在现代企业网络架构中,GRE（Generic Routing Encapsulation）是一种广泛使用的隧道协议，特别适用于构建点对点或站点到站点的虚拟专用网络（VPN），它不提供加密功能，但因其轻量级和兼容性强的特点，常与其他安全协议（如IPSec）结合使用，实现数据的安全传输，本文将通过一个真实场景的配置案例，详细介绍如何在Cisco路由器上完成GRE over IPSec的配置，帮助网络工程师快速掌握GRE VPN的核心要点。
假设某公司总部与分支机构之间需要建立稳定的私有网络连接,两地分别位于不同的物理位置，且网络环境各异，总部路由器（R1）运行Cisco IOS 15.2，分支机构路由器（R2）为同一版本，目标是通过GRE隧道实现两个子网（192.168.1.0/24 和 192.168.2.0/24）之间的互通，并确保通信过程加密安全。
第一步：基础网络规划
- R1 接口 GigabitEthernet0/0 的公网IP为 203.0.113.10，连接至互联网；
- R2 接口 GigabitEthernet0/0 的公网IP为 198.51.100.20；
- GRE隧道接口IP地址分别为：R1: 172.16.0.1 /30，R2: 172.16.0.2 /30；
- 隧道源地址设为各自公网接口IP,目的地址为对方公网IP。
第二步：GRE隧道配置
在R1上执行以下命令：
interface Tunnel0
ip address 172.16.0.1 255.255.255.252
tunnel source GigabitEthernet0/0
tunnel destination 198.51.100.20在R2上对应配置：
interface Tunnel0
ip address 172.16.0.2 255.255.255.252
tunnel source GigabitEthernet0/0
tunnel destination 203.0.113.10第三步：IPSec加密配置（关键步骤）
由于GRE本身无加密能力，需启用IPSec封装，首先定义访问控制列表（ACL），允许受保护的数据流：
ip access-list extended GRE-PROTECTION
permit ip 192.168.1.0 0.0.0.255 192.168.2.0 0.0.0.255接着创建Crypto ISAKMP策略和密钥：
crypto isakmp policy 10
encryption aes 256
hash sha
authentication pre-share
group 14
crypto isakmp key mysecretkey address 198.51.100.20再配置IPSec transform set：
crypto ipsec transform-set MY-TRANSFORM esp-aes 256 esp-sha-hmac
mode transport绑定ISAKMP策略与transform set，并应用到Tunnel接口：
crypto map MY-CRYPTO-MAP 10 ipsec-isakmp
set peer 198.51.100.20
set transform-set MY-TRANSFORM
match address GRE-PROTECTION
interface Tunnel0
crypto map MY-CRYPTO-MAP第四步：验证与排错
配置完成后，在R1上执行 show crypto session 查看IPSec会话状态，应显示“ACTIVE”；用 ping 172.16.0.2 测试隧道连通性；最终在R1 ping 分支机构内网地址（如192.168.2.100），若成功则表示GRE+IPSec隧道已正常工作。
此案例展示了GRE作为隧道载体、IPSec作为安全机制的典型组合，适用于跨公网的稳定互联需求，值得注意的是，GRE配置简单灵活，但必须配合加密协议才能用于生产环境，实际部署时还需考虑MTU调整、路由协议注入（如OSPF）、QoS策略等细节，确保性能与可靠性兼顾。
通过本案例的学习,网络工程师不仅能掌握GRE配置流程，还能理解其在复杂网络中的价值——它是构建多协议、多拓扑企业广域网的基础技术之一。
VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN
