IPsec协议作为目前最为常见的VPN隧道协议，其强大的加密与验证功能保障了私网数据在公网传递时通信的安全。由于IPsec VPN隧道不支持对多播和广播数据包的传递，需要接合GRE隧道技术，GRE隧道将多播和广播数据包封装成单播包，再由IPsec技术提供数据传输的加密和验证。

GRE over IPsec VPN配置应用

如图1所示，使用GRE over IPsec VPN技术实现单位总部局域网中主机c1和分部局域网中主机c2间的通信，通过路由器模拟在Internet中实现数据传输的安全性。这里使用锐捷RSR20-18路由器，系统版本为 10.3(5b6)p2。(为 方 便实验验证，主机c1和c2分别在路由器上用loopback0口来代替做测试。)

1.路由器RA配置

图1 GRE over IPsec案例应用

//只要建了tunnel隧道，默认封装模式就是GRE，隧道源和目的地址分别是两端路由器物理口的公网IP地址。

RA(config)#ip route 0.0.0.0 0.0.0.0 tunnel 0//发往目标主机的路由发到tunnel口就是对数据包进行GRE封装，GRE封装后生成的新IP包的报头IP地址就是tunnel隧道内定义的源地址和目的地址。

//定义IKE的第一阶段，这里采用预共享密钥的认证方式，预共享密码为zt，其余ISAKMP安全策略为默认。

//定义IKE的第二阶段，定义转换集test保护传输数据流。由于IPsec中ESP方式加密后生成的新IP报头地址和GRE封装后的报头IP地址都是隧道的源地址和目的地址，因此这里选择传输模式，可以省略掉GRE报头中的IP地址，相较tunnel模式而言，每个数据包可以节省20字节的IP头部信息，提升网络传输效率。要的区别之一就在于感兴趣流量定义不同，GRE over IPSec VPN中顺序：先路由（由于下一跳是tunnel口，所以就要先做GRE封装）；感兴趣流量再撞击map，这时GRE封装后的新IP报头是公网地址，报头中目标IP变 为 200.1.1.2，源 IP为200.1.1.1，所以感兴趣ACL中源地址和目的地址要用公网端口IP地址。……