华为防火墙 GRE.doc

配置GRE 页码，1/9 配置GRE GRE是三层隧道的封装协议，对某些网络层协议的数据报文进行封装并在另一网络层协议中传 输。GRE提供了将一种协议的报文封装在另一种协议报文中的机制，使报文能够在隧道中传输。 ? GRE简介 介绍GRE的基本概念、协议实现、安全机制和典型应用。 ? 配置GRE 配置GRE隧道需要创建并配置Tunnel接口。 ? 配置应用静态路由的GRE举例 通过此配置举例，您可以了解GRE隧道运行静态路由的典型组网和配置方法。 父主题： 配置VPN 华为专有和保密信息 GRE简介 介绍GRE的基本概念、协议实现、安全机制和典型应用。 基本概念 通用路由封装GRE（Generic Routing Encapsulation）协议用来对某些网络层协议的数据报文进 行封装，使这些被封装的报文能够在另一网络层协议中传输。GRE可以作为VPN的第三层隧道协 议，在协议层之间采用了一种被称之为隧道（Tunnel）的技术。Tunnel是一个虚拟的点对点的连 接，在实际中可以看成仅支持点对点连接的虚拟接口，这个接口提供了一条通路使封装的数据报 能够在这个通路上传输，并且在一个Tunnel的两端分别对数据报进行封装及解封装。 GRE主要有以下特点： ? 机制简单，对隧道两端设备的CPU负担小。 ? 本身不提供数据的加密，可以与IPSec结合使用。 ? 不提供流量控制和QoS。 协议实现 一个数据报文要在GRE隧道中传输，必须经过封装与解封装两个过程，下面以图1所示的网络为例 说明这两个过程。 图1 GRE隧道示意图 ? 加封装过程 USG_A连接IP Network1的接口收到IP数据包后首先交由IP协议模块处理，IP协议模块检查 IP报头中的目的地址来确定如何转发此包。若报文的目的地址为经过Tunnel接口的虚拟网 络地址，则将此报文发给Tunnel接口。Tunnel接口收到此报文后进行GRE封装，封装完成后 file:///C:/Users/的小攤/AppData/Local/Temp/~hhDAB2.htm 2014/1/17  配置GRE 页码，2/9 交给IP协议模块处理。IP协议模块封装新的IP报文头后，根据目的地址查找路由表交由相 应的接口处理。 ? 解封装过程 解封装过程和加封装过程相反。USG_B从连接Internet的接口收到IP报文后检查目的地址， 若发现目的地址为USG_B，且协议字段值为47，表示协议为GRE。此时交给GRE协议模块处理 （去掉报文的IP报头、检查识别关键字、校验和等）。GRE协议模块完成相应的处理后，去 掉GRE报头，再交由IP协议模块处理，IP协议模块将此数据包转发到IP Network2。 安全机制 ? 校验和的验证 校验和的验证是指对封装的报文进行端到端校验。 RFC 1701中规定：如果GRE报文头中的C位置1，则发送方将根据GRE头及Payload信息计算校 验和，在报文头的Checksum字段的位置插入校验和，将包含校验和的报文发送给对端。接 收方对接收到的报文计算校验和，并与报文中的校验和进行比较。如果计算出来的校验和 与报文中的校验和一致，则对报文进一步处理，否则丢弃报文。 隧道两端可以根据实际需要选择是否配置校验和，从而决定是否触发校验功能。 如果隧道两端的校验和配置不同，则对接收和发送的报文处理方式也不同，具体描述如表1 所示。 表1 校验和配置与报文处理方式对应关系 本端 对端 本端对接收报文的处 本端对发送报文的处 理 理 配置校验和 没有配置校验和 不检查校验和 计算校验和 没有配置校验和 配置校验和 检查校验和 不计算校验和 ? 识别关键字的验证 识别关键字（key）是指对Tunnel接口进行校验。通过这种安全机制，可以防止错误识别、 接收其他隧道的报文。 RFC 1701中规定：若GRE报文头中的K位置1，则在GRE头中插入关键字字段，收发双方将进 行隧道识别关键字的验证。 关键字字段是一个四字节长的数字，在报文封装时被插入GRE头。关键字的作用是对隧道进 行验证，只有Tunnel两端设置的识别关键字完全一致时才能通过验证，否则将报文丢弃。 这里的“完全一致”是指两端都不设置识别关键字；或者两端都设置关键字，且关键字的 值相等。 典型应用 扩大跳数受限的网络工作范围 图2 扩大跳数受限的网络工作范围示意图 file:///C:/Users/的小攤/AppData/Local/Temp/~hhDAB2.htm 2014/1/17  配置GRE 页码，3/9 如图2所示，网络运行IP协议，假设IP协议限制的跳数为255。如果两台PC之间的跳数超过255， 它们将无法通信。在网络中使用隧道（Tunnel）可以隐藏一部分跳数，从而扩大网络的工作范 围