GRE 隧道是什么？它和 IPSec 有什么关系？

简化版

GRE（Generic Routing Encapsulation，通用路由封装）是一种通用的三层隧道协议，能把几乎任意网络层协议的数据包封装进 IP 包里，穿越中间网络。它的特点是**「通用、简单，但不加密」——只负责封装转发，不提供机密性。所以它和 IPSec 的关系是互补**：GRE 负责「能封装什么」，IPSec 负责「安全」。单用 GRE：能穿越、能承载多种协议、还能传组播/路由协议（如 OSPF），但内容是明文；单用 IPSec：能加密，但标准 IPSec 不能直接传组播和路由协议。于是经典组合是 GRE over IPSec——先用 GRE 封装（获得承载组播/路由协议的能力），再用 IPSec 加密（获得安全），既通用又安全，是企业站点互联（尤其要跑动态路由协议）的常见方案。

详细版

一、GRE 是什么

GRE 是一个封装协议：在原始包外面加一个 GRE 头 + 新的 IP 头，把原始包整个当载荷送过公网。

原始包：       [原IP头 | 数据]
GRE 封装后：   [新IP头 | GRE头 | (原IP头 | 数据) ]
                  ↑ 外层新IP头是隧道两端地址，中间网络按它转发

特点：

通用：能封装多种网络层协议（IPv4、IPv6，甚至非 IP 协议），不限于某一种。
简单：开销小，配置直接。
不加密：GRE 只封装、不提供加密和认证，载荷是明文。
能传组播/路由协议：GRE 隧道对上层像一条「点到点链路」，可以跑 OSPF、EIGRP 等动态路由协议和组播流量。

二、GRE 和 IPSec 的分工

	GRE	IPSec
加密	❌ 不加密	✅ 加密
承载组播/路由协议	✅ 可以	❌ 标准 IPSec 不能直接传
承载多种协议	✅ 通用	主要针对 IP
定位	「怎么封装、封装什么」	「怎么保证安全」

两者能力互补，所以常组合使用。

三、经典组合：GRE over IPSec

先 GRE 封装、再 IPSec 加密：

[新IP头(IPSec) | ESP | 加密{ GRE头 | 原始包 } ]

GRE 提供：承载组播、动态路由协议、多协议的能力。
IPSec 提供：加密、完整性、认证。

结果：一条既能跑路由协议、又安全加密的隧道。企业分支互联要跑 OSPF 之类动态路由时，这是标准做法。

完整版教学

一、GRE 的定位：一个「通用」的隧道封装

GRE 名字里的「Generic（通用）」是关键。很多隧道协议只能封装特定东西，而 GRE 设计目标是通用——能把各种网络层协议的包都封装进 IP 里传输。

它的做法很朴素：给原始包套一个 GRE 头，再套一个外层 IP 头。外层 IP 头的地址是隧道两端（两台路由器/网关）的地址，中间网络按外层 IP 头转发，完全不管里面封装的是什么。到对端剥掉外层 IP 头和 GRE 头，还原原始包。

因为「里面装什么」对 GRE 是透明的，所以它能承载 IPv4、IPv6、乃至一些非 IP 的协议——这就是「通用」。

二、GRE 的独特价值：能传组播和路由协议

GRE 有个 IPSec 不具备的重要能力：GRE 隧道在两端设备看来，就像一条普通的「点对点虚拟链路」。既然是一条链路，就可以在上面跑：

动态路由协议（OSPF、EIGRP、RIP 等）：路由协议需要发组播/广播来交换路由信息。
组播流量（Multicast）：如视频组播、某些应用。

而标准的 IPSec 隧道是「点到点加密单播」的，不能直接承载组播和广播，因此路由协议在纯 IPSec 隧道上跑不起来。这在企业组网里是个大问题——分支多了，靠手工静态路由维护极其痛苦，大家都想用动态路由协议自动收敛。

