GRE/MGRE总结

GRE（Generic Routing Encapsulation，通用路由封装）协议是对某些网络层协议（如IP和IPX）的数据报文进行封装，使这些被封装的数据报文能够在另一个网络层协议（如IP）中传输。GRE采用Tunnel（隧道）技术，是VPN（Virtual Private Network）的第三层隧道协议

Tunnel（隧道）是一个虚拟的点对点的连接，提供了一条通路使封装的数据报文能够在这个通路上传输，并且在一个Tunnel的两端分别对数据报进行封装及解封装。

GRE实验：

1.基础配置

R1：

给接口配置IP地址且配置环回路由

配置缺省路由：

[R1]ip route-static 0.0.0.0 0 12.0.0.2

R2：

[R2-GigabitEthernet0/0/0]ip add 12.0.0.2 24

[R2-GigabitEthernet0/0/1]ip add 23.0.0.2 24

R3：

配置环回路由且给接口配置IP地址

配置缺省路由：

[R3]ip route-static 0.0.0.0 0 23.0.0.2

配置完成后除了两个私网1.0/2.0不能通，12.0.0.1--->23.0.0.3线路上都能通

2.GRE配置

（1）对R1：

[r1]interface Tunnel 0/0/0 ----创建隧道接口；"0/0/0"按正式接口物理接口来配的

[r1-Tunnel0/0/0]ip address 192.168.3.1 24 ---该IP地址必须为私网IP

注意：隧道接口里面的基础协议不是IP协议，而是隧道技术GRE，

配置完隧道接口IP后，GRE协议还处于down，所以还得起协议

[r1-Tunnel0/0/0]tunnel-protocol gre ----定义封装方式

这时候的GRE协议还没up，因为封装内容还没有配置完整

[r1-Tunnel0/0/0]source 12.0.0.1 ----定义封装内容，该IP必须为真实的公网出口IP

[r1-Tunnel0/0/0]destination 23.0.0.3

这个时候R1上的GRE配置完成

（2）同理对R3同样的配置：

[R3]int Tunnel 0/0/0

[R3-Tunnel0/0/0]ip add 192.168.3.2 24

[R3-Tunnel0/0/0]tunnel-protocol gre

[R3-Tunnel0/0/0]source 23.0.0.3

[R3-Tunnel0/0/0]destination 12.0.0.1

（3）配置完成后，需要在本地补上通往目的私网网段的路由信息

对R1：

这里的R1没有去往R3的路由信息，需要给R1补R3的静态路由

[R1]ip route-static 192.168.2.0 24 192.168.3.2 ---目的隧道接口IP

对R3:

同样，这里的R1没有去往R3的路由信息，需要给R1补R3的静态路由

[R3]ip route-static 192.168.1.0 24 192.168.3.1

3.配置完成，ping测试；

R1 tunnel 0/0/0隧道接口封装格式：

GRE报文格式：

GRE封装和解封装过程

设备从连接私网的接口接收到数据包后，检查报文头部中的目的IP地址字段，在路由表中查找出接口，如果发现出接口为隧道接口，则将报文发送给隧道模块进行处理。
隧道模块接收到报文后，首先根据乘客协议的类型和当前GRE隧道配置的校验和参数，对报文进行GRE封装。
然后，设备给报文添加新的传输协议，该协议的源IP就是隧道源地址，目的IP为隧道目的地址。
最后，设备根据新条件的IP报文头部中的目的地址，在路由表中查找对应的出接口并发送报文。
接收端设备从连接公网的接口收到报文后，首先分析IP报文头部信息（新的），如果发现协议字段类型值为 47（GRE协议号），表示数据部分由GRE模块进行处理。
- GRE模块去除掉IP报文头部和GRE报文头部，并根据GRE报文头部中的协议类型字段来判断乘客协议内容。从而交给对应模块处理。

Keepalive检测机制

GRE的Keepalive检测功能可以检测隧道状态，即检测隧道对端是否可达。如果对端不可达，隧道连接就会及时关闭，避免因对端不可达而造成的数据丢失，有效防止数据空洞，保证数据传输的可靠性。

Keepalive检测机制的修改配置：

[r1-Tunnel0/0/0]keepalive period 2 retry-times 5

设置发送周期为2S；设置重传次数为5次

MGRE：点到多点网路（本质也是点到点传输）=P2P -->P2MP

NHRP---下一跳解析协议

Hub-spoke架构--中心到节点架构（政府网比较常见）

一个中心，多个节点；节点之间没有连接需求；
节点与节点通讯需要中心站点，经过中心站点进行传输；
中心必须是下一跳服务器（NHS）

NHS---下一跳服务器（在下面实验中NHS是R1）

中心节点的IP地址必须固定

所有路由数据交换都会给R1发，因为R1为中心站点

MGRE实验：

1.基础配置

R1：

R2：

R3：

R4：

R5：

写缺省路由：

[R1]ip route-static 0.0.0.0 0 15.0.0.5

[R2]ip route-static 0.0.0.0 0 25.0.0.5

[R3]ip route-static 0.0.0.0 0 35.0.0.5

[R4]ip route-static 0.0.0.0 0 45.0.0.5

2.MGRE的shortcut配置--需要对Hub中心节点配置和spoke节点配置

（1）Hub节点配置（对R1）

[r1]interface Tunnel 0/0/0

[r1-Tunnel0/0/0ip address 192.168.5.1 24

[r1-Tunnel0/0/0]tunne-protocol gre p2mp ----修改接口封装协议为GRE，且为点到多点模式

[r1-Tunnel0/0/0]source 15.0.0.1

（2）spoke节点配置(对R2、R3、R4)

R2：

[r2]interface Tunnel 0/0/0

[r2-Tunnel0/0/0]ip address 192.168.5.2 24

[r2-Tunnel0/0/0]tunnel-protocol gre p2mp

[r2-Tunnel0/0/0]source GigabitEthernet 0/0/0 ---这个不能写源IP，应为分配给的IP是动态的，得写接口

[r2-Tunnel0/0/0]nhrp entry 192.168.5.1 15.0.0.1 register ---R2找中心节点注册

hub的虚拟接口IP hub的物理接口IP 注册

（中心不会到节点注册，只有节点到中心注册）

[r1]display nhrp peer all----查看nhrp映射表

R3：

[R3]int t 0/0/0

[R3-Tunnel0/0/0]ip add 192.168.5.3 24

[R3-Tunnel0/0/0]tunnel-protocol gre p2mp

[R3-Tunnel0/0/0]source GigabitEthernet 0/0/0

[R3-Tunnel0/0/0]nhrp entry 192.168.5.1 15.0.0.1 register

R4:

