AI 助理
文档备案控制台
开发者社区 安全 文章 正文

配置基于静态路由的GRE隧道

2026-05-15 108
版权
版权声明：
本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《 阿里云开发者社区用户服务协议》和 《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写 侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
简介： 本文介绍通过GRE隧道实现两个私有网络（网络1与网络2）跨Internet互联的完整方案：FW1与FW2公网可达，分别配置Tunnel接口、GRE封装参数（源/目的IP、密钥）、静态路由及双向安全策略，最终实现PC1与PC2互通，并通过Wireshark验证GRE封装效果。

组网需求

如下所示，FW1和FW2通过Internet相连，两者公网路由可达。网络1和网络2是两个私有的IP网络，通过在两台FW之间建立GRE隧道实现两个私有IP网络互联。

数据规划

设备

数据

描述

FW2

接口配置

接口号：GigabitEthernet 1/0/0

IP地址：12.12.12.1/24

安全区域：Untrust

接口号：GigabitEthernet 1/0/1

IP地址：172.16.1.1/24

安全区域：Trust

GRE配置

接口名称：Tunnel

IP地址：192.168.12.1/24

源地址：12.12.12.1/24

目的地址：21.21.21.2/24

隧道识别关键字：123456

FW2

接口配置

接口号：GigabitEthernet 1/0/0

IP地址：21.21.21.1/24

安全区域：Untrust

接口号：GigabitEthernet 1/0/1

IP地址：172.16.2.2/24

安全区域：Trust

GRE配置

接口名称：Tunnel

IP地址：192.168.12.2/24

源地址：21.21.21.2/24

目的地址：12.12.12.1/24

隧道识别关键字：123456

Internet

接口配置

接口号：GigabitEthernet 0/0/0

IP地址：12.12.12.2/24

接口号：GigabitEthernet 0/0/1

IP地址：21.21.21.1/24

配置思路

  1. 在FW_A和FW_B上分别创建一个Tunnel接口。
    在Tunnel接口中指定隧道的源IP地址和目的IP等封装参数。
  2. 配置静态路由，将出接口指定为本设备的Tunnel接口。
    该路由的作用是将需要经过GRE隧道传输的流量引入到GRE隧道中。
  3. 配置安全策略，允许GRE隧道的建立和流量的转发。

操作步骤

1.配置接口的IP地址，并将接口加入安全区域

FW1

防火墙首次登录需要修改密码，登录默认用户名密码admin/Admin@123。

#进入系统视图
<USG6000V1>system-view
#修改设备名称
[USG6000V1]sysname FW1
#进入接口GE0/0/0视图
[FW1]interface GigabitEthernet 1/0/0
#为接口GE1/0/0配置IP地址为12.12.12.1，子网掩码为255.255.255.0
[FW1-GigabitEthernet1/0/0]ip address 12.12.12.1 24
#从接口视图返回到系统视图
[FW1-GigabitEthernet1/0/0]quit 
[FW1]interface GigabitEthernet 1/0/1
[FW1-GigabitEthernet1/0/1]ip address 172.16.1.1 24
[FW1-GigabitEthernet1/0/1]quit
#创建编号为1的Tunnel接口,并进入该Tunnel接口视图
[FW1]interface Tunnel 1
[FW1-Tunnel1]ip address 192.168.12.1 24
[FW1-Tunnel1]quit
#进入Trust安全区域视图
[FW1]firewall zone trust 
#将接口GigabitEthernet1/0/0加入到Trust安全区域
[FW1-zone-trust]add interface GigabitEthernet 1/0/1
#从安全区域视图返回到系统视图
[FW1-zone-trust]quit
[FW1]firewall zone untrust 
[FW1-zone-untrust]add interface GigabitEthernet 1/0/0
[FW1-zone-untrust]quit
[FW1]firewall zone dmz 
[FW1-zone-dmz]add interface Tunnel 1
[FW1-zone-dmz]quit

FW2

<USG6000V1>system-view
[USG6000V1]sysname FW2
[FW1]interface GigabitEthernet 1/0/0
[FW1-GigabitEthernet1/0/0]ip address 172.16.2.2 24
[FW1-GigabitEthernet1/0/0]quit 
[FW1]interface GigabitEthernet 1/0/1
[FW1-GigabitEthernet1/0/1]ip address 21.21.21.2 24
[FW1-GigabitEthernet1/0/1]quit
[FW1]interface Tunnel 1
[FW1-Tunnel1]ip address 192.168.12.2 24
[FW1-Tunnel1]quit
[FW1]firewall zone trust 
[FW1-zone-trust]add interface GigabitEthernet 1/0/0
[FW1-zone-trust]quit
[FW1]firewall zone untrust 
[FW1-zone-untrust]add interface GigabitEthernet 1/0/1
[FW1-zone-untrust]quit
[FW1]firewall zone dmz 
[FW1-zone-dmz]add interface Tunnel 1
[FW1-zone-dmz]quit

