华为防火墙 GRE

（3）
目的地址：131.108.5.2 接口号：GigabitEthernet 0/0/1
（4）
IP地址：10.1.3.1/24 接口号：GigabitEthernet 0/0/2
IP地址：131.108.5.2/24 Tunnel1接口 IP地址：10.1.2.2/24
源地址：131.108.5.2
使用指南
该地址必须与对端Tunnel接 口指定的源端地址相同。
参数含义
-
选择目的地址加入的虚拟防 火墙。
参数含义
参数值
配置GRE隧道的识别关键字。 整数形式。
使用指南
GRE隧道两端设置的识别关键 字必须完全一致，或者两端 都不设置关键字。
参数含义
-
配置GRE隧道两端进行端到端 校验和的验证。
6. 单击“应用”。 父主题： 配置GRE 华为专有和保密信息
不检查校验和
计算校验和
配置校验和
检查校验和
不计算校验和
识别关键字（key）是指对Tunnel接口进行校验。通过这种安全机制，可以防止错误识别、 接收其他隧道的报文。
RFC 1701中规定：若GRE报文头中的K位置1，则在GRE头中插入关键字字段，收发双方将进 行隧道识别关键字的验证。
关键字字段是一个四字节长的数字，在报文封装时被插入GRE头。关键字的作用是对隧道进 行验证，只有Tunnel两端设置的识别关键字完全一致时才能通过验证，否则将报文丢弃。 这里的“完全一致”是指两端都不设置识别关键字；或者两端都设置关键字，且关键字的 值相等。
，显示“新建静态路由”界面。参数配置如
file:///C:/Users/的小攤/AppData/Local/Temp/~hhDAB2.htm
2014/1/17
配置GRE
页码，8/9
c. 单击“应用”。
配置USG_B。 1. 将接口加入安全区域，并配置域间包过滤，以保证网络基本通信正常，具体步骤略。 2. 配置USG_B的接口IP地址。
隧道两端可以根据实际需要选择是否配置校验和，从而决定是否触发校验功能。
如果隧道两端的校验和配置不同，则对接收和发送的报文处理方式也不同，具体描述如表1 所示。
本端
配置校验和 没有配置校验和 识别关键字的验证
表1 校验和配置与报文处理方式对应关系
对端
本端对接收报文的处 本端对发送报文的处
理
理
没有配置校验和
设置 参数值
Tunnel接口编号。 参数含义
整数形式。 参数值
当前接口所属的虚拟防火 墙。
参数含义
系统中已存在的所有虚拟防 火墙。若不配置，该接口属 于根防火墙。
参数值
当前接口所属于的安全区 域。
参数含义
系统中已存在的所有安全区 域。
-
用来设置接口的描述信息。
参数含义
-
关闭接口。
使用指南
在某些特殊情况下，配置接 口属性后，不能立即生效， 需要关闭接口后重启接口， 配置才能生效。
图1 配置GRE组网图
项目 USG_A
USG_B
数据 （1）
接口号：GigabitEthernet 0/0/1
（2）
IP地址：10.1.1.1/24 接口号：GigabitEthernet 0/0/2
IP地址：202.38.163.1/24 Tunnel1接口 IP地址：10.1.2.1/24
源地址：202.38.163.1/24
a. 选择“系统 > 网络”。
b. 单击三层接口列表中GigabitEthernet 0/0/1对应的 ，显示“修改 GigabitEthernet”界面。配置如下：
寻址模式：配置自身IP IP地址/掩码：10.1.3.1 255.255.255.0 c. 单击“应用”。
d. 单击三层接口列表中GigabitEthernet 0/0/2对应的 GigabitEthernet”界面。配置如下：
配置GRE
页码，1/9
配置GRE
GRE是三层隧道的封装协议，对某些网络层协议的数据报文进行封装并在另一网络层协议中传 输。GRE提供了将一种协议的报文封装在另一种协议报文中的机制，使报文能够在隧道中传输。
GRE简介 介绍GRE的基本概念、协议实现、安全机制和典型应用。
配置GRE 配置GRE隧道需要创建并配置Tunnel接口。
