路由器 MSR860-6EI-XS如何创建GRE隧道

在 MSR860-6EI-XS 上创建 GRE 隧道，核心是在路由器上创建一个虚拟的隧道接口（Tunnel接口），然后配置路由，让去往对端网络的流量走这个隧道接口。

下面是一个标准的配置步骤，你可以参考。

📋 配置前提

在动手配置前，请先确认以下几点：

1. 网络连通性：确保 MSR860 路由器能通过其公网接口（WAN口）与对端网关的公网 IP 地址互通。这是建立隧道的基础。

2. IP 地址规划：你需要提前规划好以下信息：

   • 本端和对端用于建立隧道的公网 IP 地址。

   • 隧道接口（Tunnel接口）的 IP 地址（需为同一网段）。

   • 需要通过隧道访问的远端私网网段。

⚙️ 配置步骤

假设本端公网 IP 是 1.1.1.1，对端公网 IP 是 2.2.2.2，隧道接口 IP 是 10.0.0.1/30，对端私网是 192.168.2.0/24。

1. 进入系统视图

2. 创建并进入 Tunnel 接口视图

• tunnel 0：隧道接口编号，你可以根据需要指定。

• mode gre：指定隧道模式为 GRE。

3. 配置 Tunnel 接口的 IP 地址

这个地址用于隧道两端的通信，必须处于同一网段。

4. 配置隧道的源和目的地址

• source：指定本端用于封装 GRE 报文的公网接口 IP 地址。

• destination：指定对端用于接收 GRE 报文的公网 IP 地址。

5. （可选）配置 GRE 隧道密钥

如果需要简单的安全验证，可以配置一个密钥，但隧道两端的密钥必须完全一致。

6. 配置通过隧道访问对端私网的路由

这是最关键的一步，告诉路由器去往对端私网的报文要扔进隧道里。

• 如果你的对端私网有多个网段，需要为每个网段添加一条静态路由。

✅ 验证与测试

配置完成后，使用以下命令检查隧道状态：

• display interface tunnel 0：查看隧道接口的状态，确认 Link protocol 是 UP。

• display ip routing-table：确认去往对端私网的静态路由已生效。

• ping -a 10.0.0.1 192.168.2.1：从本端隧道接口 IP 去 Ping 对端隧道接口 IP 或对端私网内的一个地址，测试连通性。

建议联系相应技术进行配置吧 

一、先梳理你的组网需求
本地：MSR860-6EI-XS，公网出口接口（假设 G0/0），本地公网固定 IP：A.A.A.A，内网网段：10.0.0.0/24
移动专线卡：多台远端设备，每台都有移动固定公网 IP（B.B.B.B/ C.C.C.C...），远端内网分别为192.168.1.0/24、192.168.2.0/24等
目标：本地内网 ↔ 多张移动卡下内网互通，通过 GRE 隧道打通三层通路
关键前提：移动侧设备必须同步配置反向 GRE 隧道，两端公网 IP 互通、运营商不拦截 GRE 协议（IP 协议号 47）
二、配置前准备核对项
本地公网接口确认：出口 G0/0，公网静态 IP A.A.A.A 255.255.255.0，默认路由正常可 ping 通所有移动公网 IP
运营商放行：防火墙 / 运营商侧放开 IP 协议 47（GRE），不要仅放通 TCP/UDP
规划隧道互联内网（每一条 GRE 独立一段 30 位互联地址，避免冲突）
Tunnel0 对接移动卡 1：隧道互联段 172.16.1.0/30，本地172.16.1.1，对端172.16.1.2
Tunnel1 对接移动卡 2：隧道互联段 172.16.2.0/30，本地172.16.2.1，对端172.16.2.2
MTU 预留：GRE 封装会增加 24 字节头部，接口 MTU 建议设 1460，防止分片丢包
三、完整分步配置（单条隧道示例，多张卡重复创建 Tunnel 即可）
步骤 1：确认公网出口接口基础配置
bash
运行
system-view
# 外网出口接口（连接运营商宽带/固定IP）
interface GigabitEthernet 0/0
port link-mode route
ip address A.A.A.A 255.255.255.0
# 公网默认路由（运营商网关）
ip route-static 0.0.0.0 0.0.0.0 A.A.A.GW

步骤 2：创建第一条 GRE 隧道（对接第一张移动固定 IP 卡）
bash
运行
# 创建Tunnel0，模式GRE
interface Tunnel0 mode gre
# 隧道互联内网IP（30位掩码，仅两端设备使用）
ip address 172.16.1.1 255.255.255.252
# 隧道源地址=本地公网固定IP（也可写source GigabitEthernet 0/0）
source A.A.A.A
# 隧道目的地址=移动卡设备公网固定IP
destination B.B.B.B
# 优化MTU，避免大包分片丢包
mtu 1460
# 可选：保活检测，隧道断连自动老化路由
keepalive 10 3
quit

