AI 助理
文档备案控制台
开发者社区 安全 文章 正文

配置基于静态路由的GRE隧道

2026-05-15 23
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介： 本文介绍通过GRE隧道实现两个私有网络（网络1与网络2）跨Internet互联的完整方案：FW1与FW2公网可达，分别配置Tunnel接口、GRE封装参数（源/目的IP、密钥）、静态路由及双向安全策略，最终实现PC1与PC2互通，并通过Wireshark验证GRE封装效果。

组网需求

如下所示，FW1和FW2通过Internet相连，两者公网路由可达。网络1和网络2是两个私有的IP网络，通过在两台FW之间建立GRE隧道实现两个私有IP网络互联。

数据规划

设备

数据

描述

FW2

接口配置

接口号：GigabitEthernet 1/0/0

IP地址：12.12.12.1/24

安全区域：Untrust

接口号：GigabitEthernet 1/0/1

IP地址：172.16.1.1/24

安全区域：Trust

GRE配置

接口名称：Tunnel

IP地址：192.168.12.1/24

源地址：12.12.12.1/24

目的地址：21.21.21.2/24

隧道识别关键字：123456

FW2

接口配置

接口号：GigabitEthernet 1/0/0

IP地址：21.21.21.1/24

安全区域：Untrust

接口号：GigabitEthernet 1/0/1

IP地址：172.16.2.2/24

安全区域：Trust

GRE配置

接口名称：Tunnel

IP地址：192.168.12.2/24

源地址：21.21.21.2/24

目的地址：12.12.12.1/24

隧道识别关键字：123456

Internet

接口配置

接口号：GigabitEthernet 0/0/0

IP地址：12.12.12.2/24

接口号：GigabitEthernet 0/0/1

IP地址：21.21.21.1/24

配置思路

  1. 在FW_A和FW_B上分别创建一个Tunnel接口。
    在Tunnel接口中指定隧道的源IP地址和目的IP等封装参数。
  2. 配置静态路由，将出接口指定为本设备的Tunnel接口。
    该路由的作用是将需要经过GRE隧道传输的流量引入到GRE隧道中。
  3. 配置安全策略，允许GRE隧道的建立和流量的转发。

操作步骤

1.配置接口的IP地址，并将接口加入安全区域

FW1

防火墙首次登录需要修改密码，登录默认用户名密码admin/Admin@123。

#进入系统视图
<USG6000V1>system-view
#修改设备名称
[USG6000V1]sysname FW1
#进入接口GE0/0/0视图
[FW1]interface GigabitEthernet 1/0/0
#为接口GE1/0/0配置IP地址为12.12.12.1，子网掩码为255.255.255.0
[FW1-GigabitEthernet1/0/0]ip address 12.12.12.1 24
#从接口视图返回到系统视图
[FW1-GigabitEthernet1/0/0]quit 
[FW1]interface GigabitEthernet 1/0/1
[FW1-GigabitEthernet1/0/1]ip address 172.16.1.1 24
[FW1-GigabitEthernet1/0/1]quit
#创建编号为1的Tunnel接口,并进入该Tunnel接口视图
[FW1]interface Tunnel 1
[FW1-Tunnel1]ip address 192.168.12.1 24
[FW1-Tunnel1]quit
#进入Trust安全区域视图
[FW1]firewall zone trust 
#将接口GigabitEthernet1/0/0加入到Trust安全区域
[FW1-zone-trust]add interface GigabitEthernet 1/0/1
#从安全区域视图返回到系统视图
[FW1-zone-trust]quit
[FW1]firewall zone untrust 
[FW1-zone-untrust]add interface GigabitEthernet 1/0/0
[FW1-zone-untrust]quit
[FW1]firewall zone dmz 
[FW1-zone-dmz]add interface Tunnel 1
[FW1-zone-dmz]quit

FW2

<USG6000V1>system-view
[USG6000V1]sysname FW2
[FW1]interface GigabitEthernet 1/0/0
[FW1-GigabitEthernet1/0/0]ip address 172.16.2.2 24
[FW1-GigabitEthernet1/0/0]quit 
[FW1]interface GigabitEthernet 1/0/1
[FW1-GigabitEthernet1/0/1]ip address 21.21.21.2 24
[FW1-GigabitEthernet1/0/1]quit
[FW1]interface Tunnel 1
[FW1-Tunnel1]ip address 192.168.12.2 24
[FW1-Tunnel1]quit
[FW1]firewall zone trust 
[FW1-zone-trust]add interface GigabitEthernet 1/0/0
[FW1-zone-trust]quit
[FW1]firewall zone untrust 
[FW1-zone-untrust]add interface GigabitEthernet 1/0/1
[FW1-zone-untrust]quit
[FW1]firewall zone dmz 
[FW1-zone-dmz]add interface Tunnel 1
[FW1-zone-dmz]quit

