目  录

1 隧道

1.1 隧道概述

1.1.1 IPv4 over IPv4 隧道

1.1.2 IPv4 over IPv6隧道

1.1.3 IPv6 over IPv6隧道

1.1.4 协议规范

1.2 隧道配置任务简介

1.3 配置Tunnel接口

1.4 配置IPv4 over IPv4隧道

1.4.1 配置步骤

1.4.2 配置举例

1.5 配置IPv4 over IPv6手动隧道

1.5.1 配置步骤

1.5.2 配置举例

1.6 配置IPv6 over IPv6隧道

1.6.1 配置步骤

1.6.2 配置举例

1.7 隧道显示和维护

1.8 常见错误配置举例

1.8.1 故障现象

1.8.2 故障分析

1.8.3 处理过程

1 隧道

1.1  隧道概述

隧道技术是一种封装技术，即一种网络协议将其他网络协议的数据报文封装在自己的报文中，然后在网络中传输。封装后的数据报文在网络中传输的路径，称为隧道。隧道是一条虚拟的点对点连接，隧道的两端需要对数据报文进行封装及解封装。隧道技术就是指包括数据封装、传输和解封装在内的全过程。

隧道技术具有以下用途：

·     作为过渡技术，实现IPv4和IPv6网络互通。

·     创建VPN（Virtual Private Network，虚拟专用网络），如IPv4 over IPv4隧道、IPv4/IPv6 over IPv6隧道。

本文只介绍IPv4 over IPv4隧道、IPv4 over IPv6隧道和IPv6 over IPv6隧道。如无特殊说明，下文中的隧道技术均指此类隧道。

1.1.1  IPv4 over IPv4 隧道

1. IPv4 over IPv4隧道简介

IPv4 over IPv4隧道（RFC 1853）是对IPv4报文进行封装，使得一个IPv4网络的报文能够在另一个IPv4网络中传输。例如，运行IPv4协议的两个子网位于不同的区域，并且这两个子网都使用私网地址时，可以通过建立IPv4 over IPv4隧道，实现两个子网的互联。

2. 报文封装及解封装

图1-1 IPv4 over IPv4隧道原理图

报文在隧道中传输经过封装与解封装两个过程，以图1-1为例说明这两个过程：

·     封装过程

Device A连接IPv4主机所在子网的接口收到IPv4报文后，首先交由IPv4协议栈处理。IPv4协议栈根据IPv4报文头中的目的地址判断该报文需要通过隧道进行转发，则将此报文发给Tunnel接口。

Tunnel接口收到此报文后，在IPv4报文外再封装一个IPv4报文头，封装的报文头中源IPv4地址为隧道的源端地址，目的IPv4地址为隧道的目的端地址。封装完成后将报文重新交给IPv4协议栈处理，IPv4协议栈根据添加的IPv4报文头查找路由表，转发报文。

·     解封装过程

解封装过程和封装过程相反。Device B从接口收到IPv4报文后，将其送到IPv4协议栈处理。IPv4协议栈检查接收到的IPv4报文头中的协议号。如果协议号为4（表示封装的报文为IPv4报文），则将此IPv4报文发送到隧道模块进行解封装处理。解封装之后的IPv4报文将重新被送到IPv4协议栈进行二次路由处理。

1.1.2  IPv4 over IPv6隧道

1. IPv4 over IPv6隧道原理

随着IPv6网络的广泛部署，IPv6网络将逐渐取代IPv4网络，占据主导地位。尚未被IPv6网络取代的IPv4网络将形成孤岛，需要通过IPv6网络互通。IPv4 over IPv6隧道在IPv4报文上封装IPv6的报文头，通过隧道使IPv4报文穿越IPv6网络，从而实现通过IPv6网络连接隔离的IPv4网络孤岛。

图1-2 IPv4 over IPv6隧道原理图

IPv4报文在隧道中传输经过封装与解封装两个过程，以图1-2为例说明这两个过程：

·     封装过程

Device A连接IPv4网络的接口收到IPv4报文后，首先交由IPv4协议栈处理。IPv4协议栈根据IPv4报文头中的目的地址判断该报文需要通过隧道进行转发，则将此报文发给Tunnel接口。

