GRE和IPsec搭配使用，到底是谁over谁？先看GRE over IPsec

关于相同的二层子网跨广域网进行互通，目前我们测试了VXLAN、IPsec和GRE三种方式，分别是（VXLAN小实验：VXLAN头端复制配置）、（为什么IPsec两端内网的网段能不能重复？分明可以实现！）和（GRE隧道也能实现两端配置相同子网了，快来看看！）。VXLAN特性比较新，所以部分场景下需要考虑使用IPsec或者GRE，但是GRE配置简单却不安全，IPsec使用又会有一些小的限制，所以一般会将IPsec和GRE组合使用。

常见的两种类型包括IPsec over GRE和GRE over IPsec，over是在网络模型中的说法，举个例子：GRE over IPsec，就是GRE在IPsec之上，那在报文封装的时候就会先封装GRE，再封装IPsec，从报文结构上看起来就是IPsec封装在GRE封装之外，是用IPsec保护GRE隧道。

所以，over前面的是内层报文封装，后面的才是外层封装，也是直接看到的报文结构，说得不严谨一点：IPsec over GRE就是GRE封装格式的报文，GRE over IPsec就是IPsec封装格式的报文。

刚做完GRE over IPv4，充分利用环境环境，今天先配置一个“GRE over IPsec”的实验。

组网需求

RT2和RT4分别连接IPv4私有网络SUBNET 1和SUBNET 5。这两个私有网络使用相同的私网地址192.168.1.0/24。通过在RT2和RT4之间建立GRE隧道，实现两个相同私有网络的互联，并对通过GRE隧道的数据进行IPsec加密处理。

组网拓扑

 

