¿Qué es el GRE?

La encapsulación de enrutamiento genérico (GRE) es un protocolo de túnel ligero que encapsula los paquetes de un protocolo de la capa de red dentro de otro, lo que permite que el tráfico —incluidos los protocolos que no son IP— atraviese una red intermedia, como Internet. GRE no añade ningún tipo de cifrado propio, por lo que suele combinarse con IPsec o utilizarse por sí solo cuando no se requiere confidencialidad.

Puntos clave

• GRE envuelve los paquetes de un protocolo de capa de red dentro de otro para su tránsito.
• Por sí solo no aporta ningún tipo de cifrado; combínalo con IPsec para garantizar la confidencialidad.
• VOS admite túneles punto a punto, punto a multipunto y Ethernet sobre GRE.
• Una clave GRE separa varios túneles que comparten los mismos puntos finales.
• Los proveedores de servicios en la nube, como AWS Transit Gateway, ofrecen GRE como protocolo de túnel.

En esta página: Por qué es importante · Cómo funciona · Tipos · GRE y Versa · Preguntas frecuentes

¿Por qué es importante el GRE?

El protocolo GRE es anterior a la mayor parte de la tecnología VPN moderna y sigue siendo una forma sencilla de crear un túnel enrutable entre dos puntos de una red IP. Al ser un protocolo sin estado —sin negociación ni establecimiento de sesión—, se implementa prácticamente sin sobrecarga y funciona incluso cuando la carga útil no es IP, desde protocolos heredados hasta tramas Ethernet puenteadas.

Esa simplicidad también hace que GRE resulte útil como infraestructura. A diferencia de un túnel IPsec basado en políticas, un túnel GRE es una interfaz virtual real, por lo que un protocolo de enrutamiento puede ejecutarse a través de él para anunciar la accesibilidad de forma dinámica. Los proveedores de servicios en la nube aprovechan esto directamente: AWS Transit Gateway y otros centros de tránsito en la nube ofrecen GRE junto con IPsec para que un dispositivo remoto pueda establecer una conexión BGP a través del túnel; de ahí que GRE siga apareciendo en diseños de nube, de operadores y de SD-WAN décadas después de su definición.

¿Qué es el GRE?

Un túnel GRE envuelve cada paquete original en una cabecera GRE —que registra el tipo de protocolo encapsulado y, opcionalmente, una clave y un número de secuencia— y, a continuación, en una nueva cabecera IP externa dirigida al extremo remoto del túnel. El dispositivo receptor elimina ambas cabeceras y reenvía el paquete original como si hubiera llegado de forma nativa, por lo que el túnel se comporta como un único salto, independientemente de los routers reales que haya entre los extremos.

El propio GRE no lleva asociado ningún estado criptográfico: ni autenticación, ni cifrado, ni comprobación de integridad. Dos puntos finales simplemente acuerdan las direcciones de origen y destino y comienzan a encapsular; no existe un equivalente al IKE que negocie las claves previamente. Esto es así por diseño —el GRE es un mecanismo de entrega, no un protocolo de seguridad—, razón por la cual los diseñadores incorporan IPsec bajo el GRE siempre que la ruta no sea ya de confianza.

Tipos de túneles GRE

El GRE punto a punto conecta exactamente dos puntos finales fijos a través de IPv4 y es la forma más habitual: una única dirección de origen y otra de destino definen el túnel. El GRE punto a punto de IPv6 sigue el mismo modelo en una red de distribución IPv6. Ethernet sobre GRE puentea tramas de capa 2 en lugar de paquetes enrutados, y admite subinterfaces etiquetadas con VLAN; se utiliza, entre otras cosas, para el backhaul del tráfico de movilidad a través de pasarelas residenciales de gama baja.

El GRE punto a multipunto permite que una única interfaz de túnel llegue a múltiples puntos finales remotos en lugar de a un único par fijo, utilizando el NHRP (Next Hop Resolution Protocol) para asignar dinámicamente la dirección de cada par, en lugar de codificar de forma fija cada destino. Una clave GRE es el elemento que une todo el modelo: un identificador opcional en la cabecera GRE que separa los múltiples túneles que comparten las mismas direcciones de origen y destino, de modo que un dispositivo que termina varios túneles hacia un mismo par pueda distinguirlos entre sí.

GRE y Versa

VOS configura GRE como una interfaz de túnel (tvi) con cuatro tipos compatibles: GRE punto a punto, GRE IPv6 punto a punto, Ethernet sobre GRE y GRE punto a multipunto, este último basado en una asignación NHRP estática. Cada túnel requiere una dirección de origen y de destino, una instancia de enrutamiento, un MTU y una clave GRE opcional; además, el GRE punto a multipunto asigna el bucle de retorno de un router remoto a su dirección de transporte NBMA, de modo que VOS establece automáticamente el túnel y la ruta del host, transportando la encapsulación MPLS sobre GRE para los datos de L3VPN. Los pasos detallados, campo por campo, se encuentran en «Configuración de interfaces».

Más allá de las interfaces de los dispositivos, los flujos de trabajo de los túneles de sitio a sitio permiten que un dispositivo CPE de VOS establezca túneles GRE hacia la nube y hacia pares de terceros como alternativa a IPsec: AWS Transit Gateway admite GRE con interconexión BGP a través de él, y los túneles GRE de Zscaler se configuran como un par redundante para la conectividad de las sucursales.

Preguntas frecuentes

¿Cuál es la diferencia entre GRE e IPsec?

GRE encapsula los paquetes, pero no los cifra ni los autentica; IPsec los cifra y los autentica, pero se basa en políticas y no es una interfaz enrutable. Muchas implementaciones combinan ambas tecnologías —GRE sobre IPsec— para obtener un túnel enrutable con las garantías de confidencialidad e integridad que ofrece IPsec.

¿GRE cifra el tráfico?

No. GRE solo encapsula los paquetes para su envío; no garantiza la confidencialidad, la verificación de la integridad ni la autenticación. El tráfico enviado a través de un túnel GRE sin cifrar es tan visible para las redes intermedias como el tráfico sin encapsular, por lo que el tráfico sensible suele combinarse con IPsec.

¿Para qué sirve una clave GRE?

Una clave GRE es un campo opcional del encabezado GRE que identifica un túnel cuando varios túneles comparten las mismas direcciones de origen y destino. Permite al dispositivo receptor distinguir a qué túnel lógico pertenece un paquete entrante, sin depender únicamente del direccionamiento.

¿Puede el GRE transportar tráfico que no sea de IP?

Sí. GRE encapsula el tráfico de cualquier protocolo de la capa de red, no solo IP, lo que explica en parte por qué es anterior y ha perdurado más que muchos esquemas de túneles de uso específico. Ethernet sobre GRE va un paso más allá, conectando tramas de la capa 2 —incluido el tráfico etiquetado con VLAN— dentro del túnel.

¿Qué es el GRE punto a multipunto?

El GRE punto a multipunto permite que una interfaz de túnel conecte con varios puntos finales remotos en lugar de con un único destino fijo, utilizando el protocolo NHRP para asignar dinámicamente la dirección de cada par a medida que los dispositivos se incorporan a la red. Constituye la base de los diseños de tipo «hub-and-spoke» y de malla, en los que el destino remoto no se conoce de antemano.

Más información sobre el GRE

Si quieres saber más, estas son algunas fuentes en las que confiamos.

Términos relacionados

Si estás buscando información sobre el GRE, te conviene echar un vistazo a lo siguiente.