目  录

1 GRE

1.1 GRE简介

1.1.1 GRE封装后的报文格式

1.1.2 GRE加解封装过程

1.1.3 GRE的安全选项

1.1.4 应用范围

1.1.5 协议规范

1.2 配置GRE over IPv4隧道

1.2.1 配置准备

1.2.2 配置GRE over IPv4隧道

1.3 配置GRE over IPv6隧道

1.3.1 配置准备

1.3.2 配置GRE over IPv6隧道

1.4 GRE显示和维护

1.5 GRE over IPv4典型配置举例

1.5.1 GRE over IPv4典型配置举例

1.6 GRE over IPv6典型配置举例

1.6.1 GRE over IPv6典型配置举例

1.7 常见配置错误举例

1 GRE

1.1  GRE简介

GRE（Generic Routing Encapsulation，通用路由封装）协议是对某些网络层协议（如IP和IPX）的数据报文进行封装，使这些被封装的数据报文能够在另一个网络层协议（如IP）中传输。封装后的数据报文在网络中传输的路径，称为GRE隧道。GRE隧道是一个虚拟的点到点的连接，其两端的设备分别对数据报进行封装及解封装。

1.1.1  GRE封装后的报文格式

图1-1 GRE封装后的报文格式

如图1-1所示，GRE封装后的报文包括如下几个部分：

·     净荷数据（Payload packet）：需要封装和传输的数据报文。净荷数据的协议类型，称为乘客协议（Passenger Protocol）。

·     GRE头（GRE header）：系统收到净荷数据后，在净荷数据上添加GRE头，使其成为GRE报文。对净荷数据进行封装的GRE协议，称为封装协议（Encapsulation Protocol）。

·     传输协议的报文头（Delivery header）：负责转发封装后报文的网络协议，称为传输协议（Delivery Protocol或者Transport Protocol）。在GRE报文上需要增加传输协议的报文头，以便传输协议对封装后的报文进行转发处理。

图1-2 GRE封装报文举例

IPv6报文通过GRE隧道穿越IPv4网络时，报文格式如图1-2所示。其中，乘客协议为IPv6，封装协议为GRE，传输协议为IPv4。

根据传输协议的不同，GRE隧道可以分为：

·     GRE over IPv4：传输协议为IPv4，乘客协议为任意网络层协议。

·     GRE over IPv6：传输协议为IPv6，乘客协议为任意网络层协议。

1.1.2  GRE加解封装过程

图1-3 X协议网络通过GRE隧道互连

下面以图1-3的网络为例说明X协议的报文穿越IP网络在GRE隧道中传输的过程：

1. 加封装过程

·     Device A连接Group 1的接口收到X协议报文后，首先交由X协议处理；

·     X协议检查报文头中的目的地址域来确定如何路由此包；

·     若报文的目的地址要经过Tunnel才能到达，则设备将此报文发给相应的Tunnel接口；

·     Tunnel接口收到此报文后进行GRE封装，再封装IP报文头后，设备根据此IP包的目的地址及路由表对报文进行转发，从相应的网络接口发送出去。

2. 解封装的过程

解封装过程和加封装的过程相反。

·     Device B从Tunnel接口收到IP报文，检查目的地址；

·     如果目的地是本路由器，且IP报文头中的协议号为47（表示封装的报文为GRE报文），则Device B剥掉此报文的IP报头，交给GRE协议处理（进行检验密钥、检查校验和及报文的序列号等）；

·     GRE协议完成相应的处理后，剥掉GRE报头，再交由X协议对此数据报进行后续的转发处理。

1.1.3  GRE的安全选项

为了提高GRE隧道的安全性，GRE还支持由用户选择设置Tunnel接口的识别关键字（或称密钥），和对隧道封装的报文进行端到端校验。

在RFC 1701中规定：

·     若GRE报文头中的Key标识位置1，则收发双方将进行通道识别关键字的验证，只有Tunnel两端设置的识别关键字完全一致时才能通过验证，否则将报文丢弃。

