MSR2011通过IPsec over Gre隧道下发文件失败问题分析

代理商工程师反馈建行某分支设备MSR2011总部下发统一软件版本失败，寻求帮助。

接到代理商反馈的问题，了解具体情况得知总部和分支间有建立IPsec和Gre隧道，总部通过隧道给分支下发统一软件版本；已做测试包括，总部通过Ping测试判断隧道已成功建立；另外如果取消IPsec策略，只通过GRE隧道文件也能正常下发；初步判断应该是IPsec导致文件下发失败。和代理商工程师沟通想进一步确认IPsec和Gre间的封装关系，可惜沟通许久也没说明白，最终建议代理商工程师反馈配置文件以及文件下发使用的协议类型。

收到代理商工程师反馈的邮件，现场就是通过FTP协议下发版本文件。查看配置文件，IPsec策略下发在Tunnel接口上，IPsec使用的传输模式。数据流量经过路由通过Tunnel出去，匹配上IPsec的安全ACL，封装关系是IPsec over Gre。另外Tunnel接口下已配置mtu 1400。

我们都知道，不管是IPsec隧道还是Gre隧道，都会在原来的数据报文前加上相应的隧道报文头，这样设备转发出去的报文实际比原始的报文大上几个字节。有经验的同学知道在接口上将MTU值设置比1500小一些就可以解决问题，但这个问题为什么将Tunnel接口的mtu 1400还是没有解决呢？其实这样设置后解决了Gre隧道头的问题，如果没有将Tunnel接口mtu 1400，单独通过GRE隧道应该也是下发不了文件的，因为加上Gre的隧道头，报文大小应该超过了1500，报文还是不能在物理接口上正常转发。

到此基本知道，应该是IPsec隧道报文头导致原始报文的大小超过了1400，导致Tunnel接口无法正常转发，那如何解决IPsec隧道头这几个字节的问题呢？其实很简单，只要保证原始报文加上IPsec隧道报文头总大小不超过1400即可，IPsec报文头大小不动，缩小原始报文大小即可。

现场如下配置后问题解决。

interface Tunnel1

 mtu 1400

 tcp mss 1024

 ipsec policy branch