勿忘初心

个人签名

530篇博客

玩转Openvswitch第八站:Interface和Tunnel (下)

勿忘初心2018-11-12 13:14

此文已由作者刘超授权网易云社区发布。

欢迎访问网易云社区,了解更多网易技术产品运营经验


IPSec顾名思义,安全隧道,意味着下面三个方面:

  • 信息完整性——认证

  • 信息的私密性——加密

  • 信息不会被Replay

所以IPSec有一套协议来保证这三点。



IPSec隧道的连接也有两端,两端之间多通过对称加密来保证私密性。

所以两端都要建立Security Association,保存两边约定好的加密协议,对称秘钥,对方的IP地址等,对阵的秘钥要通过协议互换Exchange。

双方建立了连接之后,就可以对原始的包进行认证和加密了。



在原始的包之外,加入一个ESP的包头做加密。在外层的proto处的协议指定为ESP。



IPSec隧道常用于两个VPC之间的打通。

或者用于公有云和私有云之间的打通。如AWS里面:


配置这个VPN,需要配置下面三种东西。



一个是IKE,就是秘钥交换。



一个是IPSec



一个是Tunnel


GRE和IPSec一起使用,则包结构如下。


又到了做实验的时候了。



创建网桥如下:



在虚拟机Instance01上

ovs-vsctl add-br testbr
ifconfig testbr 10.0.0.1/24
ovs-vsctl add-port testbr gre0 -- set Interface gre0 type=gre options:local_ip=192.168.100.100 options:remote_ip=192.168.100.101
ovs-vsctl add-port testbr vxlan0 -- set Interface vxlan0 type=vxlan options:local_ip=192.168.100.100 options:remote_ip=192.168.100.102

在虚拟机Instance02上

ovs-vsctl add-br testbr
ifconfig testbr 10.0.0.2/24
ovs-vsctl add-port testbr gre0 -- set Interface gre0 type=gre options:local_ip=192.168.100.101 options:remote_ip=192.168.100.100
ovs-vsctl add-port testbr ipsec0 -- set Interface ipsec0 type=ipsec_gre options:local_ip=192.168.100.101 options:remote_ip=192.168.100.102 options:psk=password

在虚拟机Instance03上

ovs-vsctl add-br testbr
ifconfig testbr 10.0.0.3/24
ovs-vsctl add-port testbr vxlan0 -- set Interface vxlan0 type=vxlan options:local_ip=192.168.100.102 options:remote_ip=192.168.100.100
ovs-vsctl add-port testbr ipsec0 -- set Interface ipsec0 type=ipsec_gre options:local_ip=192.168.100.102 options:remote_ip=192.168.100.101 options:psk=password

不好,出现了环,没关系enable STP

ovs-vsctl set Bridge testbr stp_enable=true

监听Instance01的eth0: tcpdump -n -e -i eth0


监听Instance02的eth0: tcpdump -n -e -i eth0


监听Instance03的eth0: tcpdump -n -e -i eth0


最后说一下STP,全称Spanning Tree Protocol,即通过协议,将一个有环的二层网络变成一颗树。


11.1—11.15云计算基础服务全场5折起

免费体验云安全(易盾)内容安全、验证码等服务

更多网易技术、产品、运营经验分享请点击