GRE VPN配置实战案例详解，从理论到部署的完整指南-半仙VPN下载-VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN

在当今企业网络架构中，虚拟专用网络（VPN）已成为连接远程站点、分支机构和移动员工的核心技术之一，通用路由封装（GRE, Generic Routing Encapsulation）因其简单、灵活且支持多协议传输的特性，被广泛用于构建点对点或点对多点的隧道通信，本文将通过一个真实场景的配置案例，详细讲解如何使用Cisco IOS设备搭建GRE over IPsec的复合型VPN隧道,帮助网络工程师快速掌握GRE配置的关键步骤与常见问题排查技巧。

【案例背景】
某公司总部位于北京，有两个分支机构分别在深圳和上海，由于业务需求，需要实现深圳与上海之间的私有网络互通，同时确保数据传输的安全性，由于两地之间存在公网IP地址，但不支持直接路由，因此采用GRE隧道 + IPsec加密的方式建立安全隧道。

【设备环境】

总部路由器（R1）：接口G0/0（公网IP 203.0.113.1），G0/1（内网IP 192.168.1.1）
分支深圳路由器（R2）：接口G0/0（公网IP 203.0.113.2），G0/1（内网IP 192.168.2.1）
分支上海路由器（R3）：接口G0/0（公网IP 203.0.113.3），G0/1（内网IP 192.168.3.1）

目标：在深圳（R2）和上海（R3）之间建立GRE隧道，使两个分支机构能互相访问对方内网,并通过IPsec保护隧道流量。

【配置步骤】

GRE隧道接口配置（在R2和R3上）
在深圳路由器R2上创建GRE隧道接口,指向上海路由器R3的公网IP：

interface Tunnel0
 ip address 10.0.0.1 255.255.255.252
 tunnel source GigabitEthernet0/0
 tunnel destination 203.0.113.3

同理,在上海路由器R3上配置：

interface Tunnel0
 ip address 10.0.0.2 255.255.255.252
 tunnel source GigabitEthernet0/0
 tunnel destination 203.0.113.2

静态路由配置
在R2上添加指向上海内网的静态路由：
```
ip route 192.168.3.0 255.255.255.0 Tunnel0
```
在R3上添加指向深圳内网的静态路由：
```
ip route 192.168.2.0 255.255.255.0 Tunnel0
```

IPsec配置（IKEv1）
在R2和R3上配置IPsec策略,保护GRE隧道流量：

crypto isakmp policy 10
 encryption aes
 hash sha
 authentication pre-share
 group 2
crypto isakmp key mysecretkey address 203.0.113.3
crypto ipsec transform-set MYTRANS esp-aes esp-sha-hmac
crypto map MYMAP 10 ipsec-isakmp
 set peer 203.0.113.3
 set transform-set MYTRANS
 match address 100

注意：ACL 100需允许GRE流量（协议47）通过。

应用crypto map到Tunnel接口
在R2和R3的Tunnel0接口上绑定crypto map：
```
interface Tunnel0
 crypto map MYMAP
```
验证与排错
使用以下命令检查隧道状态：
- show ip interface brief 确认Tunnel0为up/up
- show crypto session 查看IPsec会话是否建立成功
- ping 10.0.0.2 测试隧道连通性
- debug crypto ipsec 可实时查看IPsec协商过程