Windows服务器GRE隧道配置指南：从入门到精通

一、什么是GRE隧道？为什么需要它？

通用路由封装（GRE）隧道是一种网络隧道协议，它可以将一种网络协议的数据包封装在另一种网络协议中进行传输。简单来说，就像把一封信（原始数据）装进另一个信封（GRE封装）里，通过特殊的通道（隧道）送到目的地。

为什么要用GRE隧道？

连接不同地区的局域网，让它们像在同一个网络里
传输某些不支持路由的协议数据
构建虚拟专用网络（VPN）的基础
跨公网安全传输数据

二、配置前的准备工作

1. 环境要求

两台Windows服务器（这里以Windows Server 2019/2022为例）
服务器有固定的公网IP地址
管理员权限账户
确保防火墙允许相关通信

2. 网络规划示例

假设我们要连接两个办公室的网络：

办公室A：服务器IP 203.0.113.10，内网网段 192.168.1.0/24
办公室B：服务器IP 198.51.100.20，内网网段 192.168.2.0/24
隧道IP：我们规划为 10.0.0.1/30 和 10.0.0.2/30

三、详细配置步骤（新手友好版）

步骤1：在两台服务器上安装"远程访问"角色

操作指引：

打开"服务器管理器"
点击"添加角色和功能"
选择"基于角色或基于功能的安装"，点击下一步
选择当前服务器，点击下一步
在"服务器角色"中，找到并勾选"远程访问"
点击"添加功能"，然后点击下一步
在"角色服务"中，勾选"路由"
一直点击下一步，最后点击"安装"
等待安装完成，可能需要重启服务器

步骤2：配置办公室A的服务器（作为隧道端点1）

1. 打开路由和远程访问控制台

按 Win+R，输入 rrasmgmt.msc，回车
或者在开始菜单搜索"路由和远程访问"

2. 启用路由和远程访问

右键点击服务器名称，选择"配置并启用路由和远程访问"
选择"自定义配置"，点击下一步
勾选"LAN路由"，点击下一步
点击完成，然后点击"启动服务"

3. 创建GRE隧道接口

在控制台中，展开服务器，右键点击"网络接口"
选择"新建请求拨号接口"
输入接口名称，比如"To-OfficeB"
选择"使用以太网上的PPP(PPPoE)"，点击下一步
保持默认，继续下一步
在"目标地址"中输入办公室B的公网IP：198.51.100.20
选择"不发送纯文本密码"
在"静态路由"中，添加办公室B的内网网段：
- 目标：192.168.2.0
- 网络掩码：255.255.255.0
- 跃点数：1
点击完成

4. 配置隧道IP地址

打开"网络连接"（控制面板\网络和 Internet\网络连接）
找到刚刚创建的隧道接口
右键选择"属性"
双击"Internet协议版本4(TCP/IPv4)"
选择"使用下面的IP地址"：
- IP地址：10.0.0.1
- 子网掩码：255.255.255.252
点击确定保存

步骤3：配置办公室B的服务器（作为隧道端点2）

重复步骤2的操作，但注意以下不同点：

创建接口时，名称改为"To-OfficeA"
目标地址填写办公室A的公网IP：203.0.113.10
静态路由添加办公室A的内网网段：192.168.1.0/24
隧道IP设置为：10.0.0.2，子网掩码255.255.255.252

步骤4：配置路由和防火墙

在两台服务器上都需要配置：

1. 添加静态路由 打开命令提示符（管理员身份），分别执行：

在办公室A服务器：

route add 192.168.2.0 mask 255.255.255.0 10.0.0.2 -p

在办公室B服务器：

route add 192.168.1.0 mask 255.255.255.0 10.0.0.1 -p

2. 配置Windows防火墙

打开"高级安全Windows防火墙"
点击"入站规则"，然后"新建规则"
选择"自定义"，点击下一步
选择"所有程序"，点击下一步
协议类型选择"GRE(47)"
作用域中，远程IP地址填写对方公网IP
允许连接，点击下一步
所有网络类型都勾选
输入规则名称："允许GRE隧道"
点击完成

步骤5：测试隧道连接

测试方法：

在办公室A的服务器上，ping办公室B的隧道IP：
```
ping 10.0.0.2
```
在办公室A的服务器上，ping办公室B的内网设备：
```
ping 192.168.2.100
```
如果ping不通，检查：
- 防火墙设置是否正确
- 路由是否添加正确
- 物理网络是否连通

四、常见问题排查

问题1：隧道建立失败

可能原因：

防火墙阻止了GRE协议（协议号47）
公网IP地址填写错误
网络运营商屏蔽了GRE协议

解决方案：

检查防火墙规则是否允许GRE协议
确认公网IP地址是否正确
联系网络运营商确认是否支持GRE

问题2：能ping通隧道IP，但无法访问内网

可能原因：

路由配置错误
目标内网设备的防火墙阻止访问
子网掩码配置错误

解决方案：

使用 route print 命令检查路由表
检查目标设备的防火墙设置
确认子网掩码配置一致

问题3：隧道连接不稳定

可能原因：

网络延迟或丢包
MTU设置不合适
服务器性能问题

解决方案：

调整隧道接口的MTU值（建议设置为1400）
检查服务器CPU和内存使用情况
使用网络监控工具分析流量

五、进阶配置技巧

1. 使用PowerShell自动化配置

对于经常需要配置的场景，可以使用PowerShell脚本：

# 创建GRE隧道接口
Add-VpnConnection -Name "GRE-Tunnel" -ServerAddress "198.51.100.20" -TunnelType "L2tp" -L2tpPsk "YourSharedKey" -RememberCredential $true -Force

# 添加静态路由
New-NetRoute -DestinationPrefix "192.168.2.0/24" -NextHop "10.0.0.2" -InterfaceAlias "GRE-Tunnel"

2. 配置永久隧道（开机自动连接）

在路由和远程访问控制台中
找到创建的隧道接口
右键选择"属性"
在"选项"选项卡中，勾选"永久连接"
点击确定保存

3. 监控隧道状态

# 查看隧道接口状态
netsh interface ipv4 show interfaces

# 查看隧道流量统计
netsh interface ipv4 show stats

六、安全加固建议

1. 限制访问源

在防火墙规则中，只允许特定的公网IP建立GRE隧道
使用IPSec加密GRE隧道流量（如果需要更高安全性）

2. 定期检查

定期检查隧道连接状态
监控隧道流量是否异常
更新服务器安全补丁

3. 备份配置

定期备份路由和远程访问配置
记录所有配置参数

七、替代方案对比

方案	优点	缺点	适用场景
GRE隧道	配置简单，性能好	无加密，安全性低	内部网络互联
IPSec VPN	安全性高，加密传输	配置复杂，性能损耗	需要加密的跨网连接
WireGuard	现代协议，性能好	Windows原生支持有限	需要高性能VPN
OpenVPN	功能丰富，跨平台	配置复杂，性能一般	复杂网络环境