配置应用静态路由的GRE举例
通过此配置举例，您可以了解GRE隧道运行静态路由的典型组网和配置方法。 组网需求
file:///C:/Users/的小攤/AppData/Local/Temp/~hhDAB2.htm
2014/1/17
配置GRE
页码，6/9
如图1所示，网络A和网络B通过USG_A和USG_B连接到Internet。要求配置GRE隧道，实现网络A和 网络B之间使用GRE进行互联。
参数含义
选择源地址配置方式为IP地 址或者使用绑定接口的地 址。
参数值
Tunnel接口的源端IP地址， 即本端实际发送报文的接口 的IP地址。
参数含义
点分十进制格式。 -
选择被绑定的接口。这个接 口的IP地址做为Tunnel接口 的源端IP地址。
参数含义
参数值
Tunnel接口的目的IP地址。 点分十进制格式。
GRE主要有以下特点：
机制简单，对隧道两端设备的CPU负担小。
本身不提供数据的加密，可以与IPSec结合使用。
不提供流量控制和QoS。
协议实现
一个数据报文要在GRE隧道中传输，必须经过封装与解封装两个过程，下面以图1所示的网络为例 说明这两个过程。
图1 GRE隧道示意图
加封装过程
USG_A连接IP Network1的接口收到IP数据包后首先交由IP协议模块处理，IP协议模块检查 IP报头中的目的地址来确定如何转发此包。若报文的目的地址为经过Tunnel接口的虚拟网 络地址，则将此报文发给Tunnel接口。Tunnel接口收到此报文后进行GRE封装，封装完成后
，显示“修改
寻址模式：配置自身IP IP地址/掩码：131.108.5.2 255.255.255.0 e. 单击“应用”。
3. 配置Tunnel 1接口。
a. 选择“VPN > Tunnel”。
b. 在“Tunnel接口列表”界面中，单击 。 c. 在“新建Tunnel接口”界面中，新建Tunnel接口，如图5所示。
file:///C:/Users/的小攤/AppData/Local/Temp/~hhDAB2.htm
2014/1/17
配置GRE
页码，2/9
交给IP协议模块处理。IP协议模块封装新的IP报文头后，根据目的地址查找路由表交由相 应的接口处理。
解封装过程
解封装过程和加封装过程相反。USG_B从连接Internet的接口收到IP报文后检查目的地址， 若发现目的地址为USG_B，且协议字段值为47，表示协议为GRE。此时交给GRE协议模块处理 （去掉报文的IP报头、检查识别关键字、校验和等）。GRE协议模块完成相应的处理后，去 掉GRE报头，再交由IP协议模块处理，IP协议模块将此数据包转发到IP Network2。
将不连续的子网连接起来，用于组建VPN
图3 连接不连续子网示意图
如图3所示，运行IP协议两个子网IP Network1和IP Network2位于不同的城市，通过在网络边界 设备之间建立GRE隧道，可以把这两个子网连接成一个连续的VPN网络。 父主题： 配置GRE 华为专有和保密信息
配置GRE
配置GRE隧道需要创建并配置Tunnel接口。 操作步骤
1. 在菜单导航树中选择“VPN” > “Tunnel”。 2. 在“Tunnel接口列表”界面中，单击 。 3. 在“新建Tunnel接口”界面中，新建Tunnel接口，如图1所示。
图1 新建Tunnel接口
4. 单击“应用”。 5. 在“新建Tunnel接口”界面中，配置Tunnel接口的各项参数，具体请参见表1。界面如图2
所示。 图2 配置Tunnel接口
file:///C:/Users/的小攤/AppData/Local/Temp/~hhDAB2.htm
2014/1/17
配置GRE
页码，4/9
参数 Tunnel接口号 虚拟防火墙 安全区域 描述 禁止接口
IP地址/掩码 源地址配置方式
表1 配置Tunnel接口 说明 参数含义
file:///C:/Users/的小攤/AppData/Local/Temp/~hhDAB2.htm
