 y R2 serán configurados con las estructuras de la imagen, enrutamiento EIGRP, servicio de encriptación de claves, políticas para linea de consola y vty 

Para que la información que viaja por el túnel no sea manipulada, vamos a activar el IPsec; este es el método de cifrado con políticas de autenticidad. Para activar solo será #crypto isakmp enable

Para crear el formato de las politicas, tenemos que ingresar a #crypto isakmp policy 10

Allí configuraremos lo siguiente:
* Configurar un tipo de autenticación de claves previamente compartidas.
* Utilice cifrado AES 256.
* SHA como su algoritmo de hash
* Diffie -Hellman grupo 5 será el intercambio de claves para esta política IKE .
* Dar a la política un tiempo de vida de 3600 segundos (una hora)
(Repetir en R2)



Dado que las claves pre-compartidas se utilizan como método de autenticación en la política IKE, configure una clave en cada router que apunta hacia el otro extremo de la VPN. Estas claves deben coincidir para que la autenticación tenga éxito. 
(Repetir en R2)

¿Cuál es la función de la IPsec conjunto de transformación? El conjunto de transformación IPsec especifica los algoritmos criptográficos y funciones que un router emplea en los paquetes de datos reales enviados por el túnel IPsec. Estos algoritmos incluyen el cifrado, la encapsulación, autenticación y servicios de integridad de datos que se puede aplicar IPsec.
#ipsec crypto transform-set 50 esp-aes 256 esp-sha-hmac
(Repetir en R2)

También puede cambiar los tiempos de vida de la asociación de seguridad IPsec desde el default de 3600 segundos, o 4.608.000 kilobytes, lo que ocurra primero.
R1 (config) # crypto ipsec segurity-association lifetime seconds 1800
(Repita en R2)

Luego de lo anterior vamos a crear las políticas de acceso en cada routers:
R1(config)#access-list 101 permit ip 192.168.1.0 0.0.0.255 192.168.3.0 0.0.0.255

R2(config)#access-list 101 permit ip 192.168.3.0 0.0.0.255 192.168.1.0 0.0.0.255

Para ver lo configurado será:
#show crypto isakmp policy
#show crypto 

De igual forma se puede crear un MAP que combine el IKE y IPsec.

Lo habilitamos en las interfaces WIC
R1(config)#int serial 0/0
R1(config-if)#crypto map CMAP
(Repetir en R2)

Para ver lo anterior:
#show crypto ipsec transform-set
#show crypto map
#show crypto isakmp sa
#show crypto ipsec sa

Método Site-to-Site directo.

Primero vamos a configurar a R1. Con respecto a las direcciones publicas como es un ejemplo, pero el direccionamiento puede ser cualquiera, siempre y cuando se enrutable y publico.

R1#configure terminal 

R1(config)#interface Tunnel 1

R1(config-if)#ip address 172.16.1.1 255.255.255.252 

R1(config-if)#tunnel source 100.10.10.1 

R1(config-if)#tunnel destination 200.20.20.2 

R1(config-if)#end 

R1#

Luego enrutaremos la red 192.168.1.0/24 hacia 192.168.2.0/24 por medio del túnel.

R1(config)#ip route 192.168.2.0 255.255.255.0 tunnel 1 172.16.1.2

R1(config)#exit 

Luego vamos a configurar a R2.

R2#configure terminal 

R2(config)#interface Tunnel 1

R2(config-if)#ip address 172.16.1.2 255.255.255.252 

R2(config-if)#tunnel source 200.20.20.2 

R2(config-if)#tunnel destination 100.10.10.1 

R2(config-if)#end 

R2#

Ahora enrutaremos la red 192.168.2.0/24 hacia 192.168.1.0/24 por medio del túnel

R2(config)#ip route 192.168.1.0 255.255.255.0 tunnel 1 172.16.1.1

R2(config)#end

Ahora podemos verificar que el túnel está funcionando con un simple ping o tambien podemos tomar capturas.

Esta captura es de un PING de R1 a R2 vía túnel.
En la imagen de la derecha se puede ver la dirección IP publica de los routers, realizando la encapsulación (en la cuarta linea sombreada, se puede leer GRP); De está forma respondiendo a los pings.
En la imagen de la izquierda podemos ver el ping realizado desde IP publica a IP publica y  no hay ninguna encapsulación.

En la configuración del túnel cuando no se especifica el protocolo, este toma por defecto el protocolo GRE. Sin embargo es posible definir el protocolo, mediante un comando sencillo, como puede verse a continuación:

R(config)#interface tunnel 1 

R(config-if)#tunnel mode ipip

El modo ipip, es el tipo de túnel que permite encapsular paquetes IP dentro de otro paquete IP, muy útil para permitir la comunicación entre redes IPv6 por medio de redes IPv4. El proceso para seleccionar el protocolo es sencillo y deberá de ser configurado en ambos lados del tunnel, al igual que se definió el protocolo GRE, también puede seleccionarse cualquiera de los siguientes opciones: aurp, cayman, dvmrp, eon, gre ip, gre ip multipoint, ipip, iptalk.