제 16 장 GRE 터널 블로그 : net123.tistory.com - 1 - 저자김정우
GRE(Generic Routing Encapsulation) GRE는 Cisco에서개발한터널링프로토콜으로써특정네트워크망에서새로운 IP 헤더를인캡슐레이션하여패켓을전송하는 VPN 기능을제공한다. GRE 터널링을이용하여패켓을전송하면, 데이터를암호화하지않기때문에보안적으로는취약하지만, 대신암호화기법을사용하는 VPN에비해서데이터전송처리가빠르다. 이때, VPN(Virtual Private Network) 이란인터넷과같은공중망을이용하여특정네트워크간에패켓을전송하기위한전용사설망을구성하는것을의미한다. GRE 터널링구성방법 GRE 터널링을구성하기위해서먼저터널인터페이스를생성하여, IP 주소와 GRE을이용하여추가될새로운 IP 헤더의출발지주소와목적지주소를지정한다음, 라우팅설정을실시하여터널을통하여패켓전송이가능하도록구성한다. 이때, 추가될새로운 IP 헤더의출발지 / 목적지 IP 주소는공중망에서라우팅이가능한주소가되어야한다. 단, 라우터에터널인터페이스를무리하게추가할경우, 라우터메모리사용률에큰영향을주게되며, 터널인터페이스에할당되는대역폭 (9Kbps) 이증가되므로가용대역폭범위가줄어드는문제가발생하므로주의해야한다. 그럼 [ 그림 16-1] 을참조하여 GRE 터널링을위한네트워크토폴로지를구성하도록하자. [ 그림 16-1] 네트워크토폴로지 블로그 : net123.tistory.com - 2 - 저자김정우
먼저, 공중망으로사용하게될 OSPF Area 0 을구성하도록하자. [ 예제 16-1] OSPF Area 0 구성 R2(config)#router ospf 1 R2(config-router)#network 13.13.2.2 0.0.0.0 area 0 R2(config-router)#network 13.13.9.2 0.0.0.0 area 0 R2(config-router)#network 13.13.8.2 0.0.0.0 area 0 R2(config-router)# R2(config-router)#int lo 0 R2(config-if)#ip ospf network point-to-point R1(config)#router ospf 1 R1(config-router)#network 13.13.1.1 0.0.0.0 area 0 R1(config-router)#network 13.13.9.1 0.0.0.0 area 0 R1(config-router)# R1(config-router)#int lo 0 R1(config-if)#ip ospf network point-to-point R3(config)#router ospf 1 R3(config-router)#network 13.13.3.3 0.0.0.0 area 0 R3(config-router)#network 13.13.8.3 0.0.0.0 area 0 R3(config-router)# R3(config-router)#int lo 0 R3(config-if)#ip ospf network point-to-point OSPF Area 0 구성이완료되었다면, ABC 사이트 내에서사용할 EIGRP AS 100 을구성하도록하자. [ 예제 16-2] ABC 사이트 EIGRP AS 100 구성 R1(config)#router eigrp 100 R1(config-router)#no auto-summary R1(config-router)#network 13.13.11.1 0.0.0.0 R1(config-router)#network 150.1.13.1 0.0.0.0 R4(config)#router eigrp 100 R4(config-router)#no auto-summary R4(config-router)#network 13.13.4.4 0.0.0.0 R4(config-router)#network 150.1.13.254 0.0.0.0 R3(config)#router eigrp 100 R3(config-router)#eigrp router-id 13.13.3.3 R3(config-router)#no auto-summary 블로그 : net123.tistory.com - 3 - 저자김정우
영리목적으로사용할경우저작권법제30조항에의거법적처벌을받을수있습니다. R3(config-router)#network 13.13.13.3 0.0.0.0 R3(config-router)#network 150.3.13.1 0.0.0.0 R5(config)#router eigrp 100 R5(config-router)#no auto-summary R5(config-router)#network 13.13.5.5 0.0.0.0 R5(config-router)#network 150.3.13.254 0.0.0.0 GRE 인터페이스설정 R1 과 R3 에서 GRE 터널인터페이스를구성하도록하자. [ 예제 16-3] GRE 터널인터페이스구성 R1(config)#int tunnel 13 R1(config-if)#ip address 172.16.13.1 255.255.255.0 R1(config-if)#tunnel source 13.13.9.1 R1(config-if)#tunnel destination 13.13.8.3 R3(config)#int tunnel 13 R3(config-if)#ip address 172.16.13.3 255.255.255.0 R3(config-if)#tunnel source 13.13.8.3 R3(config-if)#tunnel destination 13.13.9.1 GRE 터널인터페이스구성이완료되었다면, R1 에서다음과같은정보확인을실시하여터널동작상태를 확인하도록하자. [ 예제 16-4] GRE 터널인터페이스정보확인 R1#show int tunnel 13 Tunnel13 is up, line protocol is up Hardware is Tunnel Internet address is 172.16.13.1/24 MTU 1514 bytes, BW 9 Kbit, DLY 500000 usec, reliability 255/255, txload 1/255, rxload 1/255 Encapsulation TUNNEL, loopback not set Keepalive not set Tunnel source 13.13.9.1, destination 13.13.8.3 Tunnel protocol/transport GRE/IP Key disabled, sequencing disabled Checksumming of packets disabled Tunnel TTL 255 블로그 : net123.tistory.com - 4 - 저자김정우
