Qu'est-ce que le GRE ?

Le protocole GRE (Generic Routing Encapsulation) est un protocole de tunneling léger qui encapsule les paquets d'un protocole de couche réseau à l'intérieur d'un autre, permettant ainsi au trafic – y compris aux protocoles non IP – de traverser un réseau intermédiaire tel qu'Internet. Le protocole GRE n'assurant pas de chiffrement en soi, il est souvent associé à IPsec, ou utilisé seul lorsque la confidentialité n'est pas requise.

Points clés à retenir

• Le protocole GRE encapsule les paquets d'un protocole de la couche réseau à l'intérieur d'un autre pour leur acheminement.
• Il n'assure pas de chiffrement en soi : il faut l'associer à IPsec pour garantir la confidentialité.
• VOS prend en charge les tunnels point à point, point à multipoint et Ethernet sur GRE.
• Une clé GRE permet de distinguer plusieurs tunnels qui partagent les mêmes points d'extrémité.
• Les fournisseurs de services cloud tels qu'AWS Transit Gateway proposent le protocole GRE comme protocole de tunnel.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · GRE et Versa · FAQ

Pourquoi le GRE est-il important ?

Le protocole GRE est antérieur à la plupart des technologies VPN modernes et reste un moyen simple de créer un tunnel routable entre deux points d'un réseau IP. Comme il est « sans état » (pas de négociation, pas d'établissement de session), son déploiement n'entraîne pratiquement aucune surcharge et il fonctionne même lorsque la charge utile n'est pas au format IP, qu'il s'agisse de protocoles hérités ou de trames Ethernet pontées.

Cette simplicité rend également le GRE utile en tant qu’infrastructure. Contrairement à un tunnel IPsec basé sur des règles, un tunnel GRE est une véritable interface virtuelle ; un protocole de routage peut donc y être exécuté pour annoncer dynamiquement l’accessibilité. Les fournisseurs de cloud exploitent directement cette caractéristique : AWS Transit Gateway et d’autres hubs de transit cloud proposent le protocole GRE en plus de l’IPsec, afin qu’un périphérique distant puisse établir une connexion BGP à travers le tunnel. C’est pourquoi le protocole GRE est toujours présent dans les architectures cloud, des opérateurs et SD-WAN, plusieurs décennies après sa définition.

Qu'est-ce que le GRE ?

Un tunnel GRE encapsule chaque paquet d'origine dans un en-tête GRE – qui indique le type de protocole encapsulé et, éventuellement, une clé et un numéro de séquence – puis dans un nouvel en-tête IP externe adressé au point d'extrémité distant du tunnel. Le dispositif récepteur supprime les deux en-têtes et transmet le paquet d'origine comme s'il était arrivé en mode natif ; le tunnel se comporte ainsi comme un saut unique, quels que soient les routeurs réels situés entre les points d'extrémité.

Le protocole GRE en lui-même ne comporte aucun état cryptographique : ni authentification, ni chiffrement, ni contrôle d’intégrité. Les deux points d’extrémité se contentent de s’accorder sur les adresses source et destination, puis commencent l’encapsulation ; il n’existe pas d’équivalent à la négociation préalable des clés par le protocole IKE. C’est voulu : le GRE est un mécanisme de transmission, et non un protocole de sécurité. C’est pourquoi les concepteurs superposent IPsec au GRE dès lors que le chemin n’est pas déjà considéré comme fiable.

Types de tunnels GRE

Le GRE point à point relie exactement deux points d'extrémité fixes via IPv4 et constitue la forme la plus courante : une seule adresse source et une seule adresse de destination définissent le tunnel. Le GRE IPv6 point à point repose sur le même modèle, mais sur un réseau de transmission IPv6. L'Ethernet sur GRE achemine des trames de couche 2 plutôt que des paquets routés, et prend en charge les sous-interfaces balisées VLAN ; il est notamment utilisé pour acheminer le trafic de mobilité via des passerelles résidentielles d'entrée de gamme.