Tunnel接口收到此报文后添加IPv6报文头，IPv6报文头中源IPv6地址为隧道的源端地址，目的IPv6地址为隧道的目的端地址。封装完成后将报文交给IPv6模块处理。IPv6协议模块根据IPv6报文头的目的地址重新确定如何转发此报文。

·     解封装过程

解封装过程和封装过程相反。从连接IPv6网络的接口接收到IPv6报文后，将其送到IPv6协议模块。IPv6协议模块检查IPv6报文封装的协议类型。若封装的协议为IPv4，则报文进入隧道处理模块进行解封装处理。解封装之后的IPv4报文被送往IPv4协议模块进行二次路由处理。

2. IPv4 over IPv6隧道模式

IPv4 over IPv6手动隧道需要手动配置隧道的源和目的IPv6地址，以便根据配置的地址在IPv4报文上封装IPv6报文头，使报文能通过隧道穿越IPv6网络。IPv4 over IPv6手动隧道是一种点到点的虚拟链路。

1.1.3  IPv6 over IPv6隧道

1. IPv6 over IPv6隧道简介

IPv6 over IPv6隧道（RFC 2473）是对IPv6报文进行封装，使这些被封装的报文能够在另一个IPv6网络中传输，封装后的报文即IPv6隧道报文。例如，如果运行IPv6协议的两个子网的网络地址不希望泄露到IPv6网络中，则可以通过建立IPv6 over IPv6隧道，实现在两个子网的网络地址不被泄露的情况下，使两个子网互通。

2. 报文封装及解封装

图1-3 IPv6 over IPv6隧道原理图

IPv6报文在隧道中传输经过封装与解封装两个过程，以图1-3为例说明这两个过程：

·     封装过程

Device A连接网络A的接口收到IPv6报文后，首先交由IPv6协议模块处理。IPv6协议模块根据报文的目的IPv6地址判断该报文需要通过隧道进行转发，则将此报文发给Tunnel接口。

Tunnel接口收到此报文后，为IPv6报文再封装一个IPv6报文头，封装的IPv6报文头中源IPv6地址为隧道的源端地址，目的IPv6地址为隧道的目的端地址。封装完成后将报文交给IPv6模块处理。IPv6协议模块根据添加的IPv6报文头的目的地址重新确定如何转发此报文。

·     解封装过程

解封装过程和封装过程相反。从IPv6网络接口接收的报文被送到IPv6协议模块。IPv6协议模块检查IPv6报文封装的协议类型。若封装的协议为IPv6，则报文进入隧道处理模块进行解封装处理；解封装之后的报文被送往相应的协议模块进行二次路由处理。

1.1.4  协议规范

与隧道技术相关的协议规范有：

·     RFC 1853：IP in IP Tunneling

·     RFC 2473：Generic Packet Tunneling in IPv6 Specification

·     RFC 2893：Transition Mechanisms for IPv6 Hosts and Routers

·     RFC 3056：Connection of IPv6 Domains via IPv4 Clouds

·     RFC 6333：Dual-Stack Lite Broadband Deployments Following IPv4 Exhaustion

1.2  隧道配置任务简介

表1-1 隧道配置任务简介

1.3  配置Tunnel接口

隧道两端的设备上，需要创建虚拟的三层接口，即Tunnel接口，以便隧道两端的设备利用Tunnel接口发送报文、识别并处理来自隧道的报文。

配置Tunnel接口时，需要注意：主备倒换或备用主控板拔出时，建立在主用主控板或备用主控板上的隧道接口不会被删除，若再配置相同的隧道接口，系统会提示隧道接口已经存在。如果需要删除隧道接口，请使用undo interface tunnel命令。

表1-2 配置Tunnel接口

1.4  配置IPv4 over IPv4隧道

1.4.1  配置步骤

配置IPv4 over IPv4隧道时，需要注意：

·     在本端设备上为隧道指定的目的端地址，应该与在对端设备上为隧道指定的源端地址相同；在本端设备上为隧道指定的源端地址，应该与在对端设备上为隧道指定的目的端地址相同。

