别再死记命令了！用Wireshark抓包带你彻底搞懂华三GRE VPN的封装原理
用Wireshark透视华三GRE VPN：从报文封装到OSPF隧道实战
当你在华三设备上成功配置了GRE隧道，看着两端PC终于能够互通时，是否曾好奇过——那些原本只能在局域网中传输的数据包，究竟是如何穿越复杂的公网到达对端的？今天我们就用Wireshark这把"手术刀"，解剖GRE VPN的完整通信过程。
1. GRE隧道的工作原理与报文结构
GRE（通用路由封装协议）就像是一个神奇的快递包装工。想象一下，你有一封写着"财务部亲启"的机密信件（原始IP报文），但公司规定内部信件不能直接通过外部快递发送。这时GRE会做三件事：
- 给信件套上一个标准快递信封（GRE头部）
- 在快递信封外写上收发件人地址（公网IP头部）
- 将整个包裹交给快递公司（互联网）运输
关键字段解析（以华三设备典型配置为例）：
| 封装层级 | 字段示例 | 作用说明 |
|---|---|---|
| 外层IP头 | Src:202.101.12.1 Dst:202.101.23.3 | 公网路由可达性保障 |
| GRE头部 | Protocol Type:0x0800 | 标识内层协议类型 |
| 内层IP头 | Src:192.168.10.1 Dst:192.168.20.1 | 原始私网通信地址 |
| 有效载荷 | OSPF Hello/Data | 实际传输的业务数据 |
典型报文结构： [ 外层IP头 ][ GRE头 ][ 内层IP头 ][ 传输层头 ][ 应用数据 ]注意：GRE本身不提供加密功能，若需要安全传输需结合IPsec等加密技术
2. 实验环境搭建与关键配置
我们需要准备以下实验环境：
- 华三路由器三台（R1、R2、R3）
- 终端设备两台（PC1、PC2）
- Wireshark抓包软件
- 网络拓扑模拟器（如HCL）
核心配置要点：
- 公网接口基础IP配置（确保路由可达）
- Tunnel接口创建与参数设置：
interface Tunnel13 mode gre ip address 13.13.13.1 255.255.255.0 source 202.101.12.1 destination 202.101.23.3 - OSPF路由发布（使私网路由通过隧道传递）
3. Wireshark抓包实战分析
在R1的G0/0接口启动抓包，观察隧道建立前后的变化：
场景1：隧道建立前
- 只有普通的公网ICMP探测报文
- OSPF Hello报文无法穿越（目的地址是私网IP）
场景2：隧道建立后
- 原始报文变化：
Frame 1 (原始ICMP请求): Ethernet II > IPv4 > ICMP Src:192.168.10.1 Dst:192.168.20.1 Frame 2 (GRE封装后): Ethernet II > IPv4 > GRE > IPv4 > ICMP Outer Src:202.101.12.1 Outer Dst:202.101.23.3 Inner Src:192.168.10.1 Inner Dst:192.168.20.1
关键对比指标：
| 特征项 | 原始报文 | GRE封装后 |
|---|---|---|
| 报文长度 | 74字节 | 94字节 |
| 生存时间(TTL) | 64 | 255 |
| 可路由性 | 仅限私网 | 可跨公网传输 |
| 协议标识 | 0x01(ICMP) | 0x2F(GRE) |
4. OSPF在GRE隧道中的特殊表现
当OSPF运行在GRE隧道上时，有几个有趣的现象：
邻居发现机制：
- Hello报文被双重封装
- 实际传输时表现为单播而非组播
MTU问题处理：
interface Tunnel13 tcp mss 1200 # 调整TCP最大分段大小路由收敛特征：
- 隧道接口状态影响OSPF邻居状态
- 路由更新同样经过GRE封装
提示：在华三设备上使用
display ospf peer命令时，显示的邻居地址是Tunnel接口的IP而非物理接口IP
5. 典型故障排查思路
当GRE隧道工作异常时，可以按照以下步骤排查：
基础连通性检查
ping -a 202.101.12.1 202.101.23.3隧道状态验证
display interface Tunnel13抓包分析要点：
- 外层IP头是否完整
- GRE协议类型字段是否为0x0800
- 内层IP头是否被正确保护
路由表检查
display ip routing-table 192.168.20.0
6. 性能优化与高级应用
对于需要高质量传输的场景，可以考虑：
QoS策略应用：
qos policy GRE-QoS classifier GRE-class if-match dscp af11 behavior GRE-behav queue ef bandwidth 30%结合IPsec加密：
ipsec profile GRE-IPSEC transform-set ESP-3DES-SHA sa duration time-based 3600 interface Tunnel13 tunnel protection ipsec profile GRE-IPSEC多链路负载均衡：
interface Tunnel13 gre key 100 interface Tunnel14 gre key 200
在实际项目中，我曾遇到一个案例：某企业分支机构通过GRE隧道连接总部时视频会议卡顿。通过Wireshark分析发现，问题根源在于默认MTU设置导致分片。调整隧道接口MTU后，问题立即解决。