GRE (RFC 2784, wcześniej opisany w RFC 1701) tworzy wirtualny interfejs tunnel, który zachowuje się jak punkt-punkt (point-to-point). Pakiety IP wchodzące do tunelu są opakowywane w nagłówek GRE + zewnętrzny nagłówek IP i wysyłane po fizycznej sieci transportowej do zdalnego końca tunelu, gdzie są rozpakowywane.

2. Topologia testowa i adresacja

Łączymy dwa routery (np. Cisco IOSv w GNS3 lub 2 Cisco 2911/4321). Za każdym routerem drugi port to podpięty PC (adres statyczny). Do testów używamy ping i traceroute.

Tabela adresacji – wszystko statycznie, zero DHCP, dla przejrzystości:

2.1. Jak czytać podane adresy – wyjaśnienie od podstaw

W tej konfiguracji są cztery osobne sieci IP, jak cztery osobne numeracje na czterech różnych „kablach”. Każda ma swój zakres adresów i każda służy do czegoś innego:

Co robi każdy z tych adresów w praktyce:

• 192.168.12.1 i 192.168.12.2 – adresy „kablowe” routerów (porty gi0/0). To po nich pakiety faktycznie płyną po fizycznym kablu. Używasz ich tylko w komendach tunnel source (skąd) i tunnel destination (dokąd).
• 10.10.10.1 i 10.10.10.2 – adresy „wirtualnych końców” tunelu (Tunnel0). One istnieją tylko wewnątrz tunelu GRE i służą do trasowania pakietów, które już weszły do tunelu.
• 10.0.0.1 i 20.0.0.1 – bramy domyślne komputerów. PC wysyła do bramy wszystko, co nie należy do jego lokalnej sieci.
• 10.0.0.10 i 20.0.0.10 – adresy samych komputerów. To między nimi ostatecznie musi zostać dostarczony pakiet.

3. Konfiguracja interfejsów fizycznych i PC

3.1. Router-A – adresy interfejsów

! wejście do trybu uprzywilejowanego i konfiguracji
Router> enable
Router# configure terminal
Router(config)# hostname Router-A
Router-A(config)#

! fizyczny link do Routera-B (underlay)
Router-A(config)# interface GigabitEthernet0/0
Router-A(config-if)# ip address 192.168.12.1 255.255.255.252
Router-A(config-if)# no shutdown

! sieć lokalna A – tutaj PC-A
Router-A(config-if)# interface GigabitEthernet0/1
Router-A(config-if)# ip address 10.0.0.1 255.255.255.0
Router-A(config-if)# no shutdown
Router-A(config-if)# exit
Router-A(config)#

3.2. Router-B – adresy interfejsów

! analogicznie na Routerze-B
Router> enable
Router# configure terminal
Router(config)# hostname Router-B
Router-B(config)#

! fizyczny link do Routera-A (underlay)
Router-B(config)# interface GigabitEthernet0/0
Router-B(config-if)# ip address 192.168.12.2 255.255.255.252
Router-B(config-if)# no shutdown

! sieć lokalna B – tutaj PC-B
Router-B(config-if)# interface GigabitEthernet0/1
Router-B(config-if)# ip address 20.0.0.1 255.255.255.0
Router-B(config-if)# no shutdown
Router-B(config-if)# exit
Router-B(config)#

3.3. PC-A i PC-B

Na obu komputerach ustawiamy statycznie adres. Przykład (Windows 10/11):

# PC-A
PS C:\> netsh interface ip set address name="Ethernet" static 10.0.0.10 255.255.255.0 10.0.0.1
PS C:\> ping 10.0.0.1
Odpowiedź z 10.0.0.1: bajtów=32 czas=1ms TTL=255
# PC-B
PS C:\> netsh interface ip set address name="Ethernet" static 20.0.0.10 255.255.255.0 20.0.0.1
PS C:\> ping 20.0.0.1
Odpowiedź z 20.0.0.1: bajtów=32 czas=1ms TTL=255

W GNS3/Cisco IOSv PC najprościej zastąpić routerem z wyłączonym routingiem (no ip routing) lub maszyną wirtualną – zasada jest ta sama: adres + brama. Na tym etapie PC-A powinien osiągnąć tylko bramę 10.0.0.1, a PC-B – 20.0.0.1. Sieci są jeszcze izolowane – nie mają do siebie trasy.