步骤 3：添加静态路由，本地内网访问移动卡内网走 GRE 隧道
假设移动卡下内网网段 192.168.1.0/24，隧道对端互联 IP 172.16.1.2
bash
运行
# 去往移动内网的流量，下一跳指向隧道对端互联地址
ip route-static 192.168.1.0 255.255.255.0 172.16.1.2

步骤 4：多张移动卡扩展（第二条隧道示例 Tunnel1）
bash
运行
interface Tunnel1 mode gre
ip address 172.16.2.1 255.255.255.252
source A.A.A.A
destination C.C.C.C
mtu 1460
keepalive 10 3
quit
# 对应第二条移动卡内网路由
ip route-static 192.168.2.0 255.255.255.0 172.16.2.2

步骤 5：本地内网回程路由（可选，内网多网段场景）
如果本地存在多段内网，需要给移动端设备下发回程路由，移动侧配置静态路由指向你的隧道互联 IP 172.16.1.1
bash
运行
# 移动侧设备配置示例（仅给你参考，在移动设备上敲）
ip route-static 10.0.0.0 255.255.255.0 172.16.1.1

步骤 6：安全优化（NAT 规避 GRE 流量被转换）
如果 MSR860 有全局 NAT 上网，必须排除 GRE 隧道流量，否则隧道封装后公网 IP 被 NAT 转换，隧道无法建立：
bash
运行
# 创建ACL，放行内网访问移动专线网段，不做NAT
acl number 3000
rule permit ip source 10.0.0.0 0.0.0.255 destination 192.168.1.0 0.0.0.255
rule permit ip source 10.0.0.0 0.0.0.255 destination 192.168.2.0 0.0.0.255
quit
# 外网接口NAT，匹配acl3000不转换，其余正常NAT上网
interface GigabitEthernet 0/0
nat outbound 3000

四、配置校验与排障命令
1. 查看隧道状态
bash
运行
display interface Tunnel0
# 正常输出：Tunnel0 current state: UP

2. 查看路由表，确认移动内网路由存在
bash
运行
display ip routing-table 192.168.1.0

3. 测试隧道连通性
bash
运行
# ping隧道对端互联地址，通代表GRE隧道正常
ping 172.16.1.2
# ping移动内网业务地址
ping 192.168.1.100

4. 查看 GRE 报文收发
bash
运行
display interface Tunnel0 | include packets

五、常见故障与解决
故障 1：Tunnel 接口 Down，ping 不通对端隧道 IP
运营商拦截 GRE 协议（IP 47）：联系移动放开 GRE；
两端公网 IP 无法互通：先确认本地能 ping 通移动公网 IP；
源 / 目的 IP 写反：本地 source 是自身公网 IP，destination 是对端公网 IP；
两端 Tunnel 模式不一致，一端 GRE 一端 IPSec。
故障 2：Tunnel UP，但内网业务不通
缺少回程路由：移动设备未配置指向你本地内网的静态路由；
NAT 把隧道流量转换：配置 ACL 规避专线流量 NAT；
MTU 过小，大包丢包：Tunnel 口配置mtu 1460。
故障 3：多张移动卡隧道冲突
每条 Tunnel 使用独立 30 位互联网段，不要复用同一段 172.16.x.x 地址，避免路由冲突。
六、极简配置模板（直接替换 IP 使用）
bash
运行
system-view
# 外网接口
interface GigabitEthernet 0/0
port link-mode route
ip address 本地公网IP 255.255.255.0
nat outbound 3000
quit
# 不NAT专线流量ACL
acl number 3000
rule permit ip source 本地内网段 0 destination 移动内网1 0
rule permit ip source 本地内网段 0 destination 移动内网2 0
quit
# GRE隧道1
interface Tunnel0 mode gre
ip address 172.16.1.1 255.255.255.252
source 本地公网IP
destination 移动卡1公网IP
mtu 1460
keepalive 10 3
quit
ip route-static 移动卡1内网 255.255.255.0 172.16.1.2
# GRE隧道2
interface Tunnel1 mode gre
ip address 172.16.2.1 255.255.255.252
source 本地公网IP
destination 移动卡2公网IP
mtu 1460
keepalive 10 3
quit
ip route-static 移动卡2内网 255.255.255.0 172.16.2.2
# 默认路由
ip route-static 0.0.0.0 0.0.0.0 运营商网关
save force