ATT&CK视角下的红蓝对抗：四. 内网穿透之通过Earthworm(EW)进行隧道穿透
GRE提供了将一种协议的报文封装在另一种协议报文中的机制，是一种三层隧道封装技术，使报文可以通过GRE隧道透明的传输，解决异种网络的传输问题。
General Routing Encapsulation，简称GRE，是一种三层V**封装技术。GRE可以对某些网络层协议（如IPX、Apple Talk、IP等）的报文进行封装，使封装后的报文能够在另一种网络中（如IPv4）传输，从而解决了跨越异种网络的报文传输问题。异种报文传输的通道称为Tunnel（隧道）。
一种技术（协议）或者策略的两个或多个子网穿过另一种技术（协议）或者策略的网络实现互联，称之为overlay topology，这一技术是电信技术的永恒主题之一。
Like a proxy, tunneling allows you to pass traffic from a filtered IP to another destination. Tunnels are much like a V**, except that not every tunnel involves encryption. A machine that is "tunneled" into another network has a virtual interface configured with an IP that is not local, but exists on a remote network. This traffic is forwarded in the form of packets at the kernel level, and therefore not susceptible to server interruptions.
GRE VPN，全称为Generic Routing Encapsulation（通用路由封装协议），是一种在网络层实现的隧道技术。想象一下，GRE就像是一位魔术师，它可以把一种网络协议的数据报文（比如IP包）装进另一种协议的报文里，然后安全穿越互联网这个复杂多变的环境，到达目的地后再把原始数据报文还原出来，这样即使中间经过了不同的网络，数据也能完好无损地送达。
通用路由封装或 GRE 和 IPsec 都封装数据包，但是这两种协议在安全性、数据隐私和加密方面有不同的要求。
GRE由 RFC（Request for Comments）2784 定义并由 RFC 2890 更新，创建一个未加密的隧道，该隧道在另一个任意网络层协议上封装任意协议。
3、GRE分为point-to-piont GRE和multipoint GRE两种
GRE（ Generic Routing Encapsulation，通用路由封装）协议是对某些网络层协议（如 IP 和 IPX）的数据报文进行封装，使这些被封装的数据报文能够在另一个网络层协议（如 IP）中传输。 GRE是 Tunnel（隧道）技术的一种，属于第三层隧道协议。 GRE 隧道是一个虚拟的点对点的连接，为封装的数据报文提供了一条传输通路， GRE 隧道的两端分别对数据报进行封装及解封装。
GRE（Generic Routing Encapsulation） 在任意一种网络协议上传送任意一种其他网络协议的封装方法 我们先本质上还是同种协议封装 也是就IP over IP
rule 10 permit ip source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255
该实验参考了华为官网案例配置 https://support.huawei.com/enterprise/zh/doc/EDOC1000097307/478eeed1
BJ_FW身后有一个服务器，CS_FW与CD_R后面的client需要访问这个服务器，希望不把服务器暴露在公网上面，能实现的那就只有GRE与IPSec了，但是GRE没有安全性保障，IPSec有安全性，那能不能把GRE与IPSec结合起来一起使用呢？下面先回顾下GRE的配置，把各个点之前打通，然后在这个基础上面尝试下用IPSec部署，看看有什么样的效果。
