在当今企业网络架构中，站点间安全、稳定的数据传输至关重要，GRE（Generic Routing Encapsulation）作为一种经典的隧道协议，常用于构建点对点的虚拟专用网络（VPN），尤其适用于 Cisco 设备之间的互联，本文将详细介绍如何在 Cisco 路由器上配置 GRE 隧道，并结合 IPsec 实现加密保护,从而打造一个既可靠又安全的远程连接方案。
我们明确 GRE 的核心作用：它允许将一种网络层协议（如 IPv4）封装进另一种协议（如 IP）中，从而实现跨公网或不同子网的透明通信，GRE 本身不提供加密功能，因此通常与 IPsec 结合使用,以保障数据隐私和完整性。
基础环境准备
假设我们有两台 Cisco 路由器（Router A 和 Router B），分别位于不同地理位置，通过公网互连，我们需要在它们之间建立 GRE 隧道，使两个私有网络（如 192.168.10.0/24 和 192.168.20.0/24）能够像在同一局域网中一样通信。
GRE 隧道配置步骤
-
配置物理接口 IP 地址
在两台路由器上，为连接公网的接口分配公有 IP 地址（Router A 的 Gi0/0: 203.0.113.10/24，Router B 的 Gi0/0: 203.0.113.20/24）。 -
创建 GRE 接口并指定隧道源和目的地址
RouterA(config)# interface Tunnel 0 RouterA(config-if)# ip address 172.16.1.1 255.255.255.0 RouterA(config-if)# tunnel source GigabitEthernet0/0 RouterA(config-if)# tunnel destination 203.0.113.20
同理，在 Router B 上配置：
RouterB(config)# interface Tunnel 0 RouterB(config-if)# ip address 172.16.1.2 255.255.255.0 RouterB(config-if)# tunnel source GigabitEthernet0/0 RouterB(config-if)# tunnel destination 203.0.113.10
-
启用路由协议（如 OSPF 或静态路由）
为了让两个私有网络能互通，需在 GRE 接口上运行动态路由协议，配置 OSPF：RouterA(config)# router ospf 1 RouterA(config-router)# network 192.168.10.0 0.0.0.255 area 0 RouterA(config-router)# network 172.16.1.0 0.0.0.255 area 0
Router B 同理配置对应网络。
GRE 隧道已建立，但数据仍以明文传输,存在安全隐患。
集成 IPsec 加密增强安全性
为防止中间人攻击和数据泄露，必须为 GRE 隧道添加 IPsec 安全策略：
-
定义访问控制列表（ACL）
RouterA(config)# access-list 101 permit ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255
-
配置 IPsec transform set
RouterA(config)# crypto ipsec transform-set MYSET esp-aes esp-sha-hmac
-
创建 crypto map 并绑定到接口
RouterA(config)# crypto map MYMAP 10 ipsec-isakmp RouterA(config-crypto-map)# set peer 203.0.113.20 RouterA(config-crypto-map)# set transform-set MYSET RouterA(config-crypto-map)# match address 101 RouterA(config)# interface Tunnel 0 RouterA(config-if)# crypto map MYMAP
-
启动 ISAKMP（IKE）协商
RouterA(config)# crypto isakmp policy 10 RouterA(config-isakmp)# encryption aes RouterA(config-isakmp)# hash sha RouterA(config-isakmp)# authentication pre-share RouterA(config-isakmp)# group 2 RouterA(config)# crypto isakmp key mysecretkey address 203.0.113.20
验证与排错
- 使用
show crypto session查看 IPsec SA 是否建立成功。 - 使用
ping 172.16.1.2测试 GRE 隧道连通性。 - 使用
debug crypto ipsec可排查 IKE 协商失败问题。
GRE + IPsec 是企业级广域网互联的经典组合，通过本文详细配置流程，网络工程师可快速搭建一个高可用、安全的 Cisco GRE 隧道，实际部署时建议结合 NTP、Syslog 等运维工具进行监控与日志审计，确保长期稳定运行，掌握这一技能，对于从事网络规划、SD-WAN 或云迁移项目的技术人员而言,具有重要实践价值。
VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN
