华为通用路由封装协议GRE介绍（二）

华为通用路由封装协议GRE介绍（一）：http://www.023wg.com/vpn/390.html

6、GRE应用场景

1、多协议本地网可以通过GRE隧道传输

图1 多协议本地网通过GRE隧道传输

如上图1所示，Term1和Term2是运行IPv6的本地网，Term3和Term4是运行IP的本地网，不同地域的子网间需要通过公共的IP网络互通。

通过在Router_1和Router_2之间采用GRE协议封装的隧道，Term1和Term2、Term3和Term4可以互不影响地进行通信。

2、通过GRE扩大跳数受限的网络工作范围

图1 扩大网络工作范围

在上图1中，网络运行IP协议，假设IP协议限制跳数为255。如果两台PC之间的跳数超过255，它们将无法通信。在网络中选取两台设备建立GRE隧道，可以隐藏设备之间的跳数，从而扩大网络的工作范围。

例如，RIP路由的跳数为16时表示路由不可达。此时，可以在两台设备上建立GRE隧道实现逻辑直连，使经过GRE隧道的RIP路由跳数减至16以下，保证路由可达。

3、GRE与IPSec结合，保护组播数据

GRE可以封装组播数据并在GRE隧道中传输。

图1 GRE over IPSec隧道应用

如上图1所示，对于组播数据需要在IPSec隧道中传输的情况，可以先建立GRE隧道，对组播数据进行GRE封装，再对封装后的报文进行IPSec加密，从而实现组播数据在IPSec隧道中的加密传输。

4、通过GRE隧道组建L2VPN和L3VPN

通常，MPLS VPN骨干网通常使用LSP作为公网隧道。如果骨干网的核心设备（P设备）不具备MPLS功能，而边缘设备（PE设备）具备MPLS功能，那么骨干网就不能使用LSP作为公网隧道。此时，骨干网可以使用GRE隧道替代LSP，从而在骨干网提供三层或二层VPN解决方案。

LDP over GRE技术通过在GRE隧道接口上使能MPLS LDP，使用GRE隧道承载MPLS LDP报文，建立LDP LSP。

图1 LDP over GRE应用于企业L3VPN或L2VPN组网（P设备都不支持MPLS）

如上图1，企业在PE1和PE2之间部署L2VPN或者L3VPN业务，由于骨干网设备可能未启用或不支持MPLS，需要在PE1和PE2之间建立一条跨越GRE隧道的LDP LSP。

图2 LDP over GRE应用于企业L3VPN或L2VPN组网（部分P设备不支持MPLS）

如上图2，骨干网P2设备支持MPLS，但P1设备不支持，此时可以通过在PE1和P2之间建立GRE隧道，从而建立一条跨越GRE隧道的LDP LSP。

5、CE采用GRE隧道接入MPLS VPN

基于MPLS骨干网的VPN服务可以给客户提供比传统IP VPN更优质的服务。因此，MPLS VPN技术是运营商选择的主流VPN技术。但是Internet是基于IP技术的，且基于IP技术的骨干网还是大量存在的。

在MPLS VPN中，为了让用户端设备CE（Customer Edge）接入VPN中往往需要CE与MPLS骨干网的PE（Provider Edge）设备之间有直接的物理链路，即在同一个网络中。在这样的组网中，需要在PE上将VPN与PE到CE的物理接口进行关联。

但实际组网中，并非所有的CE和PE都能用物理链路直接相连。例如，很多已经连接到Internet或基于IP技术的骨干网上的机构，其CE和PE设备之间地理位置上相距甚远，不可能直接接入到MPLS骨干网的PE设备上。这样就无法通过Internet或者是IP骨干网直接访问MPLS VPN内部的站点。

图1 CE使用基于IP技术的骨干网接入MPLS VPN骨干网

为了让CE也能接入到MPLS VPN中，可以考虑在CE和PE之间创建“逻辑上的直连”。也就是说，可以在CE和PE间利用公共网络或某私有网络相连，并在CE与PE之间创建GRE隧道。这样，可以看成CE和PE直连。在PE上将VPN与PE-CE之间的接口进行关联时，就可以把GRE隧道当作一个物理接口，在这个接口上进行VPN关联。

采用GRE隧道接入MPLS VPN时，GRE的实现模式可按以下三种情形来划分：

5.1、穿过公网的GRE：

GRE隧道关联某个VPN实例，GRE隧道的源地址和目的地址为公网地址，不属于VPN实例。

在这种组网中，CE和PE都需要有属于公网的接口，该接口需要使用公网IP地址。CE的公网路由表中需要有到PE的路由，PE公网路由表也需要有到CE的路由。

图2 穿越公网的GRE示意图

5.2、穿越VPN的GRE：

GRE隧道关联某个VPN实例（例如VPN1），GRE隧道的源接口绑定了另一个VPN实例（例如VPN2），即GRE隧道需要穿越VPN2。

与穿过公网的GRE相比，穿越VPN的GRE不同点在于CE不是通过公共网络与PE互连，而是通过另一个VPN（如VPN2）与PE互连。也就是说，CE上流向PE的私网数据的出接口及PE上返回该CE的私网数据流量的出接口都属于VPN2。

图3 穿越VPN的GRE示意图 

例如上图3中，PE1和PE2是一级运营商的MPLS骨干网边界设备。VPN2是属于二级运营商的一个VPN。CE1和CE2是属于用户的设备。

为了在此网络环境中部署一个基于MPLS网络的VPN（如VPN1），可以在PE1和CE1之间搭建一个穿越VPN2的GRE，在逻辑上使CE1与PE1直连。

5.3、私有网络的GRE：

GRE隧道关联某个VPN实例，而GRE隧道的源接口（或源地址）和目的地址也属于该VPN实例。

在这种组网中，GRE隧道的源和目的地址都属于私有网络，在实际的应用中在私有网络里再创建一个隧道到PE，没有什么价值，因此不推荐使用。

图4 私有网络的GRE示意图

上图4中，不如直接使用R1作为CE设备。

华为GRE配置教程：http://www.023wg.com/vpn/392.html