[R4]int t 0/0/0

[R4-Tunnel0/0/0]ip add 192.168.5.4 24

[R4-Tunnel0/0/0]tunnel-protocol gre p2mp

[R4-Tunnel0/0/0]source GigabitEthernet 0/0/0

[R4-Tunnel0/0/0]nhrp entry 192.168.5.1 15.0.0.1 register

查看R1的nhrp映射表，是否都获取到了R2\R3\R4的映射关系；

（3）R1\R2\R3\R4补路由：

R1：

[R1]ip route-static 192.168.2.0 24 192.168.5.2

[R1]ip route-static 192.168.3.0 24 192.168.5.3

[R1]ip route-static 192.168.4.0 24 192.168.5.4

R2：

[R2]ip route-static 192.168.1.0 24 192.168.5.1

[R2]ip route-static 192.168.3.0 24 192.168.5.1

[R2]ip route-static 192.168.4.0 24 192.168.5.1

R3：

[R3]ip route-static 192.168.1.0 24 198.168.5.1

[R3]ip route-static 192.168.2.0 24 192.168.5.1

[R3]ip route-static 192.168.4.0 24 192.168.5.1

R4：

[R4]ip route-static 192.168.1.0 24 192.168.5.1

[R4]ip route-static 192.168.2.0 24 192.168.5.1

[R4]ip route-static 192.168.3.0 24 192.168.5.1

（4）MGRE配置完成，ping测试连通性

DSVPN ---动态智能VPN

传统的MGRE技术存在的问题。----分部之间无法直接通讯(源分支无法获取目的分支的公网地址，也就无法建立VPN隧道)，导致所有的分支之间的通讯数据只能通过总部HUB设备进行中转。

DSVPN=MGRE+NHRP：广、组播

NHRP：单播

NHRP映射表

静态表项
- 由网络管理员手工配置；
- spoke与hub建立静态的MGRE隧道；
动态表项
- 是由NHRP协议动态生成；
- hub节点被动获取到spoke节点发送来的注册信息；
- 各个spoke节点通过NHRP协议获取到对端的spoke节点的映射关系；
- 7200S；

NHRP映射表的建立过程（分三步）

（1）建立spoke到hub之间的mgre隧道

1.spoke向hub注册请求
2.hub向spoke注册应答

（2）分支间路由学习

DSVPN支持两种分支间路由学习方式：

分支间互相学习路由----非shortcut方式 ---应用于大型网络
- 每个分支需要学习到所有对端的路由数据，且下一跳为分支本身。
分支路由汇聚到总部----shortcut方式 ---应用于小型网络
- 下一跳为hub设备。

（3）建立spoke与spoke之间的MGRE隧道（不分shortcut和非shortcut）

在shortcut方式下需要添加的配置

中心：

[r1-Tunnel0/0/0]nhrp redirect ----开启重定向功能。默认情况为未启动

分支：

[r4-Tunnel0/0/0]nhrp shortcut ----使能shortcut功能

MGRE环境下的RIP网络搭建---非shortcut

宣告意义（只宣告私网部分）：

把我的网段告诉别人
激活接口

Netw 192.168.1.0

192.168.5.0

R2:

Netw 192.168.2.0

192.168.5.0

R3:

Net 192.168.3.0

192.168.5.0

R4:

Net 192.168.4.0

192.168.5.0

分支没有获取到中心的路由信息

因为RIP是以组播的方式在发送报文，而MGRE环境下是点到点通讯，不支持组播行为。

解决思路：开启伪广播功能

开启伪广播功能：

[r1-Tunnel0/0/0]nhrp entry multicast dynamic----在中心节点配置

Ping -a192.168.1.1 192.168.2.1--ping的通

但ping 192.168.2.1 192.168.3.1 --ping不通---分支间不通

因为水平分割（同一个路由从此口进不从此口出）-->解决方法：关闭水平分割功能

[r1-Tunnel0/0/0]undo rip split-horizon ----关闭水平分割机制

另一种方式不用水平分割，路由汇总192.168.0.0/16：

MGRE环境下的RIP网络----shortcut

在上面的基础上加两条命令即可：

中心： [r1-Tunnel0/0/0]nhrp redirect ----开启重定向功能。默认情况为未启动

分支： [r4-Tunnel0/0/0]nhrp shortcut ----使能shortcut功能

综合实验--含MGRE环境下rip网络+搭建GRE和MGRE环境+ppp和P2P

实验要求：

1.R5为ISP，只能进行IP地址配置;其所有地址均配为公有IP地址。

2.R1和R5间使用PPP的PAP认证，R5为主认证方；

R2于R5之间使用ppp的chap认证，R5为主认证方；

R3于R5之间使用HDLC封装。

3.R1/R2/R3构建一个MGRE环境，R1为中心站点，R1、R4间为点到点的GRE。

4.整个私有网络基于RIP全网可达。

5.所有Pc设置私有IP为源IP，可以访问R5环回。

实验拓扑搭建：

R1：

[R1-GigabitEthernet0/0/0]ip add 192.168.1.1 24

[R1-GigabitEthernet0/0/0]int s4/0/0

[R1-Serial4/0/0]ip add 15.0.0.1 24

R2：

[R2-GigabitEthernet0/0/0]ip add 192.168.2.1 24

[R2-GigabitEthernet0/0/0]int s4/0/0

[R2-Serial4/0/0]ip add 25.0.0.2 24

R3:

