华为防火墙 GRE【荐】.pdf

配置GRE 页码，1/9 配置GRE GRE是三层隧道的封装协议，对某些网络层协议的数据报文进行封装并在另一网络层协议中传 输。GRE提供了将一种协议的报文封装在另一种协议报文中的机制，使报文能够在隧道中传输。  GRE简介 介绍GRE的基本概念、协议实现、安全机制和典型应用。  配置GRE 配置GRE隧道需要创建并配置Tunnel接口。  配置应用静态路由的GRE举例 通过此配置举例，您可以了解GRE隧道运行静态路由的典型组网和配置方法。 父主题： 配置VPN 华为专有和必威体育官网网址信息 GRE简介 介绍GRE的基本概念、协议实现、安全机制和典型应用。 基本概念 通用路由封装GRE（Generic Routing Encapsulation）协议用来对某些网络层协议的数据报文进 行封装，使这些被封装的报文能够在另一网络层协议中传输。GRE可以作为VPN的第三层隧道协 议，在协议层之间采用了一种被称之为隧道（Tunnel）的技术。Tunnel是一个虚拟的点对点的连 接，在实际中可以看成仅支持点对点连接的虚拟接口，这个接口提供了一条通路使封装的数据报 能够在这个通路上传输，并且在一个Tunnel的两端分别对数据报进行封装及解封装。 GRE主要有以下特点：  机制简单，对隧道两端设备的CPU负担小。  本身不提供数据的加密，可以与IPSec结合使用。  不提供流量控制和QoS。 协议实现 一个数据报文要在GRE隧道中传输，必须经过封装与解封装两个过程，下面以图1所示的网络为例 说明这两个过程。 图1 GRE隧道示意图  加封装过程 USG_A连接IP Network1的接口收到IP数据包后首先交由IP协议模块处理，IP协议模块检查 IP报头中的目的地址来确定如何转发此包。若报文的目的地址为经过Tunnel接口的虚拟网 络地址，则将此报文发给Tunnel接口。Tunnel接口收到此报文后进行GRE封装，封装完成后 file:///C:/Users/的小攤/AppData/Local/Temp/~hhDAB2.htm 2014/1/17 配置GRE 页码，2/9 交给IP协议模块处理。IP协议模块封装新的IP报文头后，根据目的地址查找路由表交由相 应的接口处理。  解封装过程 解封装过程和加封装过程相反。USG_B从连接Internet的接口收到IP报文后检查目的地址， 若发现目的地址为USG_B，且协议字段值为47，表示协议为GRE。此时交给GRE协议模块处理 （去掉报文的IP报头、检查识别关键字、校验和等）。GRE协议模块完成相应的处理后，去 掉GRE报头，再交由IP协议模块处理，IP协议模块将此数据包转发到IP Network2。 安全机制  校验和的验证 校验和的验证是指对封装的报文进行端到端校验。 RFC 1701中规定：如果GRE报文头中的C位置1，则发送方将根据GRE头及Payload信息计算校 验和，在报文头的Checksum字段的位置插入校验和，将包含校验和的报文发送给对端。接 收方对接收到的报文计算校验和，并与报文中的校验和进行比较。如果计算出来的校验和 与报文中的校验和一致，则对报文进一步处理，否则丢弃报文。 隧道两端可以根据实际需要选择是否配置校验和，从而决定是否触发校验功能。 如果隧道两端的校验和配置不同，则对接收和发送的报文处理方式也不同，具体描述如表1 所示。 表1 校验和配置与报文处理方式对应关系 本端 对端 本端对接收报文的处 本端对发送报文的处 理 理 配置校验和 没有配置校验和