Le GRE point à multipoint permet à une seule interface de tunnel d’atteindre plusieurs points d’extrémité distants au lieu d’un seul pair fixe, en utilisant le protocole NHRP (Next Hop Resolution Protocol) pour mapper dynamiquement l’adresse de chaque pair plutôt que de coder en dur chaque destination. Une clé GRE assure la cohésion du modèle : il s’agit d’un identifiant facultatif dans l’en-tête GRE qui distingue les différents tunnels partageant les mêmes adresses source et destination, de sorte qu’un périphérique terminant plusieurs tunnels vers un même pair puisse tout de même les différencier.

GRE & Versa

VOS configure le GRE en tant qu’interface de tunnel (tvi) avec quatre types pris en charge : GRE point à point, GRE IPv6 point à point, Ethernet-sur-GRE et GRE point à multipoint, ce dernier reposant sur un mappage NHRP statique. Chaque tunnel nécessite une adresse source et une adresse de destination, une instance de routage, une MTU et une clé GRE facultative ; le GRE point-à-multipoint mappe en outre la boucle de retour d’un routeur distant vers son adresse de transport NBMA, ce qui permet à VOS de créer automatiquement le tunnel et la route hôte, en utilisant l’encapsulation MPLS-sur-GRE pour les données L3VPN. La procédure détaillée, champ par champ, est décrite dans la section « Configuration des interfaces ».

Au-delà des interfaces des appareils, les workflows des tunnels site à site permettent à un appareil CPE VOS d'établir des tunnels GRE vers le cloud et des pairs tiers comme alternative à IPsec : AWS Transit Gateway prend en charge le protocole GRE avec un peering BGP, et les tunnels GRE Zscaler sont provisionnés sous forme de paire redondante pour la connectivité des succursales.

Questions fréquentes

Quelle est la différence entre GRE et IPsec ?

Le protocole GRE encapsule les paquets, mais ne les chiffre pas et ne les authentifie pas ; IPsec, quant à lui, chiffre et authentifie les paquets, mais fonctionne selon des règles plutôt que comme une interface routable. De nombreux déploiements combinent les deux – GRE sur IPsec – afin d’obtenir un tunnel routable bénéficiant des garanties de confidentialité et d’intégrité offertes par IPsec.

GRE crypte-t-il le trafic ?

Non. Le protocole GRE se contente d'encapsuler les paquets en vue de leur acheminement ; il n'assure ni confidentialité, ni contrôle d'intégrité, ni authentification. Le trafic acheminé via un tunnel GRE en clair est aussi visible pour les réseaux intermédiaires que le trafic non encapsulé, ce qui explique pourquoi le trafic sensible est généralement protégé par IPsec.

À quoi sert une clé GRE ?

Une clé GRE est un champ facultatif de l'en-tête GRE qui identifie un tunnel lorsque plusieurs tunnels partagent les mêmes adresses source et de destination. Elle permet au dispositif récepteur de déterminer à quel tunnel logique appartient un paquet entrant, sans se fier uniquement à l'adressage.

Le protocole GRE peut-il acheminer du trafic non IP ?

Oui. Le protocole GRE encapsule le trafic provenant de n'importe quel protocole de couche réseau, et pas seulement du protocole IP, ce qui explique en partie pourquoi il est antérieur à de nombreux schémas de tunneling spécialisés et leur a survécu. La technologie « Ethernet-over-GRE » va encore plus loin en reliant entre elles les trames de couche 2 – y compris le trafic marqué par des VLAN – à l'intérieur du tunnel.

Qu'est-ce que le GRE point à multipoint ?

Le protocole GRE point à multipoint permet à une interface de tunnel de desservir plusieurs terminaux distants au lieu d’une seule destination fixe, en utilisant le protocole NHRP pour mapper dynamiquement l’adresse de chaque pair à mesure que les appareils se connectent. Il est à la base des architectures en étoile et en maillage, dans lesquelles la destination distante n’est pas connue à l’avance.

En savoir plus sur le GRE

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous renseignez sur le GRE, voici quelques liens qui pourraient vous intéresser.