Internet

<Huawei>sys
[Huawei]sys Internet
[Internet]int GigabitEthernet 0/0/0
[Internet-GigabitEthernet0/0/0]ip address 12.12.12.2 24
[Internet-GigabitEthernet0/0/0]quit
[Internet]int GigabitEthernet 0/0/1
[Internet-GigabitEthernet0/0/1]ip address 21.21.21.1 24
[Internet-GigabitEthernet0/0/1]quit

PC1

PC2

2.配置路由

FW1

#配置FW1到FW2网络互通
[FW1]ip route-static 21.21.21.0 24 12.12.12.2
#将需要经过GRE隧道传输的流量引入到GRE隧道中
[FW1]ip route-static 172.16.2.0 24 Tunnel 1

FW2

[FW1]ip route-static 12.12.12.0 24 21.21.21.1
[FW1]ip route-static 172.16.1.0 24 Tunnel 1

3.配置Tunnel接口的封装参数

封装协议、源地址/接口、目的地址、认证

FW1

[FW1]interface Tunnel 1
#配置Tunnel接口为GRE隧道模式
[FW1-Tunnel1]tunnel-protocol gre
#配置Tunnel接口的源地址或源接口
[FW1-Tunnel1]source GigabitEthernet1/0/0
#配置Tunnel 1接口的目的端地址为21.21.21.2
[FW1-Tunnel1]destination 21.21.21.2
#设置隧道的识别关键字
[FW1-Tunnel1]gre key cipher 123456
[FW1-Tunnel1]quit

FW2

[FW2]interface Tunnel1
[FW2-Tunnel1] tunnel-protocol gre
[FW2-Tunnel1] source 21.21.21.2
[FW2-Tunnel1] destination 12.12.12.1
[FW2-Tunnel1] gre key cipher 123456
[FW2-Tunnel1]quit

4.配置域间安全策略

PC到FW(Trust到DMZ)、FW到FW(Local到Untrust)

注意：由于安全策略具有方向性，所需要需要配置双向的安全策略。可以使用FW1和FW2中方法进行配置。

FW1

[FW1]security-policy
#配置允许封装前的报文通过域间安全策略
[FW1-policy-security]rule name 1
[FW1-policy-security-rule-1]source-zone trust 
[FW1-policy-security-rule-1]destination-zone dmz 
[FW1-policy-security-rule-1]action permit 
[FW1-policy-security-rule-1]quit 
[FW1-policy-security]rule name 2
[FW1-policy-security-rule-1]source-zone dmz 
[FW1-policy-security-rule-1]destination-zone trust
[FW1-policy-security-rule-1]action permit 
[FW1-policy-security-rule-1]quit 
#配置允许封装后的GRE报文通过域间安全策略
[FW1-policy-security]rule name 3
[FW1-policy-security-rule-2]source-zone local 
[FW1-policy-security-rule-2]destination-zone untrust 
[FW1-policy-security-rule-2]action permit 
[FW1-policy-security-rule-2]quit
[FW1-policy-security]rule name 4
[FW1-policy-security-rule-2]source-zone untrust 
[FW1-policy-security-rule-2]destination-zone local 
[FW1-policy-security-rule-2]action permit 
[FW1-policy-security-rule-2]quit

FW2

[FW2]security-policy
[FW2-policy-security]rule name 1
[FW2-policy-security-rule-1]source-zone trust dmz
[FW2-policy-security-rule-1]destination-zone dmz trust
[FW2-policy-security-rule-1]action permit
[FW2-policy-security-rule-1]quit
[FW2-policy-security] rule name 2
[FW2-policy-security-rule-2]source-zone local untrust
[FW2-policy-security-rule-2]destination-zone untrust local
[FW2-policy-security-rule-2]action permit
[FW2-policy-security-rule-2]quit