所以 GRE 的价值就凸显了：它能承载路由协议和组播，让隧道两端能像直连一样交换路由。

三、GRE 的致命短板：不加密

GRE 只封装、不加密。隧道里的原始包是明文，任何能截获外层包的人，剥开 GRE 头就能看到内部内容。所以：

在可信的内部网络里用 GRE（如机房内部、专线之上）问题不大。
但要穿越公网（不可信网络），纯 GRE 不安全，内容可能被窃听、篡改。

这就需要给它「加把锁」——IPSec。

四、IPSec 的短板：不能直接传组播/路由协议

反过来看 IPSec：它擅长加密、认证、保证安全，但（标准实现）只处理点到点的单播 IP 流量，不能直接承载组播和广播，因此路由协议在纯 IPSec 隧道上用不了。

于是两者的短板恰好被对方的长板补上：

GRE 缺安全 ← IPSec 补。
IPSec 缺「承载组播/路由协议」的能力 ← GRE 补。

五、GRE over IPSec：强强联合

把两者叠起来用，就是 GRE over IPSec：先用 GRE 封装原始流量，再把 GRE 包交给 IPSec 加密。

原始包
  → GRE 封装（得到能承载组播/路由协议的隧道包）
     → IPSec（ESP）加密封装（获得安全）
        → 穿越公网

得到的隧道同时具备：

GRE 的能力：承载动态路由协议、组播、多协议。
IPSec 的安全：加密、完整性、认证。

这是企业站点到站点 VPN、尤其需要跑动态路由（OSPF/EIGRP） 时的经典、标准方案。（也有 IPSec over GRE 的顺序，工程上 GRE over IPSec 更常见。）

记忆：GRE 管「装得下、传得了路由协议」，IPSec 管「加密安全」，合起来就是又通用又安全的隧道。

六、GRE 的其他注意点

MTU 问题：GRE 加了额外包头（GRE 头 + 外层 IP 头），如果再叠 IPSec 头，总长度更大，容易超过 MTU 导致分片/丢包，通常需要调整隧道接口的 MTU 或 TCP MSS（MSS clamping）。这是 GRE/IPSec 隧道常见的排障点。
无状态、无可靠性：GRE 本身不保证送达、不保证顺序（可靠性交给上层，如 TCP）。
Keepalive：GRE 隧道可配 keepalive 来检测对端是否可达（因为隧道 up 不代表对端真的通）。

七、常见误区与追问

考点	正确口径
GRE	通用路由封装，把三层报文封进另一层 IP
优点	简单、支持多种三层协议和动态路由
缺点	不提供加密认证，常需配合 IPsec

inner packet: 10.1.0.0/24 -> 10.2.0.0/24
GRE encapsulation
outer IP: public A -> public B
receiver decapsulates and forwards inner packet

GRE 解决“怎么封装穿过去”，不解决“内容是否安全”。安全性通常交给 IPsec。

误区：GRE 自带加密。 GRE 只是封装协议，不提供加密、认证和完整性保护。
误区：GRE 只能传 IP。 GRE 设计上可封装多种网络层协议，常见用途是承载 IP 和路由协议。
误区：GRE 隧道不会影响 MTU。 外层 IP 和 GRE 头会增加开销，可能导致分片或需要调小 MSS。
追问：为什么 GRE 常配 IPsec？ GRE 提供隧道和多协议承载，IPsec 提供加密认证。
追问：GRE 适合什么场景？ 站点间互联、承载动态路由、跨公网连接私网网段。
追问：GRE 穿 NAT 有什么问题？ GRE 不是 TCP/UDP，没有端口，部分 NAT/防火墙处理不友好。

八、加强记忆

GRE 是通用的三层隧道封装协议：给原始包套 GRE 头 + 新 IP 头，能封装多种协议，还能像一条虚拟点对点链路一样承载组播和动态路由协议（OSPF 等）——但它不加密，载荷明文。IPSec 正相反：能加密，却不能直接传组播/路由协议。二者能力互补，于是经典组合 GRE over IPSec：GRE 提供承载路由协议的能力，IPSec 提供加密安全，是企业站点互联（要跑动态路由）的标准方案。注意 MTU 问题（包头叠加易分片）。核心一句：GRE 管「装得下、传得了路由」，IPSec 管「保安全」，合体既通用又安全。

简化版

详细版