4. Konfiguracja tunelu GRE (Router A i B)

4.1. Router-A

Router-A(config)# interface Tunnel0
Router-A(config-if)# ip address 10.10.10.1 255.255.255.252
Router-A(config-if)# ip mtu 1476
! źródło tunelu = interfejs, na którym siedzi adres sieci gołej (underlay)
Router-A(config-if)# tunnel source GigabitEthernet0/0
! cel tunelu = adres IP zdalnego końca (zawsze adres underlay, nie overlay)
Router-A(config-if)# tunnel destination 192.168.12.2
! tryb domyślny, można pominąć (i tak jest ustawiany)
Router-A(config-if)# tunnel mode gre ip
! keepalive GRE (10 s / 3 próby) – wykryje przerwę w tunelu
Router-A(config-if)# keepalive 10 3
Router-A(config-if)# exit
Router-A(config)#

4.2. Router-B

Router-B(config)# interface Tunnel0
Router-B(config-if)# ip address 10.10.10.2 255.255.255.252
Router-B(config-if)# ip mtu 1476
! źródło i cel – lustrzanie do Routera-A
Router-B(config-if)# tunnel source GigabitEthernet0/0
Router-B(config-if)# tunnel destination 192.168.12.1
Router-B(config-if)# tunnel mode gre ip
Router-B(config-if)# keepalive 10 3
Router-B(config-if)# exit
Router-B(config)#

4.3. Weryfikacja tunelu

Router-A# show ip interface brief | include Tunnel|GigabitEthernet
Interface              IP-Address      OK? Method Status                Protocol
GigabitEthernet0/0     192.168.12.1    YES manual up                    up
GigabitEthernet0/1     10.0.0.1        YES manual up                    up
Tunnel0                10.10.10.1      YES manual up                    up

Router-A# show interfaces tunnel 0
Tunnel0 is up, line protocol is up
  Hardware is Tunnel
  Internet address is 10.10.10.1/30
  MTU 1476 bytes, BW 100 Kbit/sec, DLY 50000 usec,
     reliability 255/255, txload 1/255, rxload 1/255
  Encapsulation TUNNEL, loopback not set
  Keepalive set (10 sec), retries 3
  Tunnel source 192.168.12.1 (GigabitEthernet0/0), destination 192.168.12.2
  Tunnel protocol/transport GRE/IP, key disabled, sequencing disabled
  Checksumming of packets disabled, fast tunneling enabled
    5 packets input, 0 bytes, 0 no buffer
    5 packets output, 0 bytes, 1 underruns

Router-A# ping 10.10.10.2 source 10.10.10.1
Type escape sequence to abort.
Sending 5, 100-byte ICMP Echos to 10.10.10.2, timeout is 2 seconds:
!!!!!
Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/2 ms

5. Routing statyczny do sieci lokalnych

Tunel stoi, ale routery nie wiedzą jeszcze, jak dotrzeć do zdalnej sieci lokalnej. Dodajemy trasy statyczne przez interfejs tunelu (next-hop = zdalny koniec overlay):

! Router-A: jak dotrzeć do LAN-B (20.0.0.0/24)? Przez tunel, next-hop 10.10.10.2
Router-A(config)# ip route 20.0.0.0 255.255.255.0 10.10.10.2
Router-A(config)# end

! Router-B: jak dotrzeć do LAN-A (10.0.0.0/24)? Przez tunel, next-hop 10.10.10.1
Router-B(config)# ip route 10.0.0.0 255.255.255.0 10.10.10.1
Router-B(config)# end

Weryfikacja tablic routingu

Router-A# show ip route
Codes: L - local, C - connected, S - static, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2
       i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
       ia - IS-IS inter area, * - candidate default, U - per-user static route

