组网需求
如图所示，FW_A和FW_B通过Internet相连，两者公网路由可达。网络1和网络2是两个私有的IP网络，通过在两台FW之间建立GRE隧道实现两个私有IP网络互联。
数据规划
| 项目 | 数据配置信息 | 描述 |
|---|---|---|
| FW_A | 接口配置 | 接口号：GigabitEthernet 0/0/1 IP地址：1.1.1.1/24 安全区域：Untrust |
| FW_A | 接口配置 | 接口号：GigabitEthernet 0/0/2 IP地址：10.1.1.1/24 安全区域：Trust |
| FW_A | GRE配置 | 接口名称：Tunnel IP地址：172.16.2.1/24 源地址：1.1.1.1/24 目的地址：5.5.5.5/24 隧道识别关键字：123456 |
| FW_B | 接口配置 | 接口号：GigabitEthernet 0/0/1 IP地址：5.5.5.5/24 安全区域：Untrust |
| FW_B | 接口配置 | 接口号：GigabitEthernet 0/0/2 IP地址：10.1.2.1/24 安全区域：Trust |
| FW_B | GRE配置 | 接口名称：TunnelIP 地址：172.16.2.2/24 源地址：5.5.5.5/24 目的地址：1.1.1.1/24 隧道识别关键字：123456 |
配置思路
- 在FW_A和FW_B上分别创建一个Tunnel接口。在Tunnel接口中指定隧道的源IP地址和目的IP等封装参数。
- 配置静态路由，将出接口指定为本设备的Tunnel接口。该路由的作用是将需要经过GRE隧道传输的流量引入到GRE隧道中。
- 配置安全策略，允许GRE隧道的建立和流量的转发。
操作步骤
配置FW_A。
1.配置接口的IP地址，并将接口加入安全区域。
<sysname> system-view
[sysname] sysname FW_A
[FW_A] interface GigabitEthernet 0/0/1
[FW_A-GigabitEthernet0/0/1] ip address 1.1.1.1 24
[FW_A-GigabitEthernet0/0/1] quit
[FW_A] interface GigabitEthernet 0/0/2
[FW_A-GigabitEthernet0/0/2] ip address 10.1.1.1 24
[FW_A-GigabitEthernet0/0/2] quit
[FW_A] interface Tunnel 1
[FW_A-Tunnel1] ip address 172.16.2.1 24
[FW_A-Tunnel1] quit
[FW_A] firewall zone untrust
[FW_A-zone-untrust] add interface GigabitEthernet 0/0/1
[FW_A-zone-untrust] quit
[FW_A] firewall zone trust
[FW_A-zone-trust] add interface GigabitEthernet 0/0/2
[FW_A-zone-trust] quit
[FW_A] firewall zone dmz
[FW_A-zone-dmz] add interface tunnel 1
[FW_A-zone-dmz] quit
2.配置路由，将需要经过GRE隧道传输的流量引入到GRE隧道中。
[FW_A] ip route-static 10.1.2.0 24 Tunnel1
3.配置Tunnel接口的封装参数。
[FW_A] interface Tunnel 1
[FW_A-Tunnel1] tunnel-protocol gre
[FW_A-Tunnel1] source 1.1.1.1
[FW_A-Tunnel1] destination 5.5.5.5
[FW_A-Tunnel1] gre key cipher 123456
[FW_A-Tunnel1] quit
4.配置域间安全策略。配置Trust域和DMZ的域间安全策略，允许封装前的报文通过域间安全策略。
[FW_A] security-policy
[FW_A-policy-security] rule name policy1
[FW_A-policy-security-rule-policy1] source-zone trust dmz
[FW_A-policy-security-rule-policy1] destination-zone dmz trust
[FW_A-policy-security-rule-policy1] action permit
[FW_A-policy-security-rule-policy1] quit
配置Local和Untrust的域间安全策略，允许封装后的GRE报文通过域间安全策略。
[FW_A-policy-security] rule name policy2
[FW_A-policy-security-rule-policy2] source-zone local untrust
[FW_A-policy-security-rule-policy2] destination-zone untrust local
[FW_A-policy-security-rule-policy2] service gre
[FW_A-policy-security-rule-policy2] action permit
[FW_A-policy-security-rule-policy2] quit
配置FW_B。（按照FW_A配置类推就可以）
1.配置接口的IP地址，并将接口加入安全区域。
<sysname> system-view
[sysname] sysname FW_B
[FW_B] interface GigabitEthernet 0/0/1
[FW_B-GigabitEthernet0/0/1] ip address 5.5.5.5 24
[FW_B-GigabitEthernet0/0/1] quit
[FW_B] interface GigabitEthernet 0/0/2
[FW_B-GigabitEthernet0/0/2] ip address 10.1.2.1 24
[FW_B-GigabitEthernet0/0/2] quit
[FW_B] interface Tunnel 1
[FW_B-Tunnel1] ip address 172.16.2.2 24
[FW_B-Tunnel1] quit
[FW_B] firewall zone untrust
[FW_B-zone-untrust] add interface GigabitEthernet 0/0/1
[FW_B-zone-untrust] quit
[FW_B] firewall zone trust
[FW_B-zone-trust] add interface GigabitEthernet 0/0/2
[FW_B-zone-trust] quit
[FW_B] firewall zone dmz
[FW_B-zone-dmz] add interface tunnel 1
[FW_B-zone-dmz] quit
2.配置路由，将需要经过GRE隧道传输的流量引入到GRE隧道中。
[FW_B] ip route-static 10.1.1.0 24 Tunnel1
3.配置Tunnel接口的封装参数。
[FW_B] interface Tunnel 1
[FW_B-Tunnel1] tunnel-protocol gre
[FW_B-Tunnel1] source 5.5.5.5
[FW_B-Tunnel1] destination 1.1.1.1
[FW_B-Tunnel1] gre key cipher 123456
[FW_B-Tunnel1] quit
4.配置域间安全策略。配置Trust域和DMZ的域间安全策略，允许封装前的报文通过域间安全策略。
[FW_B] security-policy
[FW_B-policy-security] rule name policy1
[FW_B-policy-security-rule-policy1] source-zone trust dmz
[FW_B-policy-security-rule-policy1] destination-zone dmz trust
[FW_B-policy-security-rule-policy1] action permit
[FW_B-policy-security-rule-policy1] quit
配置Local和Untrust的域间安全策略，允许封装后的GRE报文通过域间安全策略。
[FW_B-policy-security] rule name policy2
[FW_B-policy-security-rule-policy2] source-zone local untrust
[FW_B-policy-security-rule-policy2] destination-zone untrust local
[FW_B-policy-security-rule-policy2] service gre
[FW_B-policy-security-rule-policy2] action permit
[FW_B-policy-security-rule-policy2] quit
结果验证
- 网络1中的PC与网络2中的PC能够相互ping通。
- 在FW_A使用display ip routing-table命令查看路由表。可以看到目的地址为10.1.2.0/24，出接口为Tunnel1的路由。
有需要的同学可以在ensp尝试一下。