·     若GRE报文头中的Checksum标识位置1，则校验和有效。发送方将根据GRE头及Payload信息计算校验和，并将包含校验和的报文发送给对端。接收方对接收到的报文计算校验和，并与报文中的校验和比较，如果一致则对报文进行进一步处理，否则丢弃。

1.1.4  应用范围

GRE主要应用于以下几种环境：

1. 多协议的本地网通过单一协议的骨干网传输

图1-4 多协议本地网通过单一协议骨干网传输

图1-4中，Group 1和Group 2是运行Novell IPX协议的本地网，Team 1和Team 2是运行IP协议的本地网。通过在Device A和Device B之间采用GRE协议封装的隧道，Group 1和Group 2、Team 1和Team 2可以互不影响地进行通信。

2. 扩大了跳数受限协议（如RIP）的工作范围

图1-5 扩大网络工作范围

两台终端之间的跳数超过15，它们将无法通信。通过在网络中使用隧道可以隐藏一部分跳数，从而扩大网络的工作范围。

3. 将一些不能连续的子网连接起来，用于组建VPN

图1-6 Tunnel连接不连续子网

运行Novell IPX协议的两个子网Group 1和Group 2分别在不同的城市，通过使用隧道可以实现跨越广域网的VPN。

4. 与IPsec结合使用

图1-7 GRE-IPsec隧道应用

GRE可以和IPsec结合使用，即对于路由协议、语音、视频等数据先进行GRE封装，再对封装后的报文进行IPsec的加密处理，以提高数据在隧道中传输的安全性。

1.1.5  协议规范

与GRE相关的协议规范有：

·     RFC 1701：Generic Routing Encapsulation (GRE)

·     RFC 1702：Generic Routing Encapsulation over IPv4 networks

·     RFC 2784：Generic Routing Encapsulation (GRE)