[R3-GigabitEthernet0/0/0]ip add 192.168.3.1 24

[R3-GigabitEthernet0/0/0]int s4/0/0

[R3-Serial4/0/0]ip add 35.0.0.3 24

R4：

[R4-GigabitEthernet0/0/0]ip add 45.0.0.4 24

[R4-GigabitEthernet0/0/0]int g0/0/1

[R4-GigabitEthernet0/0/1]ip add 192.168.4.1 24

R5:

[R5]int s3/0/0

[R5-Serial3/0/0]ip add 15.0.0.5 24

[R5-Serial3/0/0]int s3/0/1

[R5-Serial3/0/1]ip add 25.0.0.5 24

[R5-Serial3/0/1]int s4/0/0

[R5-Serial4/0/0]ip add 35.0.0.5 24

[R5-Serial4/0/0]int g0/0/0

[R5-GigabitEthernet0/0/0]ip add 45.0.0.5 24

[R5-LoopBack0]ip add 5.5.5.5 24

R1、R2、R3、R4去往R5的缺省路由，使得除私网外可通信

[R1]ip route-static 0.0.0.0 0 15.0.0.5

[R2]ip route-static 0.0.0.0 0 25.0.0.5

[R3]ip route-static 0.0.0.0 0 35.0.0.5

[R4]ip route-static 0.0.0.0 0 45.0.0.5

R1和R5间使用PPP的PAP认证，R5为主认证方;

认证方R5:

[R5]aaa

[R5-aaa]local-user huawei password cipher 123456

[R5-aaa]local-user huawei service-type ppp

[R5-aaa]q

[R5]int s3/0/0

[R5-Serial3/0/0]ppp authentication-mode pap

被认证方R1：

[R1]int s4/0/0

[R1-Serial4/0/0]ppp pap local-user huawei password cipher 123456

Ping 15.0.0.5

R2于R5之间使用ppp的chap认证，R5为主认证方；

主认证方对R5：

[R5-aaa]int s3/0/1

[R5-Serial3/0/1]ppp authentication-mode chap

[R5-Serial3/0/1]

被认证方对R2：

[R2]int s4/0/0

[R2-Serial4/0/0]ppp chap user huawei

[R2-Serial4/0/0]ppp chap password cipher 123456

[R2-Serial4/0/0]shutdown

[R2-Serial4/0/0]undo shutdown

R3于R5之间使用HDLC封装

对R3：

[R3-Serial4/0/0]link-protocol hdlc

Warning: The encapsulation protocol of the link will be changed. Continue? [Y/N]:y

对R5：

[R5-Serial4/0/0]link-protocol hdlc

Warning: The encapsulation protocol of the link will be changed. Continue? [Y/N]:y

测试：

R1、R4间为点到点的GRE

另外创建一条隧道网段为192.168.6.0/24

对R1：

[R1]interface Tunnel 0/0/0

[R1-Tunnel0/0/0]ip address 192.168.6.1 24

[R1-Tunnel0/0/0]tunnel-protocol gre

[R1-Tunnel0/0/0]source 15.0.0.1

[R1-Tunnel0/0/0]destination 45.0.0.4

Oct 20 2023 14:05:24-08:00 R1 %%01IFNET/4/LINK_STATE(l)[0]:The line protocol IP

on the interface Tunnel0/0/0 has entered the UP state.