5.验证配置结果

在FW1使用display ip routing-table命令查看路由表。可以看到目的地址为172.16.2.0/24，出接口为Tunnel1的路由。

FW1

[FW1]display ip routing-table 
2026-05-13 07:45:14.310 
Route Flags: R - relay, D - download to fib
------------------------------------------------------------------------------
Routing Tables: Public
         Destinations : 10       Routes : 10       
Destination/Mask    Proto   Pre  Cost      Flags NextHop         Interface
     12.12.12.0/24  Direct  0    0           D   12.12.12.1      GigabitEthernet1/0/0
     12.12.12.1/32  Direct  0    0           D   127.0.0.1       GigabitEthernet1/0/0
     21.21.21.0/24  Static  60   0          RD   12.12.12.2      GigabitEthernet1/0/0
      127.0.0.0/8   Direct  0    0           D   127.0.0.1       InLoopBack0
      127.0.0.1/32  Direct  0    0           D   127.0.0.1       InLoopBack0
     172.16.1.0/24  Direct  0    0           D   172.16.1.1      GigabitEthernet1/0/1
     172.16.1.1/32  Direct  0    0           D   127.0.0.1       GigabitEthernet1/0/1
     172.16.2.0/24  Static  60   0           D   192.168.12.1    Tunnel1
   192.168.12.0/24  Direct  0    0           D   192.168.12.1    Tunnel1
   192.168.12.1/32  Direct  0    0           D   127.0.0.1       Tunnel1

网络1中的PC1与网络2中的PC2能够相互ping通

PC1

#第一次ping测试时，前1~2个报文丢失，正是因为在等ARP解析完成。
PC>ping 172.16.2.10
Ping 172.16.2.10: 32 data bytes, Press Ctrl_C to break
Request timeout!
From 172.16.2.10: bytes=32 seq=2 ttl=126 time=16 ms
From 172.16.2.10: bytes=32 seq=3 ttl=126 time=16 ms
From 172.16.2.10: bytes=32 seq=4 ttl=126 time=31 ms
From 172.16.2.10: bytes=32 seq=5 ttl=126 time=15 ms
--- 172.16.2.10 ping statistics ---
  5 packet(s) transmitted
  4 packet(s) received
  20.00% packet loss
  round-trip min/avg/max = 0/19/31 ms

如下图所示，Wireshark捕获到了GRE报文，Key值为0x00001c24。这说明原始的ICMP报文（内层 IP：源172.16.1.10 -> 目的172.16.2.10）被作为载荷，封装在了新的隧道IP报文中（外层 IP：源12.12.12.1 -> 目的21.21.21.2），通过隧道传输给对端。

