路由与交换系列之 GRE VPN 技术原理笔记分享-阿里云开发者社区

• GRE简称通用路由封装协议（Generic Rrouting Encapsulation）他的作用是把一种协议的报文封装在另外一种协议的报文中的技术，是一种隧道技术（只要这样子做，都称为隧道技术）。所以我们抓包看到的至少有两个头部，这两个头部的作用就是穿越异种网络。而且他还可以对组播报文进行封装，这是IPsec做不到的，也就是说我们可以在GRE上面跑路由协议（可以让两个异地的设备跑动态路由），并且可以和IPsec结合，保证更高的安全性。

• GRE虽然我们把它称为VPN技术，但是他一般来说不会单独使用，因为他缺乏安全性，但是他的优点很明显，非常的简单，成为来隧道技术的一个代表。

GRE：Generic Rrouting Encapsulation，通用路由封装协议。

• 一种三层的VPN封装技术。

• 在任意一种网络协议上传送任意一种其他网络协议的封装方法。

• 解决了跨越异种网络（不是一种网络）的报文传输问题，异种报文传输的通道被称为隧道（Tunnel）。

• 异种网络：不是同一种网络，这些网络默认是不兼容的，通讯是有问题的。

如：私网跨越公网到达私网，IPv4跨越IPv6到达IPv4，反之亦然。本身这个技术用到的方面很广，是一种隧道技术。

•

GRE优点	GRE缺点
建立隧道	点到点隧道（一个点到一个点，多个点就要多个隧道口）
支持多种网络层协议	静态配置隧道参数
支持组播路由	部署负责，连接关系时代价巨大
配置简单，容易部署	缺乏安全性（最大的致命伤）

GRE核心功能：建立隧道，打通私网

• 隧道一般配置在出口且有公网的设备上。

• 有了隧道以后，相当于在出口设备和对端出口设备接了一条专线，因为VPN就是用来代替专线的，可以理解为他是一条虚拟的专线，而且从路由层面上来说，正常我们数据从出口设备发出，到达目的网络会有多跳，而我们建立VPN后，只会算一跳，这些细节也会被隐藏。相当于也是减少了路径的跳数。

•

• GRE over IPsec是实际应用场景较多的，GRE隧道一般很少单独使用，因为不安全，所有用IPsec来保护，当然IPsec也可以单独使用。IPsec虽然很强大，有自己的隧道和加密技术，但是IPsec不支持路由组播，而GRE支持，所以使用IPsec保护GRE进行安全传输。所以是先有GRE然后再由IPsec来保护GRE，这也就是GRE over IPsec，这是实际需求的一种用法。

GRE封装：穿马甲

• 在原始封装的数据报文字段中加入新的IP头部，在新的IP报头和老的IP报头中间加一个协议，这就是GRE报头。

• GRE头部

• 把原本的IP报头当成货物，这个被称为乘客协议，GRE负责承载乘客协议的IP报文，可以理解为车辆，然后由新的IP报头在公网进行传输，公网设备只会查看新的IP报头，然后进行转发。

• GRE报头详解

• 协议号为47，经过GRE封装后，新的IP报头的协议号为47。GRE报头里面还有载荷协议，用于判断上层是上面类型。

• GRE封装后报头

GREVPN转发过程详解：

• 私网到私网的路由不走缺省路由，要走隧道口，当我们收到一个私网路由时，这时设备会查找路由表。

• 查询路由表后，发现要去的地址的下一跳是隧道口，设备发现我们要走的是隧道口，所以会对数据报文进行GRE封装。

• 设备加了一个GRE头部，同时会有新的IP头部，这个新的IP头部，会有新的源和目标IP地址，就是建立时的隧道源和隧道目标。

• 隧道口的意义在于设备查找路由时找到出接口是隧道口，或者下一跳是隧道目标。

• 因此，私网数据报文保留，加上GRE报头和新的IP报头（隧道源和隧道目标）。

• 数据报文发送出去后，中途运营商的设备会根据外层的IP报头进行转发。

• 目标设备收到数据报文后，进行解封装，看到GRE报文后，会继续解封装，然后在看到原先发送的数据报文，发现是私网包头，进行查找路由，发现有就进行转发，回包也是如此，这就完成通讯。

• GRE通讯流程图

GREVPN配置：

命令	备注
Interface tunnel 0/x/x	创建隧道口。
Tunnel-protocol x	指定协议。
source	指定隧道源/接口/IP。
destination	指定隧道目地/IP。
Ip address x	添加隧道口地址（必须）
Ip route-static d m tp	配置静态隧道口。 d=目的 m=掩码 tp=隧道接口/宣告口
Dis int tunnel x	查看隧道口信息。
Keepalive period 5 retry-times 3	开启Keepalive避免数据黑洞。
Gre checksum/key	配置简单校验/验证