ATT&CK视角下的红蓝对抗：四. 内网穿透之通过Earthworm(EW)进行隧道穿透
特别说明：本文于2015年基于OpenStack M版本发表于本人博客，现转发到公众号。因为时间关系，本文部分内容可能已过时甚至不正确，请读者注意。
Like a proxy, tunneling allows you to pass traffic from a filtered IP to another destination. Tunnels are much like a V**, except that not every tunnel involves encryption. A machine that is "tunneled" into another network has a virtual interface configured with an IP that is not local, but exists on a remote network. This traffic is forwarded in the form of packets at the kernel level, and therefore not susceptible to server interruptions.
General Routing Encapsulation，简称GRE，是一种三层V**封装技术。GRE可以对某些网络层协议（如IPX、Apple Talk、IP等）的报文进行封装，使封装后的报文能够在另一种网络中（如IPv4）传输，从而解决了跨越异种网络的报文传输问题。异种报文传输的通道称为Tunnel（隧道）。
①、网络是openstack最重要的资源之一，没有网络，虚拟机将被隔离。Openstack的网络服务最主要的功能就是为虚拟机实例提供网络连接，最初由nova的一个单独模块nova-compute实现，但是nova-compute支持的网络服务有限，无法适应大规模、高密度和多项目的云计算,现已被专门的网络服务项目Neutron所取代。
最近几年，互联网公司发展迅速，有很多互联网公司本身的基础架构都构建在一些公有云厂商之上，除了节省初期投资之外，另外也是借助于一些大的云厂商本身的网络能力，实现业务更好的覆盖。
RouterOS 是由 MikroTik 公司开发的基于 Linux 内核的路由操作系统，是目前功能较强、应用较广的一款软路由系统，适用于中小企事业单位、网吧、宾馆和运营商。通过该软件可以将标准的 PC 电脑变成专业路由器，在软件的开发和应用上可以不断地更新和发展，使其功能在不断增强和完善。特别在无线、认证、策略路由、带宽控制和防火墙过滤等功能上有着非常突出的功能。
特别说明：本文于2015年基于OpenStack M版本发表于本人博客，现转发到公众号。因为时间关系，本文部分内容可能已过时甚至不正确，请注意。
OpenStack网络服务提供了一个API接口，允许用户在云上设置和定义网络连接和地址。这个网络服务的项目代码名称是Neutron。OpenStack网络处理虚拟设备的创建和管理网络基础设施，包括网络、交换机、子网以及由计算服务（nova）管理的设备路由器。高级服务，如防火墙或虚拟私人网络（VPN）也可以使用。
BJ_FW身后有一个服务器，CS_FW与CD_R后面的client需要访问这个服务器，希望不把服务器暴露在公网上面，能实现的那就只有GRE与IPSec了，但是GRE没有安全性保障，IPSec有安全性，那能不能把GRE与IPSec结合起来一起使用呢？下面先回顾下GRE的配置，把各个点之前打通，然后在这个基础上面尝试下用IPSec部署，看看有什么样的效果。
T50是一款网络层压力测试工具。 该工具在检查完“/usr/include/linux”之后，会选择下面的协议进行测试： a) ICMP – Internet Control Message Protocol b) IGMP – Internet Group Management Protocol c) TCP – Transmission Control Protocol d) UDP – User Datagram Protocol 为什么企业需要压力测试 企业在设计一个网络基础
3、GRE分为point-to-piont GRE和multipoint GRE两种