영리목적으로사용할경우저작권법제30조항에의거법적처벌을받을수있습니다. Fast tunneling enabled ~ 중간생략 ~ GRE 터널을이용한라우팅업데이트 GRE 터널인터페이스정보확인이완료되었다면, 터널을통하여 EIGRP 네이버성립과라우팅업데이트를 실시하도록하자. [ 예제 16-5] GRE 터널을이용한 EIGRP 네이버성립과라우팅업데이트구성 R1(config)#router eigrp 100 R1(config-router)#network 172.16.13.1 0.0.0.0 R3(config)#router eigrp 100 R3(config-router)#network 172.16.13.3 0.0.0.0 설정이완료되었다면, GRE 터널인터페이스를통하여 EIGRP 네이버가성립되었는지, R1 과 R3 에서 EIGRP 네 이버테이블을확인하도록하자. [ 예제 16-6] R1과 R3에서확인한 EIGRP 네이버테이블 R1#show ip eigrp neighbors IP-EIGRP neighbors for process 100 H Address Interface Hold Uptime SRTT RTO Q Seq (sec) (ms) Cnt Num 1 172.16.13.3 Tu13 8 00:01:05 131 5000 0 10 0 150.1.13.254 Fa0/0 9 00:14:14 91 546 0 3 R3#show ip eigrp neighbors IP-EIGRP neighbors for process 100 H Address Interface Hold Uptime SRTT RTO Q Seq (sec) (ms) Cnt Num 1 172.16.13.1 Tu13 9 00:01:12 158 5000 0 10 0 150.3.13.254 Fa0/0 14 00:09:40 105 630 0 3 블로그 : net123.tistory.com - 5 - 저자김정우
GRE 터널을이용한라우팅업데이트정보확인 GRE 터널을이용하여 EIGRP 네이버가성립되었다면, R1 과 R4 에서 ABC 사이트 -2 에대한네트워크정보가 라우팅업데이트가되었는지확인한다음, R4 에서 150.3.13.254 로 Ping 이되는지점검하도록하자. [ 예제 16-7] R1과 R4에서확인한라우팅테이블및 Ping 테스트 R1#show ip route eigrp 13.0.0.0/24 is subnetted, 9 subnets D 13.13.4.0 [90/409600] via 150.1.13.254, 00:19:39, FastEthernet0/0 D 13.13.5.0 [90/297398016] via 172.16.13.3, 00:06:31, Tunnel13 D 13.13.13.0 [90/297270016] via 172.16.13.3, 00:06:31, Tunnel13 150.3.0.0/24 is subnetted, 1 subnets D 150.3.13.0 [90/297270016] via 172.16.13.3, 00:06:31, Tunnel13 R4#show ip route eigrp 172.16.0.0/24 is subnetted, 1 subnets D 172.16.13.0 [90/297270016] via 150.1.13.1, 00:03:32, FastEthernet0/0 13.0.0.0/24 is subnetted, 4 subnets D 13.13.5.0 [90/297423616] via 150.1.13.1, 00:03:25, FastEthernet0/0 D 13.13.11.0 [90/307200] via 150.1.13.1, 00:10:05, FastEthernet0/0 D 13.13.13.0 [90/297295616] via 150.1.13.1, 00:03:25, FastEthernet0/0 150.3.0.0/24 is subnetted, 1 subnets D 150.3.13.0 [90/297295616] via 150.1.13.1, 00:03:25, FastEthernet0/0 R4# R4#ping 150.3.13.254 Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 150.3.13.254, timeout is 2 seconds:!!!!! Success rate is 100 percent (5/5), round-trip min/avg/max = 68/80/112 ms R4# R4#traceroute 150.3.13.254 Type escape sequence to abort. Tracing the route to 150.3.13.254 1 150.1.13.1 44 msec 32 msec 44 msec 2 172.16.13.3 68 msec 60 msec 60 msec 3 150.3.13.254 72 msec * 56 msec 블로그 : net123.tistory.com - 6 - 저자김정우
공중망인 OSPF Area 0 에포함된 R2 라우팅테이블을확인하도록하자. [ 예제 16-8] R1과 R4에서확인한라우팅테이블및 Ping 테스트 R2#show ip route Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2 E1 - OSPF external type 1, E2 - OSPF external type 2 i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2 ia - IS-IS inter area, * - candidate default, U - per-user static route o - ODR, P - periodic downloaded static route Gateway of last resort is not set O C O C C 13.0.0.0/24 is subnetted, 5 subnets 13.13.1.0 [110/65] via 13.13.9.1, 00:42:50, Serial1/0.12 13.13.2.0 is directly connected, Loopback0 13.13.3.0 [110/65] via 13.13.8.3, 00:42:50, Serial1/0.23 13.13.8.0 is directly connected, Serial1/0.23 13.13.9.0 is directly connected, Serial1/0.12 정보확인결과, ABC 사이트 와관련된 EIGRP 네트워크정보는확인되지않는다. [ 그림 17-2] 는 R1 S1/0.12 인터페이스로패켓이전송될때, GRE 를이용하여새로운 IP 헤더가인캡슐레이션 된상태를보여주고있다. [ 그림 16-2] GRE 헤더 이처럼 GRE 터널링은추가된새로운 IP 헤더의출발지 / 목적지 IP 주소를참조하여공중망을통하여패켓을라우팅하여전송한다. 단, 보안적인요소가없기때문에외부공격자에의해서패켓정보가스니핑되거나, 변조될가능성이크다. 이러한문제점을해결하기위해서는 GRE 터널링을단독적으로사용하기보다는 IPSec VPN을이용하여보안적인정책을강구해야한다. 블로그 : net123.tistory.com - 7 - 저자김정우
( 빈페이지입니다.) 블로그 : net123.tistory.com - 8 - 저자김정우