Was ist der GRE?

Generic Routing Encapsulation (GRE) ist ein schlankes Tunneling-Protokoll, das Pakete eines Netzwerkprotokolls in ein anderes einbindet, sodass Datenverkehr – einschließlich Nicht-IP-Protokolle – ein Zwischennetzwerk wie das Internet durchqueren kann. GRE bietet keine eigene Verschlüsselung und wird daher häufig in Kombination mit IPsec eingesetzt oder allein verwendet, wenn keine Vertraulichkeit erforderlich ist.

Die wichtigsten Erkenntnisse

• GRE verpackt die Pakete eines Protokolls der Netzwerkschicht zur Weiterleitung in die eines anderen Protokolls ein.
• Es bietet selbst keine Verschlüsselung – kombinieren Sie es mit IPsec, um Vertraulichkeit zu gewährleisten.
• VOS unterstützt Punkt-zu-Punkt-, Punkt-zu-Mehrpunkt- und Ethernet-over-GRE-Tunnel.
• Ein GRE-Schlüssel trennt mehrere Tunnel voneinander, die dieselben Endpunkte nutzen.
• Cloud-Anbieter wie AWS Transit Gateway bieten GRE als Tunnelprotokoll an.

Auf dieser Seite: Warum das wichtig ist · So funktioniert es · Arten · GRE & Versa · Häufig gestellte Fragen

Warum ist der GRE wichtig?

GRE ist älter als die meisten modernen VPN-Technologien und bietet nach wie vor eine einfache Möglichkeit, einen routbaren Tunnel zwischen zwei Punkten in einem IP-Netzwerk aufzubauen. Da es zustandslos ist – keine Aushandlung, kein Aufbau einer Sitzung –, lässt es sich nahezu ohne Overhead einsetzen und funktioniert auch dann, wenn die Nutzdaten nicht im IP-Format vorliegen, von älteren Protokollen bis hin zu gebrückten Ethernet-Frames.

Diese Einfachheit macht GRE auch als Infrastruktur nützlich. Im Gegensatz zu einem richtlinienbasierten IPsec-Tunnel ist ein GRE-Tunnel eine echte virtuelle Schnittstelle, sodass ein Routing-Protokoll darüber laufen kann, um die Erreichbarkeit dynamisch bekannt zu geben. Cloud-Anbieter nutzen dies direkt aus: AWS Transit Gateway und andere Cloud-Transit-Hubs bieten GRE neben IPsec an, sodass ein entferntes Gerät über den Tunnel hinweg eine BGP-Peer-Verbindung herstellen kann – weshalb GRE auch Jahrzehnte nach seiner Definition noch immer in Cloud-, Carrier- und SD-WAN-Designs zu finden ist.

Was ist der GRE?

Ein GRE-Tunnel umhüllt jedes ursprüngliche Paket mit einem GRE-Header – der den Typ des eingekapselten Protokolls sowie optional einen Schlüssel und eine Sequenznummer enthält – und anschließend mit einem neuen äußeren IP-Header, der an den entfernten Tunnelendpunkt adressiert ist. Das empfangende Gerät entfernt beide Header und leitet das ursprüngliche Paket so weiter, als wäre es direkt angekommen, sodass sich der Tunnel unabhängig von den tatsächlichen Routern zwischen den Endpunkten wie ein einzelner Hop verhält.

GRE selbst enthält keinen kryptografischen Status: keine Authentifizierung, keine Verschlüsselung, keine Integritätsprüfung. Zwei Endpunkte vereinbaren lediglich Quell- und Zieladressen und beginnen mit der Kapselung; es gibt kein Äquivalent zu IKE, bei dem zunächst Schlüssel ausgehandelt werden. Das ist beabsichtigt – GRE ist ein Übertragungsmechanismus, kein Sicherheitsprotokoll –, weshalb Entwickler IPsec unter GRE einbinden, sobald der Pfad nicht bereits als vertrauenswürdig gilt.

Arten von GRE-Tunneln

Point-to-Point-GRE verbindet genau zwei feste Endpunkte über IPv4 und ist die gängigste Form – eine einzige Quell- und Zieladresse definieren den Tunnel. Point-to-Point-IPv6-GRE ist dasselbe Modell über ein IPv6-Übertragungsnetzwerk. Ethernet-over-GRE überbrückt Layer-2-Frames anstelle von gerouteten Paketen und unterstützt VLAN-getaggte Subschnittstellen; es wird unter anderem verwendet, um Mobilitätsdatenverkehr über Low-End-Gateways für Privathaushalte weiterzuleiten.