通用路由封装协议GRE协议，它提供了将一种协议的报文封装在另一种协议报文中的机制，使报文能够在tunnel(隧道)中传输。
RouterOS 是由 MikroTik 公司开发的基于 Linux 内核的路由操作系统，是目前功能较强、应用较广的一款软路由系统，适用于中小企事业单位、网吧、宾馆和运营商。通过该软件可以将标准的 PC 电脑变成专业路由器，在软件的开发和应用上可以不断地更新和发展，使其功能在不断增强和完善。特别在无线、认证、策略路由、带宽控制和防火墙过滤等功能上有着非常突出的功能。
GRE（Generic Routing Encapsulation，通用路由封装）协议用来对某种协议（如IP、MPLS、以太网）的数据报文进行封装，使这些被封装的数据报文能够在另一个网络（如IP）中传输。封装前后数据报文的网络层协议可以相同，也可以不同。封装后的数据报文在网络中传输的路径，称为GRE隧道。GRE隧道是一个虚拟的点到点的连接，其两端的设备分别对数据报文进行封装及解封装。
工作原理：DMVPN是一种基于mGRE的IPSec VPN技术，由mGRE、NHRP、IPSec和动态路由协议四个部分组成；mGRE是多点GRE隧道接口，使得单一的GRE接口可以支持多个IPsec隧道且简化配置；IPSec是对mGRE流量进行加密处理；保护根据NHRP和动态路由协议建立起来的网络间的临时隧道；NHRP允许分支机构采用动态IP地址，由中心站点来维护每个分支机构公网地址的NHRP数据库。
GRE(Generic Routing Encapsulation)GRE是一种最传统的隧道协议，其根本功能就是要实现隧道功能，以实现异地网络之间可以通过内部私网相互访问。
端口镜像是指经过指定端口（镜像端口）的报文复制一份到另一个指定端口（观察端口），通过观察端口接收到的数据报文，就可以有效识别虚拟网络的运行情况。
相当于：在中间运营商打通一根专线，也就是隧道两端地址要在同一网段而且通常使用私网地址。
通用路由封装协议GRE（Generic Routing Encapsulation）可以对某些网络层协议（如IPX、IPv6、AppleTalk等）的数据报文进行封装，使这些被封装的数据报文能够在另一个网络层协议（如IPv4）中传输。
有这样一个环境，在北京的客户端内网是192.168.10.1想要去访问在长沙内网的服务器192.168.20.2的80服务，而客户又不想把服务器映射到公网对外发布，只想给企业内的进行访问，如果是你会怎么实现？
一、单播地址：最高4位是0010开头 —》2 相当于IPv4里的公网地址 如：2001：：1 二、链路本地地址：最高10位是1111111010000000 --》FE80 只能在同一链路节点间使用。每台主机都会给自己配置一个链路本地地址 三、唯一本地地址：最高7位是1111110—》 FC00 只能在本地网络中使用 相当于IPv4中的私有地址 这类地址一般很少使用。 四、组播地址：最高位是11111111----》FF 相当于IPv4中的D类地址 在IPv6中，没有广播地址，广播使用组播实现 如：FF02::1 本地链路中的所有主机 FF02::2本地链路中的所有路由器
一、前言 本文提供了一种可行的、灵活的方案用于构建跨主机的Docker容器网络。鉴于目前的各类网络方案均依赖其他大型项目（比如CoreOS，Kubernetes）。本文的主旨就是抛开其他不必要的依赖，构建一个在大多数平台上都能运行的网络方案。 pipework，是由Docker的工程师Jérôme Petazzoni开发的一个Docker网络配置工具，由200多行shell代码写成，适合在多种不同的网络环境下配置容器网络，支持多种功能。github获取地址：https://github.com/jpetaz
本实验模拟企业网络场景，R1为企业总部的网关设备，并且内部有一台服务器，R3连接着企业分公司网关设备，R2为公网ISP设备。一般情况下，运营商只会维护自身的公网路由信息，而不会维护企业内部私网的路由信息，即运营商设备上的路由表中不会出现任何企业内部私网的路由条目。通过配置GRE实现公司总部和分部间私网路由信息的透传及数据通信。