1.2  配置GRE over IPv4隧道

1.2.1  配置准备

设备上存在已经配置IP地址、能够进行正常通讯的接口（如VLAN接口，Loopback接口等），该接口将作为Tunnel接口的源接口。

1.2.2  配置GRE over IPv4隧道

表1-1 配置GRE over IPv4隧道

1.3  配置GRE over IPv6隧道

1.3.1  配置准备

设备上存在已经配置IP地址、能够进行正常通讯的接口（如VLAN接口，Loopback接口等），该接口将作为Tunnel接口的源接口。

1.3.2  配置GRE over IPv6隧道

表1-2 配置GRE over IPv6隧道

1.4  GRE显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示配置后GRE的运行情况，通过查看显示信息验证配置的效果。

表1-3 GRE的显示和维护

1.5  GRE over IPv4典型配置举例

1.5.1  GRE over IPv4典型配置举例

1. 组网需求

AC 1和AC 2之间通过Internet相连。运行IP协议的私有网络的两个子网Group 1和Group 2，通过在两台AC之间使用GRE建立隧道实现互联。

2. 组网图

图1-8 GRE over IPv4应用组网图

3. 配置步骤

(1)     配置AC 1

# 配置LAN接口GigabitEthernet1/0/1加入VLAN 100。

<AC1> system-view

[AC1] vlan 100

[AC1-vlan100] port gigabitethernet 1/0/1

[AC1-vlan100] quit

# 配置Vlan-interface100 的IP地址。

[AC1] interface vlan-interface 100

[AC1-Vlan-interface100] ip address 10.1.1.1 255.255.255.0

[AC1-Vlan-interface100] quit

# 配置WAN接口GigabitEthernet1/0/5的IP地址。

[AC1] interface GigabitEthernet 1/0/5

[AC1-GigabitEthernet1/0/5] ip address 1.1.1.1 255.255.255.0

[AC1-GigabitEthernet1/0/5] quit

# 创建Tunnel1接口。

[AC1] interface tunnel 1

# 配置Tunnel1接口的IP地址。

[AC1-Tunnel1] ip address 10.1.2.1 255.255.255.0

# 配置Tunnel封装模式为GRE over IPv4隧道模式。

[AC1-Tunnel1] tunnel-protocol gre

# 配置Tunnel1接口的源地址（GigabitEthernet1/0/5的IP地址）。

[AC1-Tunnel1] source GigabitEthernet 1/0/5

# 配置Tunnel1接口的目的地址（AC 2的GigabitEthernet1/0/5的IP地址）。

[AC1-Tunnel1] destination 2.2.2.2

# 配置从AC 1经过Tunnel1接口到Group 2的静态路由。

[AC1] ip route-static 10.1.3.0 255.255.255.0 tunnel 1

(2)     配置AC 2

# 配置LAN接口GigabitEthernet1/0/1。

<AC2> system-view

[AC2] vlan 100

[AC2-vlan100] port gigabitethernet 1/0/1

[AC2-vlan100] quit

# 配置Vlan-interface100 的IP地址。

[AC2] interface vlan-interface 100

[AC2-Vlan-interface100] ip address 10.1.3.1 255.255.255.0

[AC2-Vlan-interface100] quit

# 配置WAN接口GigabitEthernet1/0/5的IP地址。

[AC2] GigabitEthernet1/0/5

[AC2-GigabitEthernet1/0/5] ip address 2.2.2.2 255.255.255.0

[AC2-GigabitEthernet1/0/5] quit

# 创建Tunnel1接口。

[AC2] interface tunnel 1

# 配置Tunnel1接口的IP地址。

[AC2-Tunnel1] ip address 10.1.2.2 255.255.255.0

# 配置Tunnel封装模式为GRE over IPv4隧道模式。

[AC2-Tunnel1] tunnel-protocol gre

# 配置Tunnel1接口的源地址（GigabitEthernet1/0/5的IP地址）。

[AC2-Tunnel1] source GigabitEthernet1/0/5

# 配置Tunnel1接口的目的地址（AC 1的GigabitEthernet1/0/5的IP地址）。

[AC2-Tunnel1] destination 1.1.1.1

# 配置从AC 2经过Tunnel1接口到Group 1的静态路由。

[AC2] ip route-static 10.1.1.0 255.255.255.0 Tunnel 1

(3)     验证配置结果

# 完成以上配置后，分别查看AC 1和AC 2的Tunnel接口状态。

[AC1] display interface tunnel 1

Tunnel1 current state: UP

Line protocol current state: UP

Description: Tunnel1 Interface

The Maximum Transmit Unit is 1476

Internet Address is 10.1.2.1/24 Primary

Encapsulation is TUNNEL, service-loopback-group ID is 1.

Tunnel source 1.1.1.1, destination 2.2.2.2

Tunnel keepalive disabled

Tunnel protocol/transport GRE/IP

    GRE key disabled

    Checksumming of GRE packets disabled

Last clearing of counters:  Never

    Last 300 seconds input:  0 bytes/sec, 0 packets/sec

    Last 300 seconds output:  0 bytes/sec, 0 packets/sec

    10 packets input,  840 bytes

    0 input error

    10 packets output,  840 bytes

    0 output error

[AC2] display interface tunnel 1

Tunnel1 current state: UP

Line protocol current state: UP

Description: Tunnel1 Interface

The Maximum Transmit Unit is 1476

Internet Address is 10.1.2.2/24 Primary

Encapsulation is TUNNEL, service-loopback-group ID is 1.