配置步骤

开头提到，GRE over IPsec，在报文封装的时候先封装GRE，再封装IPsec，是用IPsec保护GRE隧道。

上个实验中，我们已经做好了所以前面的GRE封装，对应的，我们把之前IPsec实验中的保护数据流更改为GRE隧道流量就可以了。

怎么样，听起来是不是很简单？直接看看配置吧！

RT2

#

 sysname RT2

#

interface GigabitEthernet0/0

ip address 192.168.1.2 255.255.255.0

 proxy-arp enable

#

interface GigabitEthernet0/1

ip address 23.1.1.2 255.255.255.0

 ipsec apply policy GREOIPSEC

#

interface Tunnel0 mode gre

 ip address 1.1.1.2 255.255.255.0

 source 23.1.1.2

 destination 34.1.1.4

 gre key 123321

 gre checksum

#

 ip route-static 34.1.1.0 24 23.1.1.3

 ip route-static 192.168.1.4 32 Tunnel0

 ip route-static 192.168.1.5 32 Tunnel0

#

acl advanced 3400

 rule 0 permit gre source 23.1.1.2 0 destination 34.1.1.4 0

#

ipsec transform-set TRAN

 esp encryption-algorithm 3des-cbc

 esp authentication-algorithm sha1

#

ipsec policy GREOIPSEC 10 isakmp

 transform-set TRAN

 security acl 3400

 remote-address 34.1.1.4

#

ike keychain KEY

 pre-shared-key address 34.1.1.4 255.255.255.0 key simple GREOVERIPSEC

RT-ISP

#

interface GigabitEthernet0/0

ip address 34.1.1.3 255.255.255.0

#

interface GigabitEthernet0/1

ip address 23.1.1.3 255.255.255.0

RT4

#

 sysname RT4

#

interface GigabitEthernet0/0

ip address 192.168.1.4 255.255.255.0

 proxy-arp enable

#

interface GigabitEthernet0/1

ip address 34.1.1.4 255.255.255.0

 ipsec apply policy GREOIPSEC

#

interface Tunnel0 mode gre

 ip address 1.1.1.4 255.255.255.0

 source 34.1.1.4

 destination 23.1.1.2

 gre key 123321

 gre checksum

#

 ip route-static 23.1.1.0 24 34.1.1.3

ip route-static 192.168.1.1 32 Tunnel0

 ip route-static 192.168.1.2 32 Tunnel0

#

acl advanced 3400

 rule 0 permit gre source 34.1.1.4 0 destination 23.1.1.2 0

#

ipsec transform-set TRAN

 esp encryption-algorithm 3des-cbc

 esp authentication-algorithm sha1

#

ipsec policy GREOIPSEC 10 isakmp

 transform-set TRAN

 security acl 3400

 remote-address 23.1.1.2

#

ike keychain KEY

 pre-shared-key address 23.1.1.2 255.255.255.0 key simple GREOVERIPSEC

配置说明

1、ACL中配置的匹配详细的GRE隧道，实际上本处只有一条隧道，可以直接permit gre即可，但是为了大家看起来方便，还是配置了完整的源目地址；

2、本次使用了IKE（Internet Key Exchange，互联网密钥交换）和ISAKMP（Internet Security Association and Key Management Protocol，互联网安全联盟和密钥管理协议），也就是IKE协议利用ISAKMP语言定义密钥交换，是一种对安全服务进行协商的手段。相比如之前使用的手工方式建立隧道，IKE为IPsec提供了自动建立IPsec SA的服务，简单了一些，本次不展开赘述。

3、环境保留了上次实验中同网段互访的配置，属于上个实验的延伸。

验证配置

查看RT4设备Tunnel口状态。

 

可以看到有几个相对关键的指标项：

1、MTU为1468字节；

2、隧道keepalive功能未开启，开启命令如下：

 

3、隧道TTL值为255；

4、GRE over IPv4隧道中安全功能key已设置，密钥为123321；

5、GRE over IPv4隧道中安全功能checksum已设置。

使用display ike sa命令，可以看到第一阶段的SA正常建立。

 

使用display ipsec sa命令可以看到IPsec SA的建立情况。

 

问题又来了，这个地方的MTU成了1444字节。IPsec在外层，是1444字节，GRE在内层，是1468字节。最后到底会是多少呢？

验证隧道MTU

 

可以发现，实际能通过的最大报文大小为1384字节，比单独使用IPsec封装少了16字节，但是GRE封装长度只有12字节啊，少的4个字节哪里去了？抓个包分析一下。

 

这个地方我们捋一下，报文的封装结构应该是[以太网包头][外层IPv4包头][ESP报文头][GRE报文头][GRE封装][内层IPv4包头][ICMP报文][ESP-T校验字段]，好像很复杂的样子。

反过来看，普通模式下IPsec SA中显示的MTU是1428字节，本次显示的是1444字节，也是少了16个字节。减掉GRE封装的12字节，还是少4个字节。看样子[GRE报文头]这部分应该是没有了，毕竟有20字节。那会不会是加密算法和IKE的问题，只能后面再验证了。

验证两端同子网

现在已经知道两端相同子网互通是没有问题了，但是上次IPsec实验有个问题就是不能查看traceroute路径，这次我们看一下。

 

很棒，traceroute路径显示和上次一样，原来使用GRE隧道能解决这个问题。

总结

1、GRE over IPsec就是用IPsec隧道保护GRE隧道，从报文结构看起来和IPsec报文一样，完全看不到里面还套了一层GRE隧道，但是MTU只有1384字节，比只使用GRE隧道的1444字节少了60字节；

2、套接了GRE隧道之后，比单独使用IPsec隧道，可以看到内层报文的traceroute路径，提高了实用性；

3、套接了GRE隧道之后，比单独使用IPsec隧道，调整保护流量时，只需要在两端调整经过GRE隧道的路由即可，无需调整ACL的兴趣流；

4、留了一个问题，GRE over IPsec实际能通过的最大报文大小为1384字节，比单独使用IPsec封装少了16字节，但是GRE封装长度只有12字节，少的4个字节哪里去了？