·     在同一台设备上，隧道模式相同的Tunnel接口建议不要同时配置完全相同的源端地址和目的端地址。

·     本端隧道接口的IPv4地址与隧道的目的端地址不能在同一个网段内。

·     如果封装前IPv4报文的目的IPv4地址与Tunnel接口的IPv4地址不在同一个网段，则必须配置通过Tunnel接口到达目的IPv4地址的转发路由，以便需要进行封装的报文能正常转发。用户可以配置静态路由，指定到达目的IPv4地址的路由出接口为本端Tunnel接口或下一跳为对端Tunnel接口地址。用户也可以配置动态路由，在Tunnel接口使能动态路由协议。在隧道的两端都要进行转发路由的配置，配置的详细情况请参见“三层技术-IP路由配置指导”中的“静态路由”或其他路由协议配置。

·     配置经过隧道接口的路由时，路由的目的地址不能与该隧道的目的端地址在同一个网段内。

表1-3 配置IPv4 over IPv4隧道

1.4.2  配置举例

1. 组网需求

运行IP协议的两个子网Group 1和Group 2位于不同的区域，这两个子网都使用私网地址。通过在路由器Router A和路由器Router B之间建立IPv4 over IPv4隧道，实现两个子网的互联。

2. 组网图

图1-4 IPv4 over IPv4隧道组网图

3. 配置步骤

(1)     配置Router A

# 配置接口GigabitEthernet2/1/1的地址。

<RouterA> system-view

[RouterA] interface gigabitethernet 2/1/1

[RouterA-GigabitEthernet2/1/1] ip address 10.1.1.1 255.255.255.0

[RouterA-GigabitEthernet2/1/1] quit

# 配置接口Serial3/1/0（隧道的实际物理接口）的地址。

[RouterA] interface serial 3/1/0

[RouterA-Serial3/1/0] ip address 2.1.1.1 255.255.255.0

[RouterA-Serial3/1/0] quit

# 创建模式为IPv4 over IPv4隧道的接口Tunnel1。

[RouterA] interface tunnel 1 mode ipv4-ipv4

# 配置Tunnel1接口的IP地址。

[RouterA-Tunnel1] ip address 10.1.2.1 255.255.255.0

# 配置Tunnel1接口的源端地址（Serial3/1/0的IP地址）。

[RouterA-Tunnel1] source 2.1.1.1

# 配置Tunnel1接口的目的端地址（RouterB的Serial3/1/1的IP地址）。

[RouterA-Tunnel1] destination 3.1.1.1

[RouterA-Tunnel1] quit

# 配置从Router A经过Tunnel1接口到Group 2的静态路由。

[RouterA] ip route-static 10.1.3.0 255.255.255.0 tunnel 1

(2)     配置Router B

# 配置接口GigabitEthernet2/1/1的地址。

<RouterB> system-view

[RouterB] interface gigabitethernet 2/1/1

[RouterB-GigabitEthernet2/1/1] ip address 10.1.3.1 255.255.255.0

[RouterB-GigabitEthernet2/1/1] quit

# 配置接口Serial3/1/1（隧道的实际物理接口）的地址。

[RouterB] interface serial 3/1/1

[RouterB-Serial3/1/1] ip address 3.1.1.1 255.255.255.0

[RouterB-Serial3/1/1] quit