Tunnel source 2.2.2.2, destination 1.1.1.1

Tunnel keepalive disabled

Tunnel protocol/transport GRE/IP

    GRE key disabled

    Checksumming of GRE packets disabled

Last clearing of counters:  Never

    Last 300 seconds input:  2 bytes/sec, 0 packets/sec

    Last 300 seconds output:  2 bytes/sec, 0 packets/sec

    10 packets input,  840 bytes

    0 input error

    10 packets output,  840 bytes

    0 output error

# 从AC 2可以Ping通AC 1上VLAN接口100的地址。

[AC2] ping 10.1.1.1

  PING 10.1.1.1: 56  data bytes, press CTRL_C to break

    Reply from 10.1.1.1: bytes=56 Sequence=1 ttl=255 time=2 ms

    Reply from 10.1.1.1: bytes=56 Sequence=2 ttl=255 time=2 ms

    Reply from 10.1.1.1: bytes=56 Sequence=3 ttl=255 time=2 ms

    Reply from 10.1.1.1: bytes=56 Sequence=4 ttl=255 time=2 ms

    Reply from 10.1.1.1: bytes=56 Sequence=5 ttl=255 time=2 ms

  --- 10.1.1.1 ping statistics ---

    5 packet(s) transmitted

    5 packet(s) received

    0.00% packet loss

    round-trip min/avg/max = 2/2/2 ms

1.6  GRE over IPv6典型配置举例

1.6.1  GRE over IPv6典型配置举例

1. 组网需求

运行IP协议的两个子网Group1和Group2通过IPv6网络相连。通过在AC1和AC2之间建立GRE over IPv6隧道，实现两个子网穿越IPv6网络互联。