Gateway of last resort is not set

      10.0.0.0/8 is variably subnetted, 3 subnets, 2 masks
C        10.0.0.0/24 is directly connected, GigabitEthernet0/1
L        10.0.0.1/32 is directly connected, GigabitEthernet0/1
C        10.10.10.0/30 is directly connected, Tunnel0
L        10.10.10.1/32 is directly connected, Tunnel0
      20.0.0.0/24 [1/0] via 10.10.10.2
S        20.0.0.0/24 [1/0] via 10.10.10.2
      192.168.12.0/24 is variably subnetted, 2 subnets, 2 masks
C        192.168.12.0/30 is directly connected, GigabitEthernet0/0
L        192.168.12.1/32 is directly connected, GigabitEthernet0/0

6. Weryfikacja połączenia – ping i traceroute z PC

6.1. Ping z PC-A do PC-B (przez tunel)

PS C:\> ping 20.0.0.10
Pingowanie 20.0.0.10 z 32 bajtami danych:
Odpowiedź z 20.0.0.10: bajtów=32 czas=2ms TTL=62
Odpowiedź z 20.0.0.10: bajtów=32 czas=2ms TTL=62
Odpowiedź z 20.0.0.10: bajtów=32 czas=2ms TTL=62
Odpowiedź z 20.0.0.10: bajtów=32 czas=2ms TTL=62

Statystyka pingowania dla 20.0.0.10:
    Pakiety: wysłane = 4, odebrane = 4, utracone = 0 (0% straty),
Przybliżony czas podróży w milisekundach:
    Minimalny = 1ms, maksymalny = 2ms, średni = 1ms

# traceroute pokazuje drogę przez tunel (overlay): brama LAN-A -> tun0 -> PC-B
PS C:\> tracert -d 20.0.0.10
Śledzenie trasy do 20.0.0.10 na maksymalnie 30 przeskoków:

  1    <1 ms    <1 ms    <1 ms  10.0.0.1
  2     1 ms     1 ms     1 ms  10.10.10.2
  3     1 ms     1 ms     1 ms  20.0.0.10

Ukończono śledzenie trasy.

Pierwszy przeskok to brama LAN-A (10.0.0.1, Router-A), drugi – zdalny koniec tunelu 10.10.10.2 (Router-B wysyła pakiet ICMP o przekroczonym TTL z interfejsu przychodzącego), trzeci – już sam PC-B. Adres 192.168.12.x nigdy nie pojawia się w śladzie, bo dla PC cała sieć fizyczna jest niewidoczna – to jest właśnie sens overlay.

6.2. Dowód, że ruch rzeczywiście idzie przez tunel (na routerze)

Router-A# show arp | include 10.10.10|192.168.12
              Internet Address      Physical Address      Type
192.168.12.2            0050.7966.45bb    ARPA   (sasiad w underlay)

! licznik pakietów GRE (protokół 47) na interfejsie fizycznym:
Router-A# show interfaces GigabitEthernet0/0 | include packets input|packets output
    1234 packets input, 98674 bytes, 0 no buffer
    1256 packets output, 100567 bytes, 0 underruns

! a tutaj ruch w overlay (przez tunel):
Router-A# show interfaces tunnel 0 | include packets input|packets output
    1234 packets input, 98794 bytes, 0 no buffer
    1255 packets output, 100212 bytes, 0 underruns

! szybkie sprawdzenie bieżącego ruchu:
Router-A# debug ip icmp
Router-A# ping 20.0.0.10 repeat 1
*Jun 12 04:05:07.701: ICMP: echo reply sent, src 10.0.0.1, dst 20.0.0.10
! – poszło z gi0/1 (src 10.0.0.1) do 20.0.0.10

7. MTU i clamp TCP MSS (kluczowa gotcha!)

Rozwiązania (na Routerze-A i Routerze-B):

! 1) mniejsze MTU na tunelu (patrz część 4 – ip mtu 1476 już ustawione)
Router-A(config)# interface Tunnel0
Router-A(config-if)# ip mtu 1476

! 2) clamp MSS dla TCP – ustawia max segment size w SYN na wejściu obu interfejsów fizycznych
Router-A(config-if)# interface GigabitEthernet0/1
Router-A(config-if)# ip tcp adjust-mss 1360
Router-A(config-if)# exit

