ICG3000（v7）

可以的​​。在华三ICG3000（v7版本）设备上，同一个物理接口支持配置多个隧道。以下是具体实现方案：
方案一：同一物理接口配置多个同类型隧道
1. GRE隧道配置示例
# 创建第一个GRE隧道
interface Tunnel1
ip address 10.1.1.1 255.255.255.0
tunnel-protocol gre
source GigabitEthernet0/1 # 同一物理接口
destination 202.100.1.1
description GRE-Tunnel-to-Site1

# 创建第二个GRE隧道
interface Tunnel2
ip address 10.1.2.1 255.255.255.0
tunnel-protocol gre
source GigabitEthernet0/1 # 同一物理接口
destination 202.100.2.1
description GRE-Tunnel-to-Site2
2. IPsec隧道配置示例
# 创建第一个IPsec策略
ipsec policy policy1 10 isakmp
security acl 3001
proposal prop1
local-address GigabitEthernet0/1
remote-address 202.100.1.1

# 创建第二个IPsec策略
ipsec policy policy2 10 isakmp
security acl 3002
proposal prop1
local-address GigabitEthernet0/1 # 同一物理接口
remote-address 202.100.2.1

# 应用到物理接口
interface GigabitEthernet0/1
ipsec policy policy1
ipsec policy policy2
方案二：混合类型隧道配置
在同一接口配置GRE和IPsec隧道
# GRE over IPsec配置示例
interface Tunnel1
ip address 10.1.1.1 255.255.255.0
tunnel-protocol gre
source GigabitEthernet0/1
destination 202.100.1.1

# 为GRE隧道创建IPsec保护
ipsec policy gre-protect 10 isakmp
security acl 3000
proposal prop1
local-address GigabitEthernet0/1
remote-address 202.100.1.1

# 应用到物理接口
interface GigabitEthernet0/1
ipsec policy gre-protect
方案三：基于子接口的隧道配置
使用子接口区分不同隧道
# 创建子接口
interface GigabitEthernet0/1.100
vlan-type dot1q vid 100
ip address 192.168.1.1 255.255.255.0

interface GigabitEthernet0/1.200
vlan-type dot1q vid 200
ip address 192.168.2.1 255.255.255.0

# 基于子接口创建隧道
interface Tunnel1
ip address 10.1.1.1 255.255.255.0
tunnel-protocol gre
source GigabitEthernet0/1.100
destination 202.100.1.1

interface Tunnel2
ip address 10.1.2.1 255.255.255.0
tunnel-protocol gre
source GigabitEthernet0/1.200
destination 202.100.2.1
关键技术要点和限制
1. 隧道标识区分
同一物理接口的多个隧道通过以下要素区分：
​​目的地址不同​​
​​隧道密钥不同​​（如果使用）
​​源/目的端口不同​​（IPsec情况）
2. 配置注意事项
# 为每个隧道设置不同的识别参数
interface Tunnel1
tunnel key 1000 # 隧道1的密钥

interface Tunnel2
tunnel key 2000 # 隧道2的密钥，必须不同
3. 路由策略配置
# 为不同隧道配置路由
ip route-static 192.168.10.0 255.255.255.0 Tunnel1
ip route-static 192.168.20.0 255.255.255.0 Tunnel2

# 或使用策略路由
policy-based-route tunnel-route permit node 10
if-match acl 3001
apply output-interface Tunnel1

policy-based-route tunnel-route permit node 20
if-match acl 3002
apply output-interface Tunnel2
方案四：高可用隧道配置
主备隧道配置
# 主隧道
interface Tunnel1
ip address 10.1.1.1 255.255.255.0
tunnel-protocol gre
source GigabitEthernet0/1
destination 202.100.1.1
tunnel protection ipsec profile ipsec-profile1

# 备用隧道
interface Tunnel2
ip address 10.1.2.1 255.255.255.0
tunnel-protocol gre
source GigabitEthernet0/1
destination 202.100.2.1
tunnel protection ipsec profile ipsec-profile2
验证和诊断命令
# 查看隧道接口状态
display interface Tunnel brief

# 查看隧道详细信息
display interface Tunnel1
display interface Tunnel2

# 查看IPsec SA状态
display ipsec sa

# 查看路由表，确认隧道路由
display ip routing-table

# 测试隧道连通性
ping -a 10.1.1.1 10.1.1.2 # 从隧道源地址ping对端
常见问题排查
1. 隧道状态检查
# 如果隧道状态为Down，检查：
display interface Tunnel1
# 查看具体的down原因，如源/目的地址不可达等
2. MTU和分片问题
# 调整隧道MTU避免分片
interface Tunnel1
ip mtu 1400
tcp mss 1360
3. 会话保持配置
# 配置会话保持，避免隧道切换中断
session persistent enable
总结
​​华三ICG3000（v7）完全支持在同一物理接口上配置多个隧道​​，关键技术要点：
✅ ​​支持多种隧道类型混合​​：GRE、IPsec、GRE over IPsec等
✅ ​​通过不同参数区分隧道​​：目的地址、隧道密钥、子接口等
✅ ​​需要合理规划路由策略​​：确保流量正确进入对应隧道
✅ ​​注意资源限制​​：检查设备规格支持的最大隧道数
您可以根据实际业务需求选择合适的配置方案。如果需要更具体的配置，请告知您的具体应用场景（如站点互联、VPN接入等）。