淺談IPSEC Over GRE與GRE Over IPSEC的區別

1、兩者的封包過程

IPPSEC Over GRE即IPSEC在里，GRE在外。先把需要加密的數據包封裝成IPSEC包，然后再扔到GRE隧道里。做法是把IPSEC的加密圖作用在Tunnel 口上的，即在Tunnel口上監控（訪問控制列表監控本地ip網段-源i和遠端ip網段-目的地），是否有需要加密的數據流，有則先加密封裝為IPSEC 包，然后封裝成GRE包進入隧道（這里顯而易見的是，GRE隧道始終都是存在的，即GRE隧道的建立過程并沒有被加密），同時，未在訪問控制列表里的數據流將以不加密的狀態直接走GRE隧道，即存在有些數據可能被不安全地傳遞的狀況。而GRE Over IPSEC是指，先把數據分裝成GRE包，然后再分裝成IPSEC包。做法是在物理接口上監控，是否有需要加密的GRE流量（訪問控制列表針對GRE兩端的設備ip），所有的這兩個端點的GRE數據流將被加密封裝為IPSEC包再進行傳遞，這樣保證的是所有的數據包都會被加密，包括隧道的建立和路由的建立和傳遞。

2、加密映射圖的應用

IPSEC Over GRE：
a. 訪問控制列表，針對兩個網段的數據流，如：
ip access-list extended vpn12
permit ip 10.1.1.0 0.0.0.255 10.2.2.0 0.0.0.255
b. 加密圖放在Tunnel口
GRE Over IPSEC：
a. 訪問列表，針對兩個路由器之間的GRE流，如：
ip access-list extended vpn12
permit gre host 172.16.11.2 host 172.16.22.2
b. 加密圖作用在物理口。

無論是哪種數據流，若一方進行了加密，而另一方沒有配，則無法通訊，對于GRE,則路由鄰居都無法建立。
3、隧道模式和傳輸模式

所謂的隧道模式還是傳輸模式，是針對如ESP如何封裝數據包的，前提是ESP在最外面，如果都被Over到了 GRE里，自然談不上什么隧道模式和傳輸模式（都為隧道模式）。只有當GRE Over IPSEC的時候，才可以將模式改為傳輸模式。

IPSEC不支持組播，即不能傳遞路由協議，而GRE支持。