楔子
前面的文章：Linux下用GRE隧道直接联通两个私网（http://www.linuxdiyf.com/linux/29666.html）里讲了怎样用在两个独立的私网间打洞(GRE tunnel)来直接连通两个不同的私网，进阶需求就是希望能把这个tunnel加密一下。否则，有心的坏人可能会在外部线路上听到很多的信息。因此，本文将要讲的，算是前一文章的进阶部分：给打洞的隧道加密！
Why "GRE over IPSec"
光是说加密隧道的话，方案有好几种：
IPSec tunnel
GRE over IPSec
IPSec over GRE
......
我们为什么选用GRE over IPSec呢？
跟单纯的IPSec tunnel比，优势在于：
方案更灵活，我们可以灵活的把要加密的流量路由到GRE隧道上
而且IPSec不支持多播，像OSPF或其他高大上的路由协议没法玩儿
跟IPSec over GRE比：
更安全。整个上公网的流量都是加密的，但从外部根本都不知道跑的是GRE协议。
接下来，我们主要就是要讲的方案是：GRE over IPSec
环境
具体步骤
准备工作
分别在GWA和GWB两台机上执行：
yum -y install libreswan iptables;
rm -rf /etc/ipsec.d/*db; # 删除原有自带的db文件
ipsec initnss; # 重新初始化db
checonfig ipsec on; # 这一步也可以后面再做
正常打洞
GWA上执行：
cat << EOF | tee /etc/sysconfig/network-scripts/ifcfg-greB
DEVICE=greB
ONBOOT=yes
TYPE=GRE
PEER_OUTER_IPADDR=2.2.2.2
PEER_INNER_IPADDR=10.0.1.0/24
MY_OUTER_IPADDR=1.1.1.1
MY_INNER_IPADDR=10.0.0.1
KEY=http://haw-haw.org
BOOTPROTO=none
EOF
ifup greB;
同样，在GWB上执行：
cat << EOF | tee /etc/sysconfig/network-scripts/ifcfg-greA
DEVICE=greA
ONBOOT=yes
TYPE=GRE
PEER_OUTER_IPADDR=1.1.1.1
PEER_INNER_IPADDR=10.0.0.0/24
MY_OUTER_IPADDR=2.2.2.2
MY_INNER_IPADDR=10.0.1.1
KEY=http://haw-haw.org
BOOTPROTO=none
EOF
ifup greA;
这样，其实打洞就基本上已经完成了，现在从NETA和NETB的网络里随便找两台机器，都应该能互通了。
GRE over IPSEC
配置GWA
在GWA上执行：
ipsec newhostkey \
--configdir /etc/ipsec.d \
--random /dev/urandom \
--output /etc/ipsec.d/GWA.secrets \
--verbose;
# 上面的"--random /dev/urandom"的参数比用缺省的效率要高很多！
ipsec showhostkey --left;
# 记下输出中“leftrsasigkey=”这一行
# 这将用于本机(GWA)的/etc/ipsec.d/greB.conf文件中
ipsec showhostkey --right;
# 记下输出中“rightrsasigkey=”这一行
# 这将用于对端机器(GWB)的/etc/ipsec.d/greA.conf文件中
vim /etc/ipsec.d/greB.conf # 建立配置文件greB.conf
内容如下：
conn greB
type=transport
left=10.0.0.1
leftrsasigkey=......
leftprotoport=gre
right=10.0.1.1
rightrsasigkey=......
rightprotoport=gre
authby=rsasig
auto=start
注意：
这里的greB是随便取的，只是因为GWA上的隧道设备名为greB，所以就沿用了这个名字
leftrsasigkey=是来自于上面ipsec showhostkey --left命令
rightrsasigkey=是来自于GWB上执行命令ipsec showhostkey --right的结果
配置GWB
依葫芦画瓢，在GWB上执行：
ipsec newhostkey \
--configdir /etc/ipsec.d \
--random /dev/urandom \
--output /etc/ipsec.d/GWB.secrets \
--verbose;
ipsec showhostkey --left;
# 记下输出中“leftrsasigkey=”这一行
# 这将用于本机(GWB)的/etc/ipsec.d/greA.conf文件中
ipsec showhostkey --right;
# 记下输出中“rightrsasigkey=”这一行
# 这将用于对端机器(GWA)的/etc/ipsec.d/greB.conf文件中
vim /etc/ipsec.d/greA.conf
# 建立配置文件greA.conf，因为tunnel设备名叫greA
内容如下：
conn greA
type=transport
left=10.0.1.1
leftrsasigkey=......
leftprotoport=gre
right=10.0.0.1
rightrsasigkey=......
rightprotoport=gre
authby=rsasig
auto=start
注意：
这里的greA是随便取的，只是因为GWB上的隧道设备名为greA，所以就沿用了这个名字
leftrsasigkey=是来自于上面ipsec showhostkey --left命令
rightrsasigkey=是来自于GWA上执行命令ipsec showhostkey --right的结果
Iptables
本来在前面正常GRE打洞测步骤里其实也有iptables相关设置，这里就都整合到这一部分统一说了
在GWA和GWB上分别执行：
iptables -A INPUT -i eth1 -p gre -j ACCEPT;
iptables -A INPUT -i eth1 -p udp \
-m state --state NEW \
-m udp \
-m multiport --dports 50,51,500,4500 \
-j ACCEPT;
iptables -A INPUT -i eth1 -p tcp \
-m state --state NEW \
-m tcp \
-m multiport --dports 50,51 \
-j ACCEPT;
iptables -t mangle -A FORWARD \
-p tcp -m tcp --tcp-flags SYN,RST SYN \
-j TCPMSS --clamp-mss-to-pmtu;
/etc/init.d/iptables save; # 将iptables规则存入配置文件
启动服务
分别在GWA和GWB的机器上执行：
/etc/init.d/ipsec start;
ipsec auto --add greB; # 仅GWA上执行
ipsec auto --up greB; # 仅GWA上执行
ipsec auto --add greA; # 仅GWB上执行
ipsec auto --up greA; # 仅GWB上执行
chkconfig ipsec on;
# 如果前面没有执行这句的这里执行一下，
# 以后ipsec就会随机器启动起起来，
# 而且不再需要ipsec auto --add和ipsec auto --up了
简单测试
要检验是否成功设置，可以分别在GWA和GWB上听包：
tcpdump -nn -i eth1 host 1.1.1.1 and host 2.2.2.2;
会发现包都是ESP加密过的了。
然后分别在GWA和GWB上干掉ipsec对greB和greA的加密干掉
ipsec auto --delete greB; # 仅在GWA上执行
ipsec auto --delete greA; # 仅在GWB上执行
然后再重复上面的听包命令：
tcpdump -nn -i eth1 host 1.1.1.1 and host 2.2.2.2;
会发现加密包没有了，取而代之是GRE包，而且明显能看到GRE包里封装的内容。