华为防火墙 GRE

《华为防火墙 GRE》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、配置GRE页码，1/9配置GREGRE是三层隧道的封装协议，对某些网络层协议的数据报文进行封装并在另一网络层协议中传输。GRE提供了将一种协议的报文封装在另一种协议报文中的机制，使报文能够在隧道中传输。GRE简介介绍GRE的基本概念、协议实现、安全机制和典型应用。配置GRE配置GRE隧道需要创建并配置Tunnel接口。配置应用静态路由的GRE举例通过此配置举例，您可以了解GRE隧道运行静态路由的典型组网和配置方法。父主题：配置VPN华为专有和保密信息GRE简介介绍GRE的基本概念、协议实现、安全机制和典型应用。基本概念通用路由封装

2、GRE（GenericRoutingEncapsulation）协议用来对某些网络层协议的数据报文进行封装，使这些被封装的报文能够在另一网络层协议中传输。GRE可以作为VPN的第三层隧道协议，在协议层之间采用了一种被称之为隧道（Tunnel）的技术。Tunnel是一个虚拟的点对点的连接，在实际中可以看成仅支持点对点连接的虚拟接口，这个接口提供了一条通路使封装的数据报能够在这个通路上传输，并且在一个Tunnel的两端分别对数据报进行封装及解封装。GRE主要有以下特点：机制简单，对隧道两端设备的CPU负担小。本身不提供数据的加密，可以与

3、IPSec结合使用。不提供流量控制和QoS。协议实现一个数据报文要在GRE隧道中传输，必须经过封装与解封装两个过程，下面以图1所示的网络为例说明这两个过程。图1GRE隧道示意图加封装过程USG_A连接IPNetwork1的接口收到IP数据包后首先交由IP协议模块处理，IP协议模块检查IP报头中的目的地址来确定如何转发此包。若报文的目的地址为经过Tunnel接口的虚拟网络地址，则将此报文发给Tunnel接口。Tunnel接口收到此报文后进行GRE封装，封装完成后file:///C:/Users/的小攤/AppData/Local/Te

4、mp/~hhDAB2.htm2014/1/17配置GRE页码，2/9交给IP协议模块处理。IP协议模块封装新的IP报文头后，根据目的地址查找路由表交由相应的接口处理。解封装过程解封装过程和加封装过程相反。USG_B从连接Internet的接口收到IP报文后检查目的地址，若发现目的地址为USG_B，且协议字段值为47，表示协议为GRE。此时交给GRE协议模块处理（去掉报文的IP报头、检查识别关键字、校验和等）。GRE协议模块完成相应的处理后，去掉GRE报头，再交由IP协议模块处理，IP协议模块将此数据包转发到IPNetwork2。安全机

5、制校验和的验证校验和的验证是指对封装的报文进行端到端校验。RFC1701中规定：如果GRE报文头中的C位置1，则发送方将根据GRE头及Payload信息计算校验和，在报文头的Checksum字段的位置插入校验和，将包含校验和的报文发送给对端。接收方对接收到的报文计算校验和，并与报文中的校验和进行比较。如果计算出来的校验和与报文中的校验和一致，则对报文进一步处理，否则丢弃报文。隧道两端可以根据实际需要选择是否配置校验和，从而决定是否触发校验功能。如果隧道两端的校验和配置不同，则对接收和发送的报文处理方式也不同，具体描述如表1所示。表1校

6、验和配置与报文处理方式对应关系本端对端本端对接收报文的处本端对发送报文的处理理配置校验和没有配置校验和不检查校验和计算校验和没有配置校验和配置校验和检查校验和不计算校验和识别关键字的验证识别关键字（key）是指对Tunnel接口进行校验。通过这种安全机制，可以防止错误识别、接收其他隧道的报文。RFC1701中规定：若GRE报文头中的K位置1，则在GRE头中插入关键字字段，收发双方将进行隧道识别关键字的验证。关键字字段是一个四字节长的数字，在报文封装时被插入GRE头。关键字的作用是对隧道进行验证，只有Tunnel两端设置的识别关键字完全

7、一致时才能通过验证，否则将报文丢弃。这里的“完全一致”是指两端都不设置识别关键字；或者两端都设置关键字，且关键字的值相等。典型应用扩大跳数受限的网络工作范围图2扩大跳数受限的网络工作范围示意图file:///C:/Users/的小攤/AppData/Local/Temp/~hhDAB2.htm2014/1/17配置GRE页码，3/9如图2所示，网络运行IP协议，假设IP协议限制的跳数为255。如果两台PC之间的跳数超过255，它们将无法通信。在网络中使用隧道（Tunnel）可以隐藏一部分跳数，从而扩大网络的工作范围。将不连续的子网连接起

8、来，用于组建VPN图3连接不连续子网示意图如图3所示，运行IP协议两个子网IPNetwork1和IPNetwork2位于不同的城市，通过在网络边界设备之间建立GRE隧道，可以把这两个子网连接成一个连续的VP