# 创建模式为IPv4 over IPv4隧道的接口Tunnel2。

[RouterB] interface tunnel 2 mode ipv4-ipv4

# 配置Tunnel2接口的IP地址。

[RouterB-Tunnel2] ip address 10.1.2.2 255.255.255.0

# 配置Tunnel2接口的源端地址（Serial3/1/1的IP地址）。

[RouterB-Tunnel2] source 3.1.1.1

# 配置Tunnel2接口的目的端地址（Router A的Serial3/1/0的IP地址）。

[RouterB-Tunnel2] destination 2.1.1.1

[RouterB-Tunnel2] quit

# 配置从Router B经过Tunnel2接口到Group 1的静态路由。

[RouterB] ip route-static 10.1.1.0 255.255.255.0 tunnel 2

4. 验证配置

# 完成上述配置后，在Router A和Router B上分别执行display interface tunnel命令，可以看出Tunnel接口处于up状态。（具体显示信息略）

# 从Router A和Router B上可以Ping通对端的GigabitEthernet2/1/1接口的IPv4地址。下面仅以Router A为例。

[RouterA] ping -a 10.1.1.1 10.1.3.1

Ping 10.1.3.1 (10.1.3.1) from 10.1.1.1: 56 data bytes, press CTRL_C to break

56 bytes from 10.1.3.1: icmp_seq=0 ttl=255 time=2.000 ms

56 bytes from 10.1.3.1: icmp_seq=1 ttl=255 time=1.000 ms

56 bytes from 10.1.3.1: icmp_seq=2 ttl=255 time=0.000 ms

56 bytes from 10.1.3.1: icmp_seq=3 ttl=255 time=1.000 ms

56 bytes from 10.1.3.1: icmp_seq=4 ttl=255 time=1.000 ms

--- Ping statistics for 10.1.3.1 ---

5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss

round-trip min/avg/max/std-dev = 0.000/1.000/2.000/0.632 ms

1.5  配置IPv4 over IPv6手动隧道

1.5.1  配置步骤

配置IPv4 over IPv6手动隧道时，需要注意：

·     在本端设备上为隧道指定的目的端地址，应该与在对端设备上为隧道指定的源端地址相同；在本端设备上为隧道指定的源端地址，应该与在对端设备上为隧道指定的目的端地址相同。

·     在同一台设备上，隧道模式相同的Tunnel接口建议不要同时配置完全相同的源端地址和目的端地址。

·     如果封装前IPv4报文的目的IPv4地址与Tunnel接口的IPv4地址不在同一个网段，则必须配置通过Tunnel接口到达目的IPv4地址的转发路由，以便需要进行封装的报文能正常转发。用户可以配置静态路由，指定到达目的IPv4地址的路由出接口为本端Tunnel接口或下一跳为对端Tunnel接口地址。用户也可以配置动态路由，在Tunnel接口使能动态路由协议。在隧道的两端都要进行转发路由的配置，配置的详细情况请参见“三层技术-IP路由配置指导”中的“静态路由”或其他路由协议配置。

表1-4 配置IPv4 over IPv6手动隧道

1.5.2  配置举例

1. 组网需求

两个IPv4网络分别通过Router A和Router B与IPv6网络连接。通过在Router A和Router B之间建立IPv4 over IPv6手动隧道，实现两个IPv4网络穿越IPv6网络互联。