文章标签：
安全
数据安全/隐私保护
网络安全
刘俊辉个人博客
目录
相关文章
刘俊辉个人博客
|
22小时前
|
网络协议 网络安全 网络虚拟化
GRE 协议
GRE（通用路由封装）是一种三层隧道技术，可将IPX、IPv6、AppleTalk等协议报文封装于IPv4中透明传输，解决异构网络互通问题；支持组播报文封装，常用于GRE over IPSec、突破RIP跳数限制等场景。
刘俊辉个人博客
19 0
GRE 协议
刘俊辉个人博客
|
22小时前
|
网络协议 安全 网络安全
配置基于OSPF的GRE隧道
本文介绍通过GRE隧道实现跨Internet的OSPF路由互通：FW1与FW2建立GRE隧道，封装OSPF及ICMP报文，配置Tunnel接口、OSPF进程、静态路由及双向安全策略，最终使网络1（172.16.1.0/24）与网络2（172.16.2.0/24）私网互通。
刘俊辉个人博客
22 0
配置基于OSPF的GRE隧道
yr64r6ip2bd6o
|
1月前
|
人工智能 架构师
Qoder Together 郑州站来啦！解锁企业级 AI Coding 落地玩法
4月22日14:00-17:00，郑州阿里中心举办AI Coding实战沙龙！聚焦Qoder产品解析、企业级方案及UU跑腿落地实践，架构师现场带练。名额有限，速报名→ https://huodongxing.com/event/4855877137411
yr64r6ip2bd6o
156 4
余二五
|
网络协议 芯片
F5常用转发模式原理
余二五
4632 0
32ea2c6h24f0eeLvbTg
|
5月前
|
弹性计算 固态存储 关系型数据库
国内高性价比云服务器选型指南：阿里云低价机型配置与市场对比
今年，阿里云针对不同用户群体推出多款高性价比云服务器产品，覆盖轻量应用服务器与 ECS 实例，价格区间从 38 元 / 年至 160 元 / 月，适配个人开发、中小企业轻量业务等多种场景，具体核心机型信息如下：
32ea2c6h24f0eeLvbTg
1348 3
刘俊辉个人博客
|
11月前
|
负载均衡 网络协议
配置本地策略路由示例—详解版
本文介绍了一种基于报文长度的策略路由配置方案，实现RouterA与RouterB间不同长度报文通过不同下一跳地址转发。具体规则为：64-1400字节强制下一跳为192.168.1.2，1401-1500字节强制下一跳为192.168.2.2，其他长度按目的地址路由。实验中通过ping命令测试多种报文长度，并对比RouterB接口统计信息验证配置效果。结果表明，策略路由优先级高于常规路由，超MTU报文会触发分片导致统计翻倍，未匹配策略时由静态路由实现负载均衡。此方案展示了策略路由在流量工程中的灵活应用。
刘俊辉个人博客
366 131
刘俊辉个人博客
|
8月前
|
Oracle 关系型数据库 虚拟化
在VMware的Win10虚拟机中安装使用ENSP
本文介绍了在Windows 10虚拟机上安装ENSP及相关软件的全过程，包括VirtualBox、WinPcap、Wireshark、VLC和ENSP的安装步骤，并提供图文演示，帮助用户顺利完成配置与测试。
刘俊辉个人博客
2202 134
大哲超级个体研究院
|
7月前
|
人工智能 供应链 安全
智能体开发的学习路径：对标国家职业标准的系统化能力构建
程序员陈凯苦于转型智能体开发，课程零散难入门。直到接触“智能体来了”系统化课程，依《人工智能工程技术人员国家职业标准》分三阶段进阶：1-3月打基础，掌握Python、大模型与数据库；3-6月学架构、意图识别与对话管理，达中级水平；6-12月实战企业级项目，如供应链智能体，契合高级工程师要求。课程融合API开发、安全治理与模型优化，助力从Java开发者成长为AI工程师。
大哲超级个体研究院
958 1
YOLO创新改进大师
|
4月前
|
机器学习/深度学习 Serverless 计算机视觉
YOLO26改进 - SPPF模块 | SPPELAN 空间金字塔池化与增强局部注意力：替代SPPF增强多尺度上下文捕获，提升检测精度
本文提出可编程梯度信息（PGI）与通用高效层聚合网络（GELAN），解决深度网络中信息丢失问题。PGI确保梯度计算时输入信息完整，提升模型训练效果；GELAN基于梯度路径规划，实现高效轻量架构。结合SPPELAN模块应用于YOLO26，在MS COCO任务中显著提升参数利用率与检测性能，无需预训练即超越现有先进模型。
YOLO创新改进大师
277 11

热门文章

最新文章

  • 1
    linux防火墙iptables常用规则(屏蔽IP地址、禁用ping、协议设置、NAT与转发、负载平衡、自定义链)
  • 2
    【CDN 常见问题】CDN HTTPS配置及常见问题
  • 3
    云大使推荐返现-新手开单指南
  • 4
    华为手机的备忘录内容如何快速导出到小米手机？
  • 5
    通义千问72B、1.8B、Audio模型开源！魔搭社区最佳实践来啦！
  • 6
    GitLab 配置 SSH 密钥（详细流程）
  • 7
    【深入理解JVM】：Java类继承关系中的初始化顺序
  • 8
    改变placeholder的字体颜色
  • 9
    第一篇博客
  • 10
    django 1.8 官方文档翻译： 2-2-1 执行查询
  • 1
    交通标识与信号灯数据集分享（适用于YOLO系列深度学习检测任务）
    32
  • 2
    你的 AI 编程 CLI 配置管理工具来了
    59
  • 3
    国家高新企业查询-高新企业信息查询-国家高新企业信息检索
    33
  • 4
    企业工商变更查询接口实战：全维度变动数据结构化解析
    33
  • 5
    阿里云上线团队版Token Plan：一站式多模型订阅，解决企业规模化AI使用难题
    44
  • 6
    HyDE ：让 RAG 检索从"匹配关键词"升级到"理解意图"
    37
  • 7
    Claude Code + DeepSeek V4-Pro 实战评测与配置手册，除成本外无明显短板！
    265
  • 8
    Docker部署Hermes Agent完整教程：Windows与Linux全平台通用指南
    126
  • 9
    【2026最新】SQLiteStudio下载安装保姆级教程（附安装包+图文步骤）
    84
  • 10
    多Agent集群协作架构设计：路由、委托、辩论、群体四种模式的边界与枢衡实践
    54

    • 相关电子书

    更多
  • 低代码开发师（初级）实战教程
  • 冬季实战营第三期：MySQL数据库进阶实战
  • 阿里巴巴DevOps 最佳实践手册
    • 下一篇
    阿里云重磅新品：Agent安全中心，全新安全框架下AI Agent一体化防御平台