OpenVSwich即开放式虚拟交换机实现，简称OVS，OVS在云计算领域应用广泛，值得我们去学习使用。
rule 10 permit ip source 12.12.12.1 0 destination 23.23.23.3 0
RouterOS 是由 MikroTik 公司开发的基于 Linux 内核的路由操作系统，是目前功能较强、应用较广的一款软路由系统，适用于中小企事业单位、网吧、宾馆和运营商。通过该软件可以将标准的 PC 电脑变成专业路由器，在软件的开发和应用上可以不断地更新和发展，使其功能在不断增强和完善。特别在无线、认证、策略路由、带宽控制和防火墙过滤等功能上有着非常突出的功能。 本文旨在介绍在腾讯云轻量应用服务器上使用 MikroTik RouterOS CHR 6.48.1 在腾讯云新加坡数据中心和 AWS 新加坡数据中心的两台服务器上配置隧道。 需要注意的是，本文所操作的服务器均位于新加坡共和国，服务器之间的加密数据通信均属新加坡共和国国内通信交换，符合相关法律法规。 本文为《Lighthouse Router （一）：在腾讯云轻量应用服务器上安装 MikroTik RouterOS 并配置简单的端口转发》一文的续集。若您尚未了解 MikroTik RouterOS 的安装和配置，请移步 https://www.idc.moe/archives/qcloud-Lighthouse-RouterOS-1.html 开始您的第一步。
特别说明：本文于2015年基于OpenStack M版本发表于本人博客，现转发到公众号。因为时间关系，本文部分内容可能已过时甚至不正确，请读者注意。
随着IT环境的不断变化以及新技术的快速发展，新的客户需求下，新的隧道协议也随之被引入进来。从GRE到VXLAN、GENEVE，网络虚拟化技术得到了迅猛发展，VXLAN 已成为目前网络虚拟化Overlay的事实标准，那么，它与Geneve 有何区别与联系呢？
V**技术还是企业比较常用的通信技术，如果一个企业的分公司和总部的互访，或者出差员工需要访问总部的网络，都会使用V**技术；
VPN技术还是企业比较常用的通信技术，如果一个企业的分公司和总部的互访，或者出差员工需要访问总部的网络，都会使用VPN技术；
本文继上文继续讨论gre over ipsec，上次我们是在两站点之间先建立IPSec连接（transport方式），然后再IPSec连接上再建立gre隧道，进行加密通信；本次我们换种方式来配置与上文相同的效果。这里我们用到了cisco路由器ipsec配置的一个技术：profile。
IPv6技术在国内沉寂数十年后，在国家推进下重新登上重要舞台。2018年工业和信息化部发布了关于贯彻落实《推进互联网协议第六版（IPv6）规模部署行动计划》的通知。不但展示国家推动IPv6的决心，更对各大运营商和公有云厂商提出了IPv6的改造目标：到2018年末，腾讯云、金山云、网宿科技、蓝汛、帝联科技完成内容分发网络（CDN）IPv6改造；云服务平台企业完成50%云产品IPv6改造。到2020年末，上述企业完成全部云产品IPv6改造。
正常按照网络通信原理来说，如果192.168.1.1要和192.168.2.1进行互相通信，封装的源目地址都是内网地址的话，经过公网路由器绝对会被丢弃掉，因为公网无法传递私网路由，所以为了可以让1.1和2.1可以交互，就需要在之前封装的私网IP头部（例如：192.168.1.1）在进行封装一层公网IP头部（例如：100.1.1.1），这样走到公网路由器后，就可以进行正常的路由传输并达到对端（例如：200.2.2.1）
本案例采用H3C HCL模拟器的F1060防火墙来模拟GRE OVER IPSEC 的典型组网配置。内网和外网在网络拓扑图中已经有了明确的标识。FW1与FW2均为各自内网的出口设备，提供NAT地址转换的服务。为了内网1和内网2能跨越外网实现通信，因为在FW1和FW2之间采用GRE VPN建立隧道，同时为了保证数据传输的安全性，将ipsec嵌入到GRE VPN隧道中。
×××隧道技术，通过一个公用网络(通常是因特网)建立一个临时的、安全的连接，是一条穿过混乱的公用网络的安全、稳定的隧道.
