需求分析:
由于IPSec不支持对多播和广播数据包的加密，这样的话，使用IPSec的隧道中，动态路由协议等依靠多播和广播的协议就不能进行正常通告，所以，这时候要配合GRE隧道，GRE隧道会将多播和广播数据包封装到单播包中，再经过IPSec加密。
此外由于GRE建立的是简单的，不进行加密的×××隧道，他通过在物理链路中使用ip地址和路由穿越普通网络。所以很常见的方法就是使用IPSec对GRE进行加密，提供数据安全保证
更正：拓扑图上的R3的LOOPBCAK地址为192.168.0.3/32
配置GRE
RT1：
interface Serial1/0
ip address 200.200.200.1 255.255.255.252
no shutdown
interface Loopback0
ip address 192.168.0.1 255.255.255.255
no shutdown
interface Ethernet0/0
ip address 192.168.10.1 255.255.255.0
no shutdown
int tunnel 0 //建立TUNNEL口
ip address 192.168.1.1 255.255.255.0
no shutdown
tunnel mode gre ip //TUNNEL口的类型为GRE,默认
tunnel source 200.200.200.1 //指定TUNNEL的源
tunnel destination 202.202.202.2 //指定TUNNEL的目标
ip route 0.0.0.0 0.0.0.0 s1/0 //去往公网的缺省路由
router ospf 1 //总部与分部之间使用OSPF(GRE支持组播或多播，所以能够使用动态路由协议)
router-id 192.168.0.1
passive-interface Serial1/0//不能发布公网的路由，否则会出现down又UP
network 192.168.0.1 0.0.0.0 area 0
network 192.168.1.0 0.0.0.3 area 0
network 192.168.10.0 0.0.0.255 area 0
配置GRE OVER IPSEC
crypto isakmp enable //开启ISAKMP
crypto isakmp policy 10 //设置ISAKMP策略
encr 3des //使用3DES加密
hash md5 //用MD5作为摘要算法
authentication pre-share //认证方式以预共享密钥
group 2 //定义DH算法为组2
crypto isakmp identity address //使用用IP地址作为身份标识
crypto isakmp key 0 cisco address 202.202.202.2 //配置预共享密钥和对方IP 0表示不加密显示，默认值 6表示加密显示
crypto ipsec transform-set TS esp-3des esp-sha-hmac//配置传输集参数，用来协商IPSEC SA的策略 （这里使用默认的传输模式，以节省开销）
access-list 101 permit ip host 200.200.200.1 host 202.202.202.2 //定义感兴趣流量 （这里为什么是配置的是公网的IP，是因为去往目标私网的数据经过tunnel口，加上了GRE的头部，目标IP为202.202.202.2,源IP为200.200.200.1）
crypto map RT1 10 ipsec-isakmp //配置加密图（把IPSEC所需参数全部绑定到MAP）
set peer 202.202.202.2 //设置对等体（与对方协商IPSEC）
set transform-set TS //调用传输集
match address 101 //匹配感兴趣流量（匹配的流量就做IPSEC，基于策略的IPSEC，另一种是基于路由的IPSEC）
int s1/0
crypto map RT1 //在接口上应用加密图
关于为什么要使用传输模式：
由于GRE已经封装了原始数据包，就不需要IPSec再去封装GRE添上的另外的IP包头了，这样可以节省20bytes的包头
RT2上的配置：
interface Serial1/0
ip address 200.200.200.2 255.255.255.252
no shutdown
interface Serial1/1
ip address 202.202.202.1 255.255.255.252
no shutdown
配置GRE
RT3:
interface Serial1/0
ip address 202.202.202.2 255.255.255.252
no shutdown
interface Loopback0
ip address 192.168.0.3 255.255.255.255
no shutdown
interface Ethernet0/0
ip address 192.168.20.1 255.255.255.0
no shutdown
int tunnel 0
ip address 192.168.1.3 255.255.255.0
no shutdown
tunnel mode gre ip
tunnel source 202.202.202.2
tunnel destination 200.200.200.1
ip route 0.0.0.0 0.0.0.0 s1/0
router ospf 1
router-id 192.168.0.3
passive-interface Serial1/0
network 192.168.0.3 0.0.0.0 area 0
network 192.168.1.0 0.0.0.3 area 0
network 192.168.20.0 0.0.0.255 area 0
配置GRE OVER IPSEC
crypto isakmp enable
crypto isakmp policy 10
encryption 3des
hash md5
authentication pre-share
group 2
crypto isakmp key 0 cisco address 200.200.200.1
crypto ipsec transform-set TS esp-3des esp-sha-hmac
access-list 101 permit ip host 202.202.202.2 host 200.200.200.1
crypto map RT3 10 ipsec-isakmp
set peer 200.200.200.1
set transform-set TS
match address 101
int s1/0
crypto map RT3
测试私网的连通性
从这个包中我们可以看出，GRE和数据部分都被ESP加密了，这就是GRE OVER IPSEC。从两种不同的报文可以看出，IPSec over GRE，外层的协议还是GRE，仅仅是携带经过IPSec加密过的报文，而GRE over IPSec，是将整个已经封装过的GRE数据包进行加密
下面配置IPSEC OVER GRE
RT1：
crypto isakmp policy 10
encr 3des
hash md5
authentication pre-share
group 2
crypto isakmp key cisco address 192.168.0.3 //指定对端为LOOPBCAK地址
crypto ipsec transform-set TS esp-3des esp-sha-hmac
mode transport
crypto map RT1 local-address Loopback0 //指定从LOOPBACK0发送IKE报文
crypto map RT1 10 ipsec-isakmp
set peer 192.168.0.3
set transform-set TS
match address 101
access-list 101 permit ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255
interface Tunnel0
ip address 192.168.1.1 255.255.255.0
tunnel source Serial1/0
tunnel destination 202.202.202.2
crypto map RT1
RT3：
crypto isakmp policy 10
encr 3des
hash md5
authentication pre-share
group 2
crypto isakmp key cisco address 192.168.0.1 //指定对端为LOOPBCAK地址
crypto ipsec transform-set TS esp-3des esp-sha-hmac
mode transport
crypto map RT3 local-address Loopback0/指定从LOOPBACK0发送IKE报文
crypto map RT3 10 ipsec-isakmp
set peer 192.168.0.1
set transform-set TS
match address 101
interface Tunnel0
ip address 192.168.1.3 255.255.255.0
tunnel source Serial1/0
tunnel destination 200.200.200.1
crypto map RT3
access-list 101 permit ip 192.168.20.0 0.0.0.255 192.168.10.0 0.0.0.255
现在我们可以看到数据部分被ESP加密，之后再加上了一个GRE的头部！这个叫IPSEC OVER GRE
感谢红盟过客为我指处的几处错误！已更正！