相当于：在中间运营商打通一根专线，也就是隧道两端地址要在同一网段而且通常使用私网地址。
GRE（Generic Routing Encapsulation） 在任意一种网络协议上传送任意一种其他网络协议的封装方法 我们先本质上还是同种协议封装 也是就IP over IP
GRE提供了将一种协议的报文封装在另一种协议报文中的机制，是一种三层隧道封装技术，使报文可以通过GRE隧道透明的传输，解决异种网络的传输问题。
GRE（Generic Routing Encapsulation，通用路由封装）协议用来对某种协议（如IP、MPLS、以太网）的数据报文进行封装，使这些被封装的数据报文能够在另一个网络（如IP）中传输。封装前后数据报文的网络层协议可以相同，也可以不同。封装后的数据报文在网络中传输的路径，称为GRE隧道。GRE隧道是一个虚拟的点到点的连接，其两端的设备分别对数据报文进行封装及解封装。
GRE VPN，全称为Generic Routing Encapsulation（通用路由封装协议），是一种在网络层实现的隧道技术。想象一下，GRE就像是一位魔术师，它可以把一种网络协议的数据报文（比如IP包）装进另一种协议的报文里，然后安全穿越互联网这个复杂多变的环境，到达目的地后再把原始数据报文还原出来，这样即使中间经过了不同的网络，数据也能完好无损地送达。
GRE(Generic Routing Encapsulation)GRE是一种最传统的隧道协议，其根本功能就是要实现隧道功能，以实现异地网络之间可以通过内部私网相互访问。
rule 10 permit ip source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255
RouterOS 是由 MikroTik 公司开发的基于 Linux 内核的路由操作系统，是目前功能较强、应用较广的一款软路由系统，适用于中小企事业单位、网吧、宾馆和运营商。通过该软件可以将标准的 PC 电脑变成专业路由器，在软件的开发和应用上可以不断地更新和发展，使其功能在不断增强和完善。特别在无线、认证、策略路由、带宽控制和防火墙过滤等功能上有着非常突出的功能。 本文旨在介绍在腾讯云轻量应用服务器上使用 MikroTik RouterOS CHR 6.48.1 在腾讯云新加坡数据中心和 AWS 新加坡数据中心的两台服务器上配置隧道。 需要注意的是，本文所操作的服务器均位于新加坡共和国，服务器之间的加密数据通信均属新加坡共和国国内通信交换，符合相关法律法规。 本文为《Lighthouse Router （一）：在腾讯云轻量应用服务器上安装 MikroTik RouterOS 并配置简单的端口转发》一文的续集。若您尚未了解 MikroTik RouterOS 的安装和配置，请移步 https://www.idc.moe/archives/qcloud-Lighthouse-RouterOS-1.html 开始您的第一步。
本实验模拟企业网络场景，R1为企业总部的网关设备，并且内部有一台服务器，R3连接着企业分公司网关设备，R2为公网ISP设备。一般情况下，运营商只会维护自身的公网路由信息，而不会维护企业内部私网的路由信息，即运营商设备上的路由表中不会出现任何企业内部私网的路由条目。通过配置GRE实现公司总部和分部间私网路由信息的透传及数据通信。
目标是将树莓派做成VPN路由网关，即本身是一个VPN的Client(VPN的客户端)，同时可以转发网络请求。这样只要连上家里的WIFI就可以无缝访问公司网络和其它网络。
2 【总部IPSEC配置回顾】 IPSEC VPN部署
有这样一个环境，在北京的客户端内网是192.168.10.1想要去访问在长沙内网的服务器192.168.20.2的80服务，而客户又不想把服务器映射到公网对外发布，只想给企业内的进行访问，如果是你会怎么实现？
一种技术（协议）或者策略的两个或多个子网穿过另一种技术（协议）或者策略的网络实现互联，称之为overlay topology，这一技术是电信技术的永恒主题之一。
GRE（ Generic Routing Encapsulation，通用路由封装）协议是对某些网络层协议（如 IP 和 IPX）的数据报文进行封装，使这些被封装的数据报文能够在另一个网络层协议（如 IP）中传输。 GRE是 Tunnel（隧道）技术的一种，属于第三层隧道协议。 GRE 隧道是一个虚拟的点对点的连接，为封装的数据报文提供了一条传输通路， GRE 隧道的两端分别对数据报进行封装及解封装。