2014
3. 配置Tunnel 1接口。
a. 选择“VPN > Tunnel”。 b. 在“Tunnel接口列表”界面中，单击 。 c. 在“新建Tunnel接口”界面中，新建Tunnel接口，如图2所示。
寻址模式：配置自身IP IP地址/掩码：10.1.1.1 255.255.255.0 c. 单击“应用”。
d. 单击三层接口列表中GigabitEthernet 0/0/2对应的 GigabitEthernet”界面。配置如下：
，显示“修改
寻址模式：配置自身IP IP地址/掩码：202.38.163.1 255.255.255.0
配置应用静态路由的GRE举例 通过此配置举例，您可以了解GRE隧道运行静态路由的典型组网和配置方法。
父主题： 配置VPN
华为专有和保密信息
GRE简介
介绍GRE的基本概念、协议实现、安全机制和典型应用。
基本概念
通用路由封装GRE（Generic Routing Encapsulation）协议用来对某些网络层协议的数据报文进 行封装，使这些被封装的报文能够在另一网络层协议中传输。GRE可以作为VPN的第三层隧道协 议，在协议层之间采用了一种被称之为隧道（Tunnel）的技术。Tunnel是一个虚拟的点对点的连 接，在实际中可以看成仅支持点对点连接的虚拟接口，这个接口提供了一条通路使封装的数据报 能够在这个通路上传输，并且在一个Tunnel的两端分别对数据报进行封装及解封装。
目的地址：202.38.163.1/24
操作步骤
配置USG_A。 1. 将接口加入安全区域，并配置域间包过滤，以保证网络基本通信正常，具体步骤略。 2. 配置USG_A的接口IP地址。
a. 选择“系统 > 网络”。
b. 单击三层接口列表中GigabitEthernet 0/0/1对应的 ，显示“修改 GigabitEthernet”界面。配置如下：
图2 新建Tunnel接口
d. 单击“应用”。 e. 在“新建Tunnel接口”界面中，配置Tunnel接口的各项参数，如图3所示。
图3 配置Tunnel 1接口
f. 单击“应用”。
4. 配置从USG_A经过Tunnel 1接口到网络B的静态路由。
a. 选择“路由 > 静态路由”。
b. 在“静态路由列表”界面，单击 图4。 图4 配置到网络B的静态路由一
安全机制
校验和的验证
校验和的验证是指对封装的报文进行端到端校验。
RFC 1701中规定：如果GRE报文头中的C位置1，则发送方将根据GRE头及Payload信息计算校 验和，在报文头的Checksum字段的位置插入校验和，将包含校验和的报文发送给对端。接 收方对接收到的报文计算校验和，并与报文中的校验和进行比较。如果计算出来的校验和 与报文中的校验和一致，则对报文进一步处理，否则丢弃报文。
图5 新建Tunnel接口
d. 单击“应用”。 e. 在“新建Tunnel接口”界面中，配置Tunnel接口的各项参数，如图6所示。
图6 配置GRE封装Tunnel 1接口
file:///C:/Users/的小攤/AppData/Local/Temp/~hhDAB2.htm
典型应用
扩大跳数受限的网络工作范围
图2 扩大跳数受限的网络工作范围示意图
file:///C:/Users/的小攤/AppData/Local/Temp/~hhDAB2.htm
2014/1/17
配置GRE
页码，3/9
如图2所示，网络运行IP协议，假设IP协议限制的跳数为255。如果两台PC之间的跳数超过255， 它们将无法通信。在网络中使用隧道（Tunnel）可以隐藏一部分跳数，从而扩大网络的工作范 围。
参数含义
参数值
接口的IP地址、掩码。 参数含义
点分十进制格式。 参数值
file:///C:/Users/的小攤/AppData/Local/Temp/~hhDAB2.htm
2014/1/17
配置GRE
页码，5/9
源IP地址 接口 目的IP地址
目的虚拟防火墙 隧道识别关键字
开启隧道校验
配置Tunnel接口的源端地址 方式。