Point-to-Multipoint-GRE ermöglicht es einer einzelnen Tunnelschnittstelle, viele entfernte Endpunkte statt nur eines festen Peers zu erreichen. Dabei wird das NHRP (Next Hop Resolution Protocol) verwendet, um die Adresse jedes Peers dynamisch zuzuordnen, anstatt jedes Ziel fest zu programmieren. Ein GRE-Schlüssel hält das Modell zusammen: Dabei handelt es sich um eine optionale Kennung im GRE-Header, die mehrere Tunnel mit derselben Quell- und Zieladresse voneinander trennt, sodass ein Gerät, das mehrere Tunnel zu einem Peer beendet, diese dennoch unterscheiden kann.

GRE & Versa

VOS konfiguriert GRE als Tunnel-(tvi-)Schnittstelle mit vier unterstützten Typen: Punkt-zu-Punkt-GRE, Punkt-zu-Punkt-IPv6-GRE, Ethernet-over-GRE und Punkt-zu-Mehrpunkt-GRE, wobei letzterer auf einer statischen NHRP-Zuordnung basiert. Jeder Tunnel benötigt eine Quell- und Zieladresse, eine Routing-Instanz, eine MTU und einen optionalen GRE-Schlüssel; Punkt-zu-Mehrpunkt-GRE ordnet zusätzlich den Loopback eines Remote-Routers seiner NBMA-Transportadresse zu, sodass VOS den Tunnel und die Host-Route automatisch aufbaut und dabei eine MPLS-over-GRE-Kapselung für L3VPN-Daten verwendet. Eine vollständige Schritt-für-Schritt-Anleitung Feld für Feld finden Sie unter „Schnittstellen konfigurieren“.

Über die Geräteschnittstellen hinaus ermöglichen Site-to-Site-Tunnel-Workflows einem VOS-CPE-Gerät den Aufbau von GRE-Tunneln zur Cloud und zu Peers von Drittanbietern als Alternative zu IPsec: AWS Transit Gateway unterstützt GRE mit BGP-Peering, und Zscaler-GRE-Tunnel werden als redundantes Paar für die Anbindung von Zweigstellen bereitgestellt.

Häufig gestellte Fragen

Was ist der Unterschied zwischen GRE und IPsec?

GRE kapselt Pakete, verschlüsselt oder authentifiziert sie jedoch nicht; IPsec verschlüsselt und authentifiziert, ist jedoch eher richtlinienbasiert als eine routbare Schnittstelle. In vielen Implementierungen werden beide Verfahren kombiniert – GRE über IPsec –, um einen routbaren Tunnel mit den Vertraulichkeits- und Integritätsgarantien von IPsec zu schaffen.

Verschlüsselt GRE den Datenverkehr?

Nein. GRE kapselt Pakete lediglich für die Übertragung; es bietet weder Vertraulichkeit noch Integritätsprüfung noch Authentifizierung. Datenverkehr, der über einen einfachen GRE-Tunnel gesendet wird, ist für zwischengeschaltete Netzwerke genauso einsehbar wie ungekapseltes Datenverkehr, weshalb sensibler Datenverkehr in der Regel zusätzlich mit IPsec gesichert wird.

Wozu dient ein GRE-Schlüssel?

Ein GRE-Schlüssel ist ein optionales Feld im GRE-Header, das einen Tunnel identifiziert, wenn mehrere Tunnel dieselben Quell- und Zieladressen verwenden. Er ermöglicht es dem empfangenden Gerät, zu unterscheiden, zu welchem logischen Tunnel ein ankommendes Paket gehört, ohne sich allein auf die Adressierung zu verlassen.

Kann GRE Nicht-IP-Datenverkehr übertragen?

Ja. GRE kapselt Datenverkehr von jedem Netzwerkprotokoll, nicht nur von IP, was mit ein Grund dafür ist, dass es älter ist als viele spezielle Tunneling-Verfahren und diese überdauert. Ethernet-over-GRE geht noch einen Schritt weiter und überbrückt Layer-2-Frames – einschließlich VLAN-getaggten Datenverkehrs – innerhalb des Tunnels.

Was ist Punkt-zu-Mehrpunkt-GRE?

Mit Point-to-Multipoint-GRE kann eine Tunnelschnittstelle mehrere entfernte Endpunkte anstelle eines einzigen festen Ziels erreichen, wobei NHRP verwendet wird, um die Adresse jedes Peers dynamisch zuzuordnen, sobald Geräte dem Netzwerk beitreten. Dies bildet die Grundlage für Hub-and-Spoke- und Mesh-Architekturen, bei denen das entfernte Ziel nicht im Voraus bekannt ist.

Mehr zum GRE

Wenn Sie mehr erfahren möchten, finden Sie hier Quellen, denen wir vertrauen.

Verwandte Begriffe

Wenn du dich gerade über den GRE informierst, solltest du dir als Nächstes diese Artikel ansehen.