GRE VPN 原理配置案例

admin

GRE over IPSec VPN 原理与配置案例

GRE VPN 原理

GRE (Generic Routing Encapsulation) 是一种通用路由封装协议，它允许将一种协议的数据包封装在另一种协议的数据包中传输。GRE VPN 的主要特点：

• 隧道技术：在两个网络之间建立虚拟点对点连接
  
• 协议无关性：可以封装各种协议（IP、IPX等）
  
• 简单性：配置相对简单，但缺乏加密等安全特性
  

通常 GRE 会与 IPSec 结合使用（GRE over IPSec），既利用 GRE 的多协议支持能力，又通过 IPSec 提供加密和认证。

典型配置案例

拓扑结构

• 总部(HQ)：192.168.1.0/24
  
• 分支机构(Branch)：192.168.2.0/24
  
• 两端通过公网互联
  

配置步骤（Cisco IOS 示例）

1. 配置 GRE 隧道接口

总部路由器配置:

1. interface Tunnel0
2. ip address 10.0.0.1 255.255.255.252
3. tunnel source GigabitEthernet0/0  # 公网接口
4. tunnel destination 203.0.113.5    # 分支公网IP
5. !
6. interface GigabitEthernet0/1
7. ip address 192.168.1.1 255.255.255.0

复制代码

分支路由器配置:

1. interface Tunnel0
2. ip address 10.0.0.2 255.255.255.252
3. tunnel source GigabitEthernet0/0  # 公网接口
4. tunnel destination 198.51.100.3   # 总部公网IP
5. !
6. interface GigabitEthernet0/1
7. ip address 192.168.2.1 255.255.255.0

复制代码

2. 配置路由

1. # 总部
2. ip route 192.168.2.0 255.255.255.0 Tunnel0
4. # 分支
5. ip route 192.168.1.0 255.255.255.0 Tunnel0

复制代码

3. 添加 IPSec 保护（可选但推荐）

定义感兴趣流量:

1. access-list 100 permit gre host 198.51.100.3 host 203.0.113.5

复制代码

配置 IPSec 变换集:

1. crypto ipsec transform-set MY_SET esp-aes 256 esp-sha-hmac

复制代码

配置加密映射:

1. crypto map MY_MAP 10 ipsec-isakmp
2. set transform-set MY_SET
3. match address 100

复制代码

应用加密映射到公网接口:

1. interface GigabitEthernet0/0
2. crypto map MY_MAP

复制代码

验证配置

• 检查隧道状态:
  

  

1. show interface tunnel0

复制代码

• 检查路由:
  

  

1. show ip route

复制代码

• 测试连通性:
  

  

1. ping 192.168.2.1 source 192.168.1.1  # 从总部ping分支

复制代码

• 检查 IPSec SA:
  

  

1. show crypto isakmp sa
2.    show crypto ipsec sa

复制代码

常见问题排查

• 隧道无法建立:
  
• 检查公网可达性
  
• 验证隧道源/目的地址配置
  
• 检查ACL是否允许GRE流量
  
• 隧道建立但无法通信:
  
• 检查路由配置
  
• 验证隧道接口IP地址配置
  
• 检查MTU设置（GRE会增加封装开销）
  
• IPSec不生效:
  
• 检查加密ACL是否匹配流量
  
• 验证IKE阶段是否成功
  
• 检查变换集是否兼容
  

优化建议

• 启用隧道接口的keepalive功能
  
• 考虑使用动态路由协议（如OSPF或EIGRP）通过隧道
  
• 调整MTU和MSS以避免分片
  
• 实施适当的QoS策略
  

GRE VPN 提供了灵活的网络扩展方案，结合IPSec可以满足大多数企业对安全性和功能的需求。