Internet

<Huawei>sys
[Huawei]sys Internet
[Internet]int GigabitEthernet 0/0/0
[Internet-GigabitEthernet0/0/0]ip address 12.12.12.2 24
[Internet-GigabitEthernet0/0/0]quit
[Internet]int GigabitEthernet 0/0/1
[Internet-GigabitEthernet0/0/1]ip address 21.21.21.1 24
[Internet-GigabitEthernet0/0/1]quit

PC1

PC2

2.配置路由

FW1

#配置FW1到FW2网络互通
[FW1]ip route-static 21.21.21.0 24 12.12.12.2
#将需要经过GRE隧道传输的流量引入到GRE隧道中
[FW1]ip route-static 172.16.2.0 24 Tunnel 1

FW2

[FW1]ip route-static 12.12.12.0 24 21.21.21.1
[FW1]ip route-static 172.16.1.0 24 Tunnel 1

3.配置Tunnel接口的封装参数

封装协议、源地址/接口、目的地址、认证

FW1

[FW1]interface Tunnel 1
#配置Tunnel接口为GRE隧道模式
[FW1-Tunnel1]tunnel-protocol gre
#配置Tunnel接口的源地址或源接口
[FW1-Tunnel1]source GigabitEthernet1/0/0
#配置Tunnel 1接口的目的端地址为21.21.21.2
[FW1-Tunnel1]destination 21.21.21.2
#设置隧道的识别关键字
[FW1-Tunnel1]gre key cipher 123456
[FW1-Tunnel1]quit

FW2

[FW2]interface Tunnel1
[FW2-Tunnel1] tunnel-protocol gre
[FW2-Tunnel1] source 21.21.21.2
[FW2-Tunnel1] destination 12.12.12.1
[FW2-Tunnel1] gre key cipher 123456
[FW2-Tunnel1]quit

4.配置域间安全策略

PC到FW(Trust到DMZ)、FW到FW(Local到Untrust)

注意：由于安全策略具有方向性，所需要需要配置双向的安全策略。可以使用FW1和FW2中方法进行配置。

FW1

[FW1]security-policy
#配置允许封装前的报文通过域间安全策略
[FW1-policy-security]rule name 1
[FW1-policy-security-rule-1]source-zone trust 
[FW1-policy-security-rule-1]destination-zone dmz 
[FW1-policy-security-rule-1]action permit 
[FW1-policy-security-rule-1]quit 
[FW1-policy-security]rule name 2
[FW1-policy-security-rule-1]source-zone dmz 
[FW1-policy-security-rule-1]destination-zone trust
[FW1-policy-security-rule-1]action permit 
[FW1-policy-security-rule-1]quit 
#配置允许封装后的GRE报文通过域间安全策略
[FW1-policy-security]rule name 3
[FW1-policy-security-rule-2]source-zone local 
[FW1-policy-security-rule-2]destination-zone untrust 
[FW1-policy-security-rule-2]action permit 
[FW1-policy-security-rule-2]quit
[FW1-policy-security]rule name 4
[FW1-policy-security-rule-2]source-zone untrust 
[FW1-policy-security-rule-2]destination-zone local 
[FW1-policy-security-rule-2]action permit 
[FW1-policy-security-rule-2]quit

FW2

[FW2]security-policy
[FW2-policy-security]rule name 1
[FW2-policy-security-rule-1]source-zone trust dmz
[FW2-policy-security-rule-1]destination-zone dmz trust
[FW2-policy-security-rule-1]action permit
[FW2-policy-security-rule-1]quit
[FW2-policy-security] rule name 2
[FW2-policy-security-rule-2]source-zone local untrust
[FW2-policy-security-rule-2]destination-zone untrust local
[FW2-policy-security-rule-2]action permit
[FW2-policy-security-rule-2]quit