2. 组网图

图1-5 IPv4 over IPv6手动隧道组网图

3. 配置步骤

(1)     配置Router A

# 配置接口GigabitEthernet2/1/1的地址。

<RouterA> system-view

[RouterA] interface gigabitethernet 2/1/1

[RouterA-GigabitEthernet2/1/1] ip address 30.1.1.1 255.255.255.0

[RouterA-GigabitEthernet2/1/1] quit

# 配置接口Serial3/1/0（隧道的实际物理接口）的地址。

[RouterA] interface serial 3/1/0

[RouterA-Serial3/1/0] ipv6 address 2001::1:1 64

[RouterA-Serial3/1/0] quit

# 创建模式为IPv4 over IPv6隧道的接口Tunnel1。

[RouterA] interface tunnel 1 mode ipv4-ipv6

# 配置Tunnel1接口的IP地址。

[RouterA-Tunnel1] ip address 30.1.2.1 255.255.255.0

# 配置Tunnel1接口的源端地址（Serial3/1/0的IP地址）。

[RouterA-Tunnel1] source 2001::1:1

# 配置Tunnel1接口的目的端地址（Router B的Serial3/1/1的IP地址）。

[RouterA-Tunnel1] destination 2002::2:1

[RouterA-Tunnel1] quit

# 配置从Router A经过Tunnel1接口到IPv4 network 2的静态路由。

[RouterA] ip route-static 30.1.3.0 255.255.255.0 tunnel 1

(2)     配置Router B

# 配置接口GigabitEthernet2/1/1的地址。

<RouterB> system-view

[RouterB] interface gigabitethernet 2/1/1

[RouterB-GigabitEthernet2/1/1] ip address 30.1.3.1 255.255.255.0

[RouterB-GigabitEthernet2/1/1] quit

# 配置接口Serial3/1/1（隧道的实际物理接口）的地址。

[RouterB] interface serial 3/1/1

[RouterB-Serial3/1/1] ipv6 address 2002::2:1 64

[RouterB-Serial3/1/1] quit

# 创建模式为IPv4 over IPv6隧道的接口Tunnel2。

[RouterB] interface tunnel 2 mode ipv4-ipv6

# 配置Tunnel2接口的IP地址。

[RouterB-Tunnel2] ip address 30.1.2.2 255.255.255.0

# 配置Tunnel2接口的源端地址（Serial3/1/1的IP地址）。

[RouterB-Tunnel2] source 2002::2:1

# 配置Tunnel2接口的目的端地址（Router A的Serial3/1/0的IP地址）。

[RouterB-Tunnel2] destination 2001::1:1

[RouterB-Tunnel2] quit

# 配置从Router B经过Tunnel2接口到IPv4 network 1的静态路由。

[RouterB] ip route-static 30.1.1.0 255.255.255.0 tunnel 2

4. 验证配置

# 完成上述配置后，在Router A和Router B上分别执行display interface tunnel命令，可以看出Tunnel接口处于up状态。（具体显示信息略）

# 从Router A和Router B可以Ping通对端的GigabitEthernet2/1/1接口的IPv4地址。下面仅以Router A为例。

[RouterA] ping -a 30.1.1.1 30.1.3.1

Ping 30.1.3.1 (30.1.3.1) from 30.1.1.1: 56 data bytes, press CTRL_C to break

56 bytes from 30.1.3.1: icmp_seq=0 ttl=255 time=3.000 ms

56 bytes from 30.1.3.1: icmp_seq=1 ttl=255 time=1.000 ms

56 bytes from 30.1.3.1: icmp_seq=2 ttl=255 time=0.000 ms

56 bytes from 30.1.3.1: icmp_seq=3 ttl=255 time=1.000 ms

56 bytes from 30.1.3.1: icmp_seq=4 ttl=255 time=1.000 ms

--- Ping statistics for 30.1.3.1 ---

5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss

round-trip min/avg/max/std-dev = 0.000/1.200/3.000/0.980 ms

1.6  配置IPv6 over IPv6隧道

1.6.1  配置步骤

配置IPv6 over IPv6隧道时，需要注意：

·     在本端设备上为隧道指定的目的端地址，应该与在对端设备上为隧道指定的源端地址相同；在本端设备上为隧道指定的源端地址，应该与在对端设备上为隧道指定的目的端地址相同。

·     在同一台设备上，隧道模式相同的Tunnel接口建议不要同时配置完全相同的源端地址和目的端地址。

·     本端隧道接口的IPv6地址与隧道的目的端地址不能在同一个网段内。

·     如果封装前IPv6报文的目的IPv6地址与Tunnel接口的IPv6地址不在同一个网段，则必须配置通过Tunnel接口到达目的IPv6地址的转发路由，以便需要进行封装的报文能正常转发。用户可以配置静态路由，指定到达目的IPv6地址的路由出接口为本端Tunnel接口或下一跳为对端Tunnel接口地址。用户也可以配置动态路由，在Tunnel接口使能动态路由协议。在隧道的两端都要进行转发路由的配置，配置的详细情况请参见“三层技术-IP路由配置指导”中的“IPv6静态路由”或其他路由协议配置。

·     配置经过隧道接口的路由时，路由的目的地址不能与该隧道的目的端地址在同一个网段内。

表1-5 配置IPv6 over IPv6隧道

1.6.2  配置举例

1. 组网需求

运行IPv6协议的两个子网Group 1和Group 2的网络地址不希望泄露到IPv6网络中。网络管理员通过在路由器Router A和路由器Router B之间建立IPv6 over IPv6隧道，实现在Group 1和Group 2的网络地址不被泄露的情况下，确保Group 1和Group 2互通。