该实验参考了华为官网案例配置 https://support.huawei.com/enterprise/zh/doc/EDOC1000097307/478eeed1
通用路由封装协议GRE（Generic Routing Encapsulation）可以对某些网络层协议（如IPX、IPv6、AppleTalk等）的数据报文进行封装，使这些被封装的数据报文能够在另一个网络层协议（如IPv4）中传输。
一、前言 本文提供了一种可行的、灵活的方案用于构建跨主机的Docker容器网络。鉴于目前的各类网络方案均依赖其他大型项目（比如CoreOS，Kubernetes）。本文的主旨就是抛开其他不必要的依赖，构建一个在大多数平台上都能运行的网络方案。 pipework，是由Docker的工程师Jérôme Petazzoni开发的一个Docker网络配置工具，由200多行shell代码写成，适合在多种不同的网络环境下配置容器网络，支持多种功能。github获取地址：https://github.com/jpetaz
本文由腾讯云+社区自动同步，原文地址 https://stackoverflow.club/article/tcpdump_debug_pptp/
通过之前的文章，我们知道 tun 是一个网络层的设备，也被叫做点对点设备，之所以叫这个名字，是因为 tun 常常被用来做隧道通信（tunnel）。
工作原理：DMVPN是一种基于mGRE的IPSec VPN技术，由mGRE、NHRP、IPSec和动态路由协议四个部分组成；mGRE是多点GRE隧道接口，使得单一的GRE接口可以支持多个IPsec隧道且简化配置；IPSec是对mGRE流量进行加密处理；保护根据NHRP和动态路由协议建立起来的网络间的临时隧道；NHRP允许分支机构采用动态IP地址，由中心站点来维护每个分支机构公网地址的NHRP数据库。
相比网上的 Gre over IPSEC，本配置中对企业内的数据流进行了加密，对企业访问 Internet 的数据流未加密，保证了效率和安全的平衡！
一、单播地址：最高4位是0010开头 —》2 相当于IPv4里的公网地址 如：2001：：1 二、链路本地地址：最高10位是1111111010000000 --》FE80 只能在同一链路节点间使用。每台主机都会给自己配置一个链路本地地址 三、唯一本地地址：最高7位是1111110—》 FC00 只能在本地网络中使用 相当于IPv4中的私有地址 这类地址一般很少使用。 四、组播地址：最高位是11111111----》FF 相当于IPv4中的D类地址 在IPv6中，没有广播地址，广播使用组播实现 如：FF02::1 本地链路中的所有主机 FF02::2本地链路中的所有路由器
1 集群基础 1.1 集群简介 1.1.1 集群基础 场景需求 满足不了用户需求 集群：资源扩展的解决方案 解决方案 三轴扩展 x轴： 复制或者克隆的方式 y轴： 配置升级或者资源增强的方式 z轴： 通过业务梳理和资源整合的方式，实现细节单独部署的一种扩展方式 访问效果 浏览器 - dns解析 - 反向代理 - 负载均衡 - web应用 - 数据库 - 存储 1.1.2 集群类型 类型简介 高扩展集群 LB 共同支撑一个业务
作者：linhaifeng4573 来源：见文末 一 openstack由来 openstack最早由美国国家航空航天局NASA研发的Nova和Rackspace研发的swift组成。后来以apache许可证授权,旨在为公共及私有云平台建设。openstack主要用来为企业内部实现类似于Amazon EC2和S3的云基础架构服务（Iaas）.每6个月更新一次，基本与ubuntu同步，命名是以A-Z作为首字母来的。 二 openstack项目与组件（服务名是项目名的别名） 核心项目
Tungsten Fabric入门宝典系列文章，来自技术大牛倾囊相授的实践经验，由TF中文社区为您编译呈现，旨在帮助新手深入理解TF的运行、安装、集成、调试等全流程。如果您有相关经验或疑问，欢迎与我们互动，并与社区极客们进一步交流。更多TF技术文章，请点击 【TF中文社区】 公号底部按钮＞学习＞文章合集。
