二、GRE（Generic Routing Encapsulation，通用路由封装协议）

2 GRE

2.1 概念

GRE（Generic Routing Encapsulation，通用路由封装协议），是一种传统的隧道协议技术。GRE对某些网络层协议的数据报进行封装，使这些被封装的数据报能够在IPv4网络中传输。

2.2 GRE的封装/解封装

GRE的封装可以细分为两步：
（1）在私网原始报文的前面添加GRE头；
（2）在GRE头前面添加新的IP头。
在防火墙上，封装操作通过一个Tunnel（隧道）接口实现。报文进入Tunnel接口后，防火墙就会为报文封装GRE头和新IP头。防火墙对私网报文进行封装、解封及转发的全过程如图1所示。

2.3 GRE的安全机制

恶意用户伪装成FW_A向FW_B发送GRE报文，则伪装者可访问FW_B的资源，为了避免这种情况的发生，GRE配置了以下安全机制。

2.3.1 关键字验证

防火墙只处理与自身建立连接GRE隧道的对端设备发送的GRE报文，GRE头中的“Key”字段用来保证这一功能的实现。只有两端设置的Key字段完全一直才能建立隧道。

2.3.2校验和验证

虽然GRE隧道两端防火墙实现了通信，但是报文在Internet传输途中可能被篡改，为保证报文传输的完整性，防火墙在封装GRE头时，将GRE头中的Checksum位的值置1，然后根据报文信息计算校验和，并将校验和填到Checksum字段中。当对端收到报文也会计算校验和并与报文中携带的校验和进行比较，一致则接受，否则丢弃。

2.3.3 Keepalive

当一端防火墙出现问题时，另一端发送的探测报文无法检测到对端状态，则会关闭隧道，这样避免了对端不可达而造成的数据黑洞。

2.4 GRE的缺陷

没有加密功能，通常配合IPSec使用，即GRE over IPSec技术