IPsec over GRE

一级标题

Tun口的地址是公网地址
IPsec的ACL应该是原始的私网数据包，写私网地址的源地址，到目的地址的地址。

IPsec的策略应该下发在Tun口。因为数据包查表完以后进入Tun口，刚准备进，发现Tun口上配置了IPsec的策略，还没进去，就被IPsec策略抓走，检查是否根ACL感兴趣流是否匹配。所以二话不说，先来进行一个IPsec的封装。
IPsec封装的源地址和目的地址，看IPsec策略下发在哪个口，源地址是Tun口的地址。目的地址是对方的Tun口的地址。IPsec封装的地址是双方Tun 的地址
再次检查，是否有明细路由匹配这个IP地址。有
IPsec封装完了以后，会再次往Tun口发送，此时再次会碰见IPsec的策略。这时
检查包内的头部IP，不能匹配感兴趣流。匹配不上，正常放入Tun口去，然后完成GRE的封装。

二级标题

缺点，配置起来还是有点繁琐。

三级标题

四级标题

五级标题

六级标题