5.验证配置结果

在FW1使用display ip routing-table命令查看路由表。可以看到目的地址为172.16.2.0/24，出接口为Tunnel1的路由。

FW1

[FW1]display ip routing-table 
2026-05-13 07:45:14.310 
Route Flags: R - relay, D - download to fib
------------------------------------------------------------------------------
Routing Tables: Public
         Destinations : 10       Routes : 10       
Destination/Mask    Proto   Pre  Cost      Flags NextHop         Interface
     12.12.12.0/24  Direct  0    0           D   12.12.12.1      GigabitEthernet1/0/0
     12.12.12.1/32  Direct  0    0           D   127.0.0.1       GigabitEthernet1/0/0
     21.21.21.0/24  Static  60   0          RD   12.12.12.2      GigabitEthernet1/0/0
      127.0.0.0/8   Direct  0    0           D   127.0.0.1       InLoopBack0
      127.0.0.1/32  Direct  0    0           D   127.0.0.1       InLoopBack0
     172.16.1.0/24  Direct  0    0           D   172.16.1.1      GigabitEthernet1/0/1
     172.16.1.1/32  Direct  0    0           D   127.0.0.1       GigabitEthernet1/0/1
     172.16.2.0/24  Static  60   0           D   192.168.12.1    Tunnel1
   192.168.12.0/24  Direct  0    0           D   192.168.12.1    Tunnel1
   192.168.12.1/32  Direct  0    0           D   127.0.0.1       Tunnel1

网络1中的PC1与网络2中的PC2能够相互ping通

PC1

#第一次ping测试时，前1~2个报文丢失，正是因为在等ARP解析完成。
PC>ping 172.16.2.10
Ping 172.16.2.10: 32 data bytes, Press Ctrl_C to break
Request timeout!
From 172.16.2.10: bytes=32 seq=2 ttl=126 time=16 ms
From 172.16.2.10: bytes=32 seq=3 ttl=126 time=16 ms
From 172.16.2.10: bytes=32 seq=4 ttl=126 time=31 ms
From 172.16.2.10: bytes=32 seq=5 ttl=126 time=15 ms
--- 172.16.2.10 ping statistics ---
  5 packet(s) transmitted
  4 packet(s) received
  20.00% packet loss
  round-trip min/avg/max = 0/19/31 ms

如下图所示，Wireshark捕获到了GRE报文，Key值为0x00001c24。这说明原始的ICMP报文（内层 IP：源172.16.1.10 -> 目的172.16.2.10）被作为载荷，封装在了新的隧道IP报文中（外层 IP：源12.12.12.1 -> 目的21.21.21.2），通过隧道传输给对端。