! analogicznie na Routerze-B:
Router-B(config)# interface GigabitEthernet0/1
Router-B(config-if)# ip tcp adjust-mss 1360
Router-B(config-if)# exit

Weryfikacja MTU:

# ping z opcją "don't fragment" i rosnącym rozmiarem pakietu
C:\> ping -f -l 1472 20.0.0.10
Odpowiedź z 20.0.0.10: bajtów=1472 czas=2ms TTL=62     <-- OK, 1472+28=1500

C:\> ping -f -l 1473 20.0.0.10
Pakiet musi być pofragmentowany, ale został ustawiony flag DF.   <-- MTU przeciazone

# na routerze:
Router-A# ping 20.0.0.10 size 1472 df-bit
!!!!!    (gratulacje - MTU 1500 przechodzi bez fragmentacji)
Router-A# ping 20.0.0.10 size 1490 df-bit
.....
Success rate is 0 percent (0/5)   <-- efekt braku clampów? Sprawdź MSS!

8. (Opcjonalnie) OSPF przez tunel GRE

GRE przenosi pakiety multicast (np. adres 224.0.0.5 dla OSPF hello). Dzięki temu routery mogą tworzyć sąsiedztwo OSPF przez tunel i automatycznie wymieniać trasy do obu sieci lokalnych – bez tras statycznych z rozdziału 5.

! Router-A: usuwa trasy statyczne i uruchamia OSPF na interfejsach
Router-A(config)# no ip route 20.0.0.0 255.255.255.0 10.10.10.2
Router-A(config)# router ospf 1
Router-A(config-router)# network 10.0.0.1 0.0.0.0 area 0
Router-A(config-router)# network 10.10.10.1 0.0.0.0 area 0
Router-A(config-router)# exit

! Router-B
Router-B(config)# no ip route 10.0.0.0 255.255.255.0 10.10.10.1
Router-B(config)# router ospf 1
Router-B(config-router)# network 20.0.0.1 0.0.0.0 area 0
Router-B(config-router)# network 10.10.10.1 0.0.0.0 area 0
Router-B(config-router)# exit

! weryfikacja sąsiedztwa i tras
Router-A# show ip ospf neighbor
Neighbor ID     Pri   State           Dead Time   Address         Interface
192.168.12.2     1     FULL/DR         00:00:36    10.10.10.2      Tunnel0
Router-A# show ip route ospf
      20.0.0.0/24 [110/1001] via 10.10.10.2, Tunnel0

9. Diagnostyka najczęstszych problemów

Komendy diagnostyczne w pigułce

show ip interface brief        ! status wszystkich interfejsów
show interfaces tunnel 0       ! szczegóły tunelu: source/dest, MTU, keepalive, liczniki
show ip route                  ! tablica routingu (trasy C/S/O)
show ip ospf neighbor          ! sąsiedzi OSPF (gdy używasz rozdz. 8)
ping 192.168.12.2 source 192.168.12.1  ! underlay działa?
ping 10.10.10.2 source 10.10.10.1      ! overlay działa?
debug tunnel                   ! włączenie podglądu pakietów tunelu (ostrożnie – log)
debug ip icmp                 ! potwierdzenie odpowiedzi ICMP
term monitor                  ! wyświetlanie komunikatów debug na konsoli

10. Podsumowanie

Z łączem GRE między dwoma routerami Cisco (z PC za każdym routerem) mamy:

1. Adresy fizyczne obu routerów (underlay) – rozdział 3.
2. Wirtualny tunel GRE tunnel0 z adresami overlay 10.10.10.1/30 i 10.10.10.2/30 – rozdział 4.
3. Trasy statyczne do LAN: ip route 20.0.0.0/24 via 10.10.10.2 i odwrotnie (albo OSPF przez tunel – rozdział 8).
4. Zweryfikowany ping/traceroute PC-A ↔ PC-B przez tunel – rozdział 6.
5. Poprawny MTU (1476) i clamp MSS (1360), by nie zawieszać TCP – rozdział 7.

Źródła: dokumentacja Cisco IOS „Configuring GRE Tunnels”, RFC 2784 (Generic Routing Encapsulation), RFC 1701, know-how GNS3/IPv4lab.