对R4：

[R4]interface Tunnel 0/0/0

[R4-Tunnel0/0/0]ip add 192.168.6.4 24

[R4-Tunnel0/0/0]tunnel-protocol gre

[R4-Tunnel0/0/0]source 45.0.0.4

[R4-Tunnel0/0/0]destination 15.0.0.1

R1/R2/R3构建一个MGRE环境，R1为中心站点

另外创建一条隧道网段为192.168.5.0/24

对中心站点R1：

[R1]int Tunnel 0/0/1

[R1-Tunnel0/0/1]ip add 192.168.5.1 24

[R1-Tunnel0/0/1]tunnel-protocol gre p2mp

[R1-Tunnel0/0/1]source 15.0.0.1

R2：

[R2]int Tunnel 0/0/0

[R2-Tunnel0/0/0]ip add 192.168.5.2 24

[R2-Tunnel0/0/0]tunnel-protocol gre p2mp

[R2-Tunnel0/0/0]source Serial 4/0/0

[R2-Tunnel0/0/0]nhrp entry 192.168.5.1 15.0.0.1 register

R3：

[R3]int Tunnel 0/0/0

[R3-Tunnel0/0/0]ip add 192.168.5.3 24

[R3-Tunnel0/0/0]tunnel-protocol gre p2mp

[R3-Tunnel0/0/0]source Serial 4/0/0

[R3-Tunnel0/0/0]nhrp entry 192.168.5.1 15.0.0.1 register

R1上查看nhrp映射表

使用shortcut的方式配置DSVPN环境

[R1-Tunnel0/0/1]nhrp redirect ---开启重定向功能

[R2-Tunnel0/0/0]nhrp shortcut ---使能shortcut功能

[R3-Tunnel0/0/0]nhrp shortcut

rip全网可达：

R1:

[R1]rip 1

[R1-rip-1]network 192.168.1.0

[R1-rip-1]network 192.168.5.0

[R1-rip-1]network 192.168.6.0

R2：

[R2]rip 1

[R2-rip-1]v 2

[R2-rip-1]network 192.168.2.0

[R2-rip-1]network 192.168.5.0

R3：

[R3]rip

[R3-rip-1]v 2

[R3-rip-1]network 192.168.3.0

[R3-rip-1]network 192.168.5.0

R4：

[R4]rip 1

[R4-rip-1]v 2

[R4-rip-1]network 192.168.4.0

[R4-rip-1]network 192.168.6.0

[R4]dis ip routing-table protocol rip ---查看rip

R2\R3读不到rip宣告：

[R1-Tunnel0/0/1]nhrp entry multicast dynamic---开启伪广播功能

[R1-Tunnel0/0/1]undo rip split-horizon ---解决方法：关闭水平分割

再一次查看rip

测试：

[R1-Tunnel0/0/1]undo rip split-horizon ---解决方法：关闭水平分割

所有Pc设置私有IP为源IP，可以访问R5环回。

做nat，使所有PC都基于环回私有地址为源IP，就可以正常访问R5环回了

[r1]acl 2000

[r1-acl-basic-2000]rule 0 permit source 192.168.1.0 0.0.0.255

[r1-acl-basic-2000]int S4/0/0

[r1-Serial4/0/01nat outbound 2000

对PC的配置：

测试联通性：

橘迹女孩

关注

3
点赞
踩
4

收藏

觉得还不错? 一键收藏
1
评论
GRE/MGRE总结

中心： [r1-Tunnel0/0/0]nhrp redirect ----开启重定向功能。分支： [r4-Tunnel0/0/0]nhrp shortcut ----使能shortcut功能。[r1-Tunnel0/0/0]nhrp entry multicast dynamic----在中心节点配置。[r1-Tunnel0/0/0]undo rip split-horizon ----关闭水平分割机制。[R2-Tunnel0/0/0]nhrp shortcut ---使能shortcut功能。
复制链接

扫一扫