2. 组网图

图1-9 GRE over IPv6应用组网图

3. 配置步骤

(1)     配置AC 1

<AC1> system-view

# 使能IPv6。

[AC1] ipv6

# 配置LAN接口Gigabitethernet 1/0/1加入VLAN 100。

[AC1] vlan 100

[AC1-vlan100] port gigabitethernet 1/0/1

[AC1-vlan100] quit

# 配置Vlan-interface100 的IP地址。

[AC1] interface vlan-interface 100

[AC1-Vlan-interface100] ip address 10.1.1.1 255.255.255.0

[AC1-Vlan-interface100] quit

# 配置WAN接口Gigabitethernet 1/0/5的IP地址。

[AC1] GigabitEthernet1/0/5

[AC1-GigabitEthernet1/0/5] ip address 2002::1:1 64

[AC1-GigabitEthernet1/0/5] quit

# 创建Tunnel0接口。

[AC1] interface tunnel 0

# 配置Tunnel0接口的IP地址。

[AC1-Tunnel0] ip address 10.1.2.1 255.255.255.0

# 配置Tunnel封装模式为GRE over IPv6隧道模式。

[AC1-Tunnel0] tunnel-protocol gre ipv6

# 配置Tunnel0接口的源地址（Gigabitethernet 1/0/5的IP地址）。

[AC1-Tunnel0] source 2002::1:1

# 配置Tunnel0接口的目的地址（AC 2的Gigabitethernet 1/0/5的IP地址）。

[AC1-Tunnel0] destination 2001::2:1

[AC1-Tunnel0] quit

# 配置从AC 1经过Tunnel1接口到Group 2的静态路由。

[AC1] ip route-static 10.1.3.0 255.255.255.0 tunnel 0

(2)     配置AC 2

<AC2> system-view

# 使能IPv6。

[AC2] ipv6

# 配置LAN接口Gigabitethernet 1/0/1加入VLAN100。

[AC2] vlan 100

[AC2-vlan100] port gigabitethernet 1/0/1

[AC2-vlan100] quit

# 配置Vlan-interface100 的IP地址。

[AC2] interface vlan-interface 100

[AC2-Vlan-interface100] ip address 10.1.3.1 255.255.255.0

[AC2-Vlan-interface100] quit

# 配置WAN接口Gigabitethernet 1/0/5的IP地址。

[AC2] GigabitEthernet1/0/5

[AC2-GigabitEthernet1/0/5] ipv6 address 2001::2:1 64

[AC2-GigabitEthernet1/0/5] quit

# 创建Tunnel0接口。

[AC2] interface tunnel 0

# 配置Tunnel0接口的IP地址。

[AC2-Tunnel0] ip address 10.1.2.2 255.255.255.0

# 配置Tunnel封装模式为GRE over IPv6隧道模式。

[AC2-Tunnel0] tunnel-protocol gre ipv6

# 配置Tunnel0接口的源地址（Gigabitethernet 1/0/5的IP地址）。

[AC2-Tunnel0] source 2001::2:1

# 配置Tunnel0接口的目的地址（AC 1的Gigabitethernet 1/0/5的IP地址）。

[AC2-Tunnel0] destination 2002::1:1

[AC2-Tunnel0] quit

# 配置从AC 2经过Tunnel2接口到Group 1的静态路由。

[AC2] ip route-static 10.1.1.0 255.255.255.0 tunnel 0

(3)     验证配置结果

# 完成以上配置后，分别查看AC 1和AC 2的Tunnel接口状态。

[AC1] display interface Tunnel 0

Tunnel0 current state: UP

Line protocol current state: UP

Description: Tunnel0 Interface

The Maximum Transmit Unit is 1456

Internet Address is 10.1.2.1/24 Primary

Encapsulation is TUNNEL, service-loopback-group ID is 1.

Tunnel source 2002::1:1, destination 2001::2:1

Tunnel protocol/transport GRE/IPv6

    GRE key disabled

    Checksumming of GRE packets disabled

Last clearing of counters:  Never

    Last 300 seconds input:  0 bytes/sec, 0 packets/sec

    Last 300 seconds output:  0 bytes/sec, 0 packets/sec

    10 packets input,  840 bytes

    0 input error

    10 packets output,  840 bytes

    0 output error

[AC2] display interface Tunnel 0

Tunnel0 current state: UP

Line protocol current state: UP

Description: Tunnel0 Interface

The Maximum Transmit Unit is 1456

Internet Address is 10.1.2.2/24 Primary

Encapsulation is TUNNEL, service-loopback-group ID is 1.

Tunnel source 2001::2:1, destination 2002::1:1

Tunnel protocol/transport GRE/IPv6

    GRE key disabled

    Checksumming of GRE packets disabled

Last clearing of counters:  Never

    Last 300 seconds input:  0 bytes/sec, 0 packets/sec

    Last 300 seconds output:  0 bytes/sec, 0 packets/sec

    10 packets input,  840 bytes

    0 input error

    10 packets output,  840 bytes

    0 output error

# 从AC 2可以Ping通AC 1上VLAN接口100的地址。

[AC2] ping 10.1.1.1

  PING 10.1.1.1: 56  data bytes, press CTRL_C to break

    Reply from 10.1.1.1: bytes=56 Sequence=1 ttl=255 time=3 ms

    Reply from 10.1.1.1: bytes=56 Sequence=2 ttl=255 time=2 ms

    Reply from 10.1.1.1: bytes=56 Sequence=3 ttl=255 time=2 ms

    Reply from 10.1.1.1: bytes=56 Sequence=4 ttl=255 time=2 ms

    Reply from 10.1.1.1: bytes=56 Sequence=5 ttl=255 time=3 ms

  --- 10.1.1.1 ping statistics ---

    5 packet(s) transmitted

    5 packet(s) received

    0.00% packet loss

    round-trip min/avg/max = 2/2/3 ms

1.7  常见配置错误举例

GRE的配置相对比较简单，但要注意配置的一致性，大部分的错误都可以通过使用调试命令debugging gre和debugging tunnel定位。这里仅就一种错误进行分析，如图1-10所示。

图1-10 GRE排错示例

1. 故障现象

Tunnel两端接口配置正确且Tunnel两端可以ping通，但Host A和Host B之间却无法ping通。

2. 故障排除

可以按照如下步骤进行：

(1)     在任意视图下，在Device A和Device C分别执行display ip routing-table命令，观察在Device A是否有经过Tunnel0接口到10.2.0.0/16的路由；在Device C是否有经过Tunnel0接口到10.1.0.0/16的路由。

(2)     如果在上一步的输出中发现缺少相应的静态路由，在系统视图下使用ip route-static命令添加。以Device A为例，配置如下：

[DeviceA] ip route-static 10.2.0.0 255.255.0.0 tunnel 0