文章标签：
安全
数据安全/隐私保护
网络安全
刘俊辉个人博客
目录
相关文章
专有云小编
|
28天前
|
人工智能 自然语言处理 安全
深度访谈：OpenClaw引爆Agent元年，AI Agent在企业内如何规模化应用？
2026年初，开源智能体OpenClaw引爆全球，标志AI从“对话式顾问”跃升为“执行型数字劳动力”。本文深度解析其爆火动因，并探讨OpenClaw与HermesAgent等技术路线差异，聚焦企业级落地中的安全管控、协同机制与可观测性挑战，揭示Agent从尝鲜走向生产的核心路径。
专有云小编
169 0
刘俊辉个人博客
|
28天前
|
网络协议 安全 网络安全
配置基于OSPF的GRE隧道
本文介绍通过GRE隧道实现跨Internet的OSPF路由互通：FW1与FW2建立GRE隧道，封装OSPF及ICMP报文，配置Tunnel接口、OSPF进程、静态路由及双向安全策略，最终使网络1（172.16.1.0/24）与网络2（172.16.2.0/24）私网互通。
刘俊辉个人博客
94 0
配置基于OSPF的GRE隧道
刘俊辉个人博客
|
网络协议 网络安全 网络虚拟化
GRE 协议
GRE（通用路由封装）是一种三层隧道技术，可将IPX、IPv6、AppleTalk等协议报文封装于IPv4中透明传输，解决异构网络互通问题；支持组播报文封装，常用于GRE over IPSec、突破RIP跳数限制等场景。
刘俊辉个人博客
150 0
GRE 协议
小Lee
|
存储 SQL 关系型数据库
创建并配置RDS实例
在阿里云上创建RDS实例涉及登录控制台、进入RDS管理页面、创建实例、选择数据库引擎和版本、配置实例规格与存储、设定网络与安全组、设置实例信息、确认订单并支付，最后初始化数据库。操作步骤可能因界面更新或数据库引擎不同略有差异。
小Lee
749 1
yr64r6ip2bd6o
|
2月前
|
人工智能 架构师
Qoder Together 郑州站来啦！解锁企业级 AI Coding 落地玩法
4月22日14:00-17:00，郑州阿里中心举办AI Coding实战沙龙！聚焦Qoder产品解析、企业级方案及UU跑腿落地实践，架构师现场带练。名额有限，速报名→ https://huodongxing.com/event/4855877137411
yr64r6ip2bd6o
221 4
刘俊辉个人博客
|
9月前
|
Oracle 关系型数据库 虚拟化
在VMware的Win10虚拟机中安装使用ENSP
本文介绍了在Windows 10虚拟机上安装ENSP及相关软件的全过程，包括VirtualBox、WinPcap、Wireshark、VLC和ENSP的安装步骤，并提供图文演示，帮助用户顺利完成配置与测试。
刘俊辉个人博客
2435 134
aliyun3136691611-44619
|
6月前
|
JavaScript 前端开发 Java
Bootstrap5 快速上手指南
Bootstrap5 快速上手指南：告别 jQuery，拥抱原生 JS！新增 xxL 断点与 RTL 支持，优化栅格系统与组件样式。提供 CDN 引入、核心布局、常用组件及完整博客实例，零基础也能快速搭建美观响应式博客，含按钮、卡片、导航栏、表单等实战代码，即拷即用。
aliyun3136691611-44619
478 0
Bootstrap5 快速上手指南
刘俊辉个人博客
|
12月前
|
负载均衡 网络协议
配置本地策略路由示例—详解版
本文介绍了一种基于报文长度的策略路由配置方案，实现RouterA与RouterB间不同长度报文通过不同下一跳地址转发。具体规则为：64-1400字节强制下一跳为192.168.1.2，1401-1500字节强制下一跳为192.168.2.2，其他长度按目的地址路由。实验中通过ping命令测试多种报文长度，并对比RouterB接口统计信息验证配置效果。结果表明，策略路由优先级高于常规路由，超MTU报文会触发分片导致统计翻倍，未匹配策略时由静态路由实现负载均衡。此方案展示了策略路由在流量工程中的灵活应用。
刘俊辉个人博客
382 131
小Lee
|
存储 API 调度
OpenStack的计算服务（Nova）
【8月更文挑战第23天】
小Lee
1059 9
游客b26rakuy63q5s
|
弹性计算
2024阿里云优惠政策整理（附云服务器价格表99元一年）
2024阿里云优惠政策整理（附云服务器价格表99元一年）轻量2核2G3M服务器61元一年、2核4G4M带宽165元1年，云服务器4核16G10M带宽26元1个月、149元半年，阿里云ECS云服务器2核2G3M新老用户均可99元一年续费不涨价，企业用户2核4G5M带宽199元一年
游客b26rakuy63q5s
1106 4

热门文章

最新文章

  • 1
    oracle的用户名和密码怎么查
  • 2
    HBase系统架构
  • 3
    蚂蚁金服高级技术专家徐红星 ：蚂蚁金服大数据开放式创新实践
  • 4
    MySQL · 引擎特性 · InnoDB redo log漫游
  • 5
    AliOS Things 3.0应用笔记：支付宝小程序设备控制 - 全栈开发（附全部源码）
  • 6
    并发编程系列之CLH锁
  • 7
    系统环境基础配置安装
  • 8
    Kerberos简介
  • 9
    kbmMW均衡负载与容灾(2)（转载红鱼儿）
  • 10
    【物联网中间件平台-06】RFID刷卡拍照
  • 1
    能帮企业抢占 AI 搜索推荐位置的公司有吗？
    43
  • 2
    从 OpenClaw 到 Hermes Agent：安装、迁移、配置、实战演示
    66
  • 3
    个人全栈开发实战 依靠口述编程完成外包小程序项目
    50
  • 4
    【AgentScope Java新手村系列】（4）结构化输出
    54
  • 5
    夜间野生动物目标检测数据集分享（适用于YOLO系列深度学习分类检测任务）
    48
  • 6
    2026 年开源 Agent 工具包选型指南：延迟、审计、可移植性与语言栈
    49
  • 7
    阿里云服务器使用教程（建站教程）先安装宝塔Linux面板再部署WordPress博客方法
    33
  • 8
    两组并排的Vibe Coding迭代对比
    57
  • 9
    高并发场景优化方案：DeepSeek V4基于SSE流式接口构建稳定可观测服务与高可用网关架构全实战
    48
  • 10
    零门槛配置指南：借助DeepCodex实现Codex无缝对接DeepSeek大模型，让AI编程助手自由切换模型
    118

    • 相关电子书

    更多
  • 低代码开发师（初级）实战教程
  • 冬季实战营第三期：MySQL数据库进阶实战
  • 阿里巴巴DevOps 最佳实践手册
    • 下一篇
    阿里云数据库产品支持免费试用吗？最新可试用数据库规格信息、配置及可试用人群参考