GRE隧道也能实现两端配置相同子网了，快来看看！

深藏阁楼爱情的钟 2022-08-30 11:19 470阅读 0赞

前面用两篇文章介绍了GRE（Generic Routing Encapsulation，通用路由封装）协议，分别是（）和（）。首先回顾一下：

GRE协议用来对某种协议（如IP、MPLS、以太网）的数据报文进行封装，使这些被封装的数据报文能够在另一个网络（如IP）中传输。封装前后数据报文的网络层协议可以相同，也可以不同。封装后的数据报文在网络中传输的路径，称为GRE隧道。GRE隧道是一个虚拟的点到点的连接，其两端的设备分别对数据报文进行封装及解封装。

先配置一个简单的“GRE over IPv4隧道”实验。

# 组网需求 #

RT2和RT4分别连接IPv4私有网络SUBNET 1和SUBNET 5。这两个私有网络都使用私网地址。通过在RT2和RT4之间建立GRE隧道，实现两个私有网络的互联。

# 组网拓扑 #

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70][]

# 配置步骤 #

GRE的配置比较简单，一般只有两步：

1、配置GRE隧道。配置隧道接口地址，并指定隧道接口的源目端地址即可。

2、配置路由将流量引到隧道接口。

各设备配置命令如下：

## RT2 ##

sysname RT2

interface GigabitEthernet0/0

ip address 192.168.1.2 255.255.255.0

interface GigabitEthernet0/1

ip address 23.1.1.2 255.255.255.0

interface Tunnel0 mode gre

ip address 1.1.1.2 255.255.255.0

source 23.1.1.2

destination 34.1.1.4

ip route-static 34.1.1.0 24 23.1.1.3

ip route-static 192.168.5.0 24 Tunnel0

## RT-ISP ##

interface GigabitEthernet0/0

ip address 34.1.1.3 255.255.255.0

interface GigabitEthernet0/1

ip address 23.1.1.3 255.255.255.0

## RT4 ##

sysname RT4

interface GigabitEthernet0/0

ip address 192.168.5.4 255.255.255.0

interface GigabitEthernet0/1

ip address 34.1.1.4 255.255.255.0

interface Tunnel0 mode gre

ip address 1.1.1.4 255.255.255.0

source 34.1.1.4

destination 23.1.1.2

ip route-static 23.1.1.0 24 34.1.1.3

ip route-static 192.168.1.0 24 Tunnel0

# 验证配置 #

查看RT2设备Tunnel口状态。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 1][]

可以看到有几个相对关键的指标项：

1、MTU为1476字节；

2、隧道keepalive功能未开启，开启命令如下：

![20210719200834151.png][]

3、隧道TTL值为255；

4、GRE over IPv4隧道中安全功能key未设置，开启命令如下。如果开启，需要保证两端配置相同；

![20210719200839208.png][]

5、GRE over IPv4隧道中安全功能checksum未设置，开启命令如下；

![20210719200843816.png][]

6、除上述机箱之外，还可以设置封装后隧道报文的DF（Don’t Fragment，不分片）标志。命令为：

tunnel dfbit enable

验证一下MTU。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 2][]

可以发现，实际能通过的最大报文大小为1444字节。抓个包分析一下。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 3][]

可以看到报文的封装结构为\[以太网包头\]\[外层IPv4包头\]\[GRE封装\]\[内层IPv4包头\]\[ICMP报文\]，其中\[外层IPv4包头\]长度为20字节，\[GRE封装\]长度为8字节，\[内层IPv4包头\]长度为20字节。得益于没有加密，我们可以清楚看到每层报文的数据结构，\[内层IPv4包头\]和\[外层IPv4包头\]封装结构完全一致。ICMP数据段长度为1444字节，封装8字节ICMP报文头，再封装20字节\[内层IPv4包头\]，总长度正好1472字节。

这里我额外增加了校验和的配置，可以看到\[GRE封装\]中校验和相关字段的差异。

# 验证KEY加密 #

因为没有加密，所以能看到完整的数据报文，那设置GRE KEY能不能对数据进行加密呢？

配置一下，发现这个KEY只能是数字。

![20210719200901128.png][]

查看接口状态，能直接看到key的值，不知道这算不算不安全。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 4][]

如果两端设置的key不一致，不会有错误提示，接口状态也不会协议DOWN，但是业务确实中断了。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 5][]

好，接下来我们把两边设置成相同的key，验证一下。

![20210719200915815.png][]

连通性正常。抓个包看一下数据是否加密。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 6][]

啊，亮瞎了我的狗眼。密码是明文显示的，数据依旧是明文显示的。这个GRE确实方便，但是安全性有待提高啊。

# 验证两端同子网 #

跟测试IPsec一样，我们试一下两端相同子网能不能互通。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 7][]

很棒，跟上次配置相同，能实现两端配置相同子网的互通，而且可以看到traceroute路径。

# 验证隧道DF #

在RT2设备上开启DF位标志，验证发现能通过的数据包长度少了4个。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 8][]

这是什么原因？抓个包看一眼。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 9][]

好像也没什么，只是开了DF之后，MTU就小了4字节。

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 10][]

# 总结 #

1、GRE的配置确实很简单，简单到几条命令就能实现；

2、GRE的安全性确实比较差，差到验证隧道的密钥都是明文传输的，而且对封装的数据报文没有任何加密措施；

3、GRE隧道中如果开启不允许分片，会导致MTU变为1468字节；

4、GRE封装和VXLAN封装的MTU都是1472字节，要是你，你怎么选择？

[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70]: /images/20220829/b0a5f37b419e449a8d6b9a21a510e2a3.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 1]: /images/20220829/06e6bcc0b9184cf092b5fe4fbbbcc929.png
[20210719200834151.png]: /images/20220829/a4735f173671410688bcf50f26713782.png
[20210719200839208.png]: /images/20220829/af797658fc504287b01141675a744e65.png
[20210719200843816.png]: /images/20220829/f204b7002b2842ebbe1fcda310b8f2f7.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 2]: /images/20220829/32c69664e7d845c3a4f5edd80f73fa53.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 3]: /images/20220829/7365e0fa258f4db594d9e0218660506d.png
[20210719200901128.png]: /images/20220829/26593c3bf7134d4db8807a68e444599b.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 4]: /images/20220829/4cf213a258844331afa8474b690c3b4c.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 5]: /images/20220829/e4f2063918754aac9517804c0e65a5aa.png
[20210719200915815.png]: /images/20220829/ba556a6b6b1d46459884a8b8371c9f98.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 6]: /images/20220829/84ec891755574543b190030c670beac7.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 7]: /images/20220829/28669d20d1c445d9996796984005bf01.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 8]: /images/20220829/8c405c2c0b8a438488a41199c5c66d62.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 9]: /images/20220829/3ac3d19e001649d6bd05de55e658a165.png
[watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L2d0ajA2MTc_size_16_color_FFFFFF_t_70 10]: /images/20220829/43a5dd0d37a445ff8cbf09d44a769b77.png