目标是将树莓派做成VPN路由网关，即本身是一个VPN的Client(VPN的客户端)，同时可以转发网络请求。这样只要连上家里的WIFI就可以无缝访问公司网络和其它网络。
IPsec（IP Security，IP安全）是IETF制定的一个开放的IP层安全框架协议，它通过在特定通信方之间建立IPsec隧道，为网络中传输的数据提供高质量、基于密码学的安全保证。
本文是来自SMPTE Webcast的演讲，演讲者是来自Techex的广播工程师Russell Trafford-Jones。本次演讲的主题是互联网上的可靠实时贡献，深入探讨RIST和SRT协议。
如何实现不同租户和应用间的地址空间和数据流量的隔离是实现数据中心网络虚拟化首先需要解决的几个问题之一。所谓地址空间的隔离是指不同租户和应用之间的网络（ip）地址之间不会产生相互干扰。换句话说，两个租户完全可以使用相同的网络地址。所谓数据流量的隔离是指任何一个租户和应用都不会感知或捕获到其他虚拟网络内部的流量。为了实现上述目的，我们可以在物理网络上面为租户构建各自的覆盖（overlay）网络，而隧道封装技术则是实现覆盖网络的关键。本节我们将针对目前较为流行的构建覆盖网络的隧道封装技术展开讨论，具体包括VXLA
作者：厉辉，腾讯后台研发高级工程师，当前在腾讯游戏后台团队工作，熟悉四七层负载均衡以及 API 网关等技术领域，同时也是 CNCF Ambassador 以及 Apache APISIX PMC。 本文是在组内技术分享的发言稿，主要介绍 TGW 基本原理和架构，同时为了加深理解，会辅助对比 TGW 与 LVS（ipvs）的异同。本次分享是偏基础性的 TGW 介绍，不会特别深入技术细节，目的是帮助需要用到 TGW 的同事快速的了解 TGW。 零、引言 TGW，全称 Tencent Gateway，是一套实现多
虽然白富美对吃兔兔这件事儿一开始略有微词，但吃过几次麻辣兔兔以后也觉得很不错，全力支持老公的事业。这样一来，由于小超养的兔兔非常可爱，宜红烧，宜爆炒，小超一年内把养兔场扩大到了三个分场。
很喜欢用GRE做隧道，这样容易理解MPLS，当然LSP的隧道很EASY就KO了，主要是用/32的主机路由来建立LSP隧道的，注意隧道的起止为位置，LSP的话，就是2端LOOPBACK的起止，在用LOOPBACK建立BGP关系的时候需要注意指定源地址，否则关系起不来，这在EBGP和IBGP里都一样。隧道的起止要与BGP的邻居关系一致这样才能让BGP去利用你的GRE隧道，GRE隧道里切记一定要敲MPLS否则你数据不会被解封装，还有就是GRE隧道里不要配置IP，否则协议不稳定。MCE是多实例主机这个没什么好讲的，用来隔离业务的，多角色主机是接在MCE上的，然后由PE去帮助多角色主机，而不是在MCE上做，因此MCE的实例中必须加一条默认路由或是汇总路由，否则有可能不能通，提示找不到目标网络，主要是中间跨越了MCE，否则不会出现该问题。
公网机里的局域网是10.100.0.0/24，有一个公网ip，通过公网ip进行上网；
IPSec VPN是目前VPN技术中点击率较高的一种技术，同时提供VPN和信息加密两项技术，这一期专栏就来介绍一下IPSec VPN的原理。
NVo3（Network Virtualization over Layer 3），是IETF 2014年十月份提出的数据中心虚拟化技术框架。NVo3基于IP/MPLS作为传输网，在其上通过隧道连接的方式，构建大规模的二层租户网络。NVo3的技术模型如下所示，PE设备称为NVE（Network Virtualization Element），VN Context作为Tag标识租户网络，P设备即为普通的IP/MPLS路由器。NVo3在设计之初，VxLAN与SDN的联合部署已经成为了数据中心的大趋势，因此NVo
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
即时通信 IM