刚开始接触容器集群的人会发现，与在单节点上使用容器相比，容器集群一个很复杂的领域就是网络。Kubernetes 作为容器编排领域的事实标准，对容器集群的网络进行了合理抽象，并开放了容器网络标准 CNI，供各公司根据自身应用场景和底层基础设施选用开源方案或者自行实现一套网络插件。本文主要介绍腾讯云容器平台针对私有化不同场景的一些网络方案实践。
通用路由封装或 GRE 和 IPsec 都封装数据包，但是这两种协议在安全性、数据隐私和加密方面有不同的要求。
GRE由 RFC（Request for Comments）2784 定义并由 RFC 2890 更新，创建一个未加密的隧道，该隧道在另一个任意网络层协议上封装任意协议。
作者：厉辉，腾讯后台研发高级工程师，当前在腾讯游戏后台团队工作，熟悉四七层负载均衡以及 API 网关等技术领域，同时也是 CNCF Ambassador 以及 Apache APISIX PMC。 本文是在组内技术分享的发言稿，主要介绍 TGW 基本原理和架构，同时为了加深理解，会辅助对比 TGW 与 LVS（ipvs）的异同。本次分享是偏基础性的 TGW 介绍，不会特别深入技术细节，目的是帮助需要用到 TGW 的同事快速的了解 TGW。 零、引言 TGW，全称 Tencent Gateway，是一套实现多
Linux虚拟网络设备支撑着各种复杂的网络需求和配置，从基础的网络桥接到高级的网络隔离和加密🔐。以下是对主要Linux虚拟网络设备的介绍、它们的作用以及适用场景的概览，同时提出了一种合理的分类，并指出应用开发人员应该着重掌握的设备。
此时docker引擎会创建一个veth对，一端连接到容器实例并命名为eth0，另一端连接到指定的网桥中（比如docker0），因此同在一个主机的容器实例由于连接在同一个网桥中，它们能够互相通信。容器创建时还会自动创建一条SNAT规则，用于容器与外部通信时，类似家里上网用的ISP提供给我们的动态IP。如果用户使用了-p或者-P端口，还会创建对应的端口映射规则，使得外部请求能够访问容器的服务，但是你不能通过IP直接访问，本文提供了3种方式实现容器的跨主机访问。
本文继上文继续讨论gre over ipsec，上次我们是在两站点之间先建立IPSec连接（transport方式），然后再IPSec连接上再建立gre隧道，进行加密通信；本次我们换种方式来配置与上文相同的效果。这里我们用到了cisco路由器ipsec配置的一个技术：profile。
docker启动时，会在宿主主机上创建一个名为docker0的虚拟网络接口。默认选择172.17.42.1/16，一个16位的子网掩码给容器提供了65534个IP地址。docker0仅仅是一个在绑定到这上面的其它网卡间自己主动转发数据包的虚拟以太网桥，它能够使容器和主机相互通信,容器与容器间通信。问题是，怎样让位于不同主机上的docker容器能够通信。怎样有效配置docker网络眼下来说还是一个较复杂的工作，因而也涌现了非常多的开源项目来解决问题，如flannel、Kubernetes、weave、pipework等等。
路由器 R1 和路由器 R3 间通过其他网络相连，运行 IP 协议的似有玩了过的两个子
rule 10 permit ip source 12.12.12.1 0 destination 23.23.23.3 0
高清视频直播和云计算的蓬勃发展，带来互联网流量持续高速增长，主流云公司的Internet出口带宽都已经达到Tbps级别。 鉴于网络的拥堵大部分发生在出口互联，Edge Peering Fabric的架构设计直接影响到终端客户的用户体验， 2017年Google/Facebook对外发布了两种不同的Edge 设计理念，本文试着以Google Espresso为主详解下一代Cloud Edge的架构，并简单介绍一下Facebook Edge Fabric。
MPLS的V3是在PE上虚拟VRF路由器。一台PE如果有2个VRF则在它上面有3张路由表，全局，VRFA,VRFB，所有的VRF都会关联相应的接口，以及相应的路由协议，如果路由协议不支持多进程则无法完成多实例配置。利用这个方式有时候我们在无MPLS的环境下也可以实现多实例多进程的隔离。MPLS只是一个LSP的隧道，可以把他随时换成GRE，但GRE内要能解开MPLS的内层标签。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
实时音视频
云直播
对象存储