2. 组网图

图1-6 IPv6 over IPv6隧道组网图

3. 配置步骤

(1)     配置Router A

# 配置接口GigabitEthernet2/1/1的地址。

<RouterA> system-view

[RouterA] interface gigabitethernet 2/1/1

[RouterA-GigabitEthernet2/1/1] ipv6 address 2002:1::1 64

[RouterA-GigabitEthernet2/1/1] quit

# 配置接口Serial3/1/0（隧道的实际物理接口）的地址。

[RouterA] interface serial 3/1/0

[RouterA-Serial3/1/0] ipv6 address 2001::11:1 64

[RouterA-Serial3/1/0] quit

# 创建模式为IPv6 over IPv6隧道的接口Tunnel1。

[RouterA] interface tunnel 1 mode ipv6-ipv6

# 配置Tunnel1接口的IP地址。

[RouterA-Tunnel1] ipv6 address 3001::1:1 64

# 配置Tunnel1接口的源端地址（Serial3/1/0的IP地址）。

[RouterA-Tunnel1] source 2001::11:1

# 配置Tunnel1接口的目的端地址（Router B的Serial3/1/1的IP地址）。

[RouterA-Tunnel1] destination 2002::22:1

[RouterA-Tunnel1] quit

# 配置从Router A经过Tunnel1接口到Group 2的静态路由。

[RouterA] ipv6 route-static 2002:3:: 64 tunnel 1

(2)     配置Router B

# 配置接口GigabitEthernet2/1/1的地址。

<RouterB> system-view

[RouterB] interface gigabitethernet 2/1/1

[RouterB-GigabitEthernet2/1/1] ipv6 address 2002:3::1 64

[RouterB-GigabitEthernet2/1/1] quit

# 配置接口Serial3/1/1（隧道的实际物理接口）的地址。

[RouterB] interface serial 3/1/1

[RouterB-Serial3/1/1] ipv6 address 2002::22:1 64

[RouterB-Serial3/1/1] quit

# 创建模式为IPv6 over IPv6隧道的接口Tunnel2。

[RouterB] interface tunnel 2 mode ipv6-ipv6

# 配置Tunnel2接口的IP地址。

[RouterB-Tunnel2] ipv6 address 3001::1:2 64

# 配置Tunnel2接口的源端地址（Serial3/1/1的IP地址）。

[RouterB-Tunnel2] source 2002::22:1

# 配置Tunnel2接口的目的端地址（Router A的Serial3/1/0的IP地址）。

[RouterB-Tunnel2] destination 2001::11:1

[RouterB-Tunnel2] quit

# 配置从Router B经过Tunnel2接口到Group 1的静态路由。

[RouterB] ipv6 route-static 2002:1:: 64 tunnel 2

4. 验证配置

# 完成上述配置后，在Router A和Router B上分别执行display ipv6 interface命令，可以看出Tunnel接口处于up状态。（具体显示信息略）

# 从Router A和Router B上可以Ping通对端的GigabitEthernet2/1/1接口的IPv6地址。下面仅以Router A为例。

[RouterA] ping ipv6 -a 2002:1::1 2002:3::1

Ping6(56 data bytes) 2002:1::1 --> 2002:3::1, press CTRL_C to break

56 bytes from 2002:3::1, icmp_seq=0 hlim=64 time=9.000 ms

56 bytes from 2002:3::1, icmp_seq=1 hlim=64 time=1.000 ms

56 bytes from 2002:3::1, icmp_seq=2 hlim=64 time=0.000 ms

56 bytes from 2002:3::1, icmp_seq=3 hlim=64 time=0.000 ms

56 bytes from 2002:3::1, icmp_seq=4 hlim=64 time=0.000 ms

--- Ping6 statistics for 2002:3::1 ---

5 packet(s) transmitted, 5 packet(s) received, 0.0% packet loss

round-trip min/avg/max/std-dev = 0.000/2.000/9.000/3.521 ms

1.7  隧道显示和维护

在完成上述配置后，在任意视图下执行display命令可以显示隧道配置后的运行情况，通过查看显示信息验证配置的效果。

在用户视图下执行reset命令可以清除Tunnel接口的统计信息。

表1-6 隧道显示和维护

1.8  常见错误配置举例

1.8.1  故障现象

在Tunnel接口上配置了相关的参数后（例如隧道的源端地址、目的端地址和隧道模式），Tunnel接口仍未处于up状态。

1.8.2  故障分析

Tunnel接口未处于up状态的原因可能是隧道起点的物理接口没有处于up状态，或隧道的目的端地址不可达。

1.8.3  处理过程

(1)     使用display interface和display ipv6 interface命令查看隧道起点的物理接口状态为up还是down。如果物理接口状态是down的，请检查网络连接。

(2)     使用display ipv6 routing-table和display ip routing-table命令查看是否目的端地址通过路由可达。如果路由表中没有保证隧道通讯的路由表项，请配置相关路由。