ipsec vpn + gre隧道的mtu设置详细解析

《ipsec vpn + gre隧道的mtu设置详细解析》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、Cisco给出的IpsecVPNMTU设置标准是1400字节，MSS值是1360。一般平时都这样设置，但为什么这样设置呢？？偶来解析下，也是对自己的总结。以下是GRETunnelMTU设置的几个例子1.GRE隧道的情况利用GRE隧道技术封装之后，原来的数据包会在IP报头前面加入一个新的IP报头和新的GRE报头。如下图，假设原始数据报头是IPX,那么在IPGRE的网络中传输就会封装上新IP报头＋GRE报头注意：新的IP报头长度20字节，GRE报头最小封装是4字节.那就是说现在的MTU必须调成1476字节，（1500-20-4=1476

2、）。否则将会自动分片，如果你把DF位设置位1，就丢包。2.IpsecVPN分2种情况，一种是隧道模式（PS:IPsec的隧道模式与GRE隧道不是一个概念，别混肴！），另一种是传输模式。传输模式只对IP负载部分进行加密,而在传输模式的基础上对IP负载的传输过程进行保护，需要用到隧道模式。Cisco默认的IpsecVPN就是隧道模式，如果你改为传输模式那数据只加密，而没有在传输过程作保护的，当然传输模式下遇到Man-in-middle的话，Hacker貌似也无法解密数据。(PS:记住啦，隧道模式是需要在已经加密的IP负载基础上加入新的I

3、P报头+AH报头或ESP报头滴!!!)①隧道模式中的以IP报头+AH报头封装的数据包格式AH报头的格式以及最小长度字节示意图注意：新的IP报头长度20字节，AH报头大小是可变的，但最小长度不能小于12字节（是不能小于12字节，并不是说AH报头就是12字节，至于最大字节限制有待验证!!!）那就是说现在的MTU最多也只能是(1500-20-12=1468)字节才能满足IpsecVPN隧道模式的条件。②隧道模式中的以IP报头+ESP报头封装的数据包格式ESP报头的格式以及最小长度字节示意图注意：新的IP报头长度20字节,ESP报头大小也是

4、可变的，但最小长度不能小于10字节那就是说，现在的MTU最多也只能是(1500-20-10=1470)字节才能满足IpsecVPN隧道模式的条件。3.Ipsec+GRE隧道的的情况其实现在已经很容易算出Ipsec+GRE隧道需要占用多小字节了，当用AH封装的时候格式是（新的IP报头+GRE报头+新的IP报头+最小AH报头=最小56字节)，即此时MTU最多只能设置(1500-20-4-20-12=1444字节)才能满足Ipsec+GRE的条件。同理，ESP封装的时候MTU最多只能设置1446字节。-------------------

5、--------------------------------------------------[背景知识]MTU:MaxitumTransmissionUnit最大传输单元MSS:MaxitumSegmentSize最大分段大小（偶是直译，翻译的不好，不要打俺PP）PPPoE:PPPOverEthernet（在以太网上承载PPP协议）[分析过程]先说说这MTU最大传输单元，这个最大传输单元实际上和链路层协议有着密切的关系，让我们先仔细回忆一下EthernetII帧的结构DMAC+SMAC+Type+Data+CRC由于以太网传

6、输电气方面的限制，每个以太网帧都有最小的大小64bytes最大不能超过1518bytes，对于小于或者大于这个限制的以太网帧我们都可以视之为错误的数据帧，一般的以太网转发设备会丢弃这些数据帧。（注：小于64Bytes的数据帧一般是由于以太网冲突产生的“碎片”或者线路干扰或者坏的以太网接口产生的，对于大于1518Bytes的数据帧我们一般把它叫做Giant帧，这种一般是由于线路干扰或者坏的以太网口产生）由于以太网EthernetII最大的数据帧是1518Bytes这样，刨去以太网帧的帧头（DMAC目的MAC地址48bit=6Bytes

7、+SMAC源MAC地址48bit=6Bytes+Type域2bytes）14Bytes和帧尾CRC校验部分4Bytes（这个部门有时候大家也把它叫做FCS），那么剩下承载上层协议的地方也就是Data域最大就只能有1500Bytes这个值我们就把它称之为MTU。这个就是网络层协议非常关心的地方，因为网络层协议比如IP协议会根据这个值来决定是否把上层传下来的数据进行分片。就好比一个盒子没法装下一大块面包，我们需要把面包切成片，装在多个盒子里面一样的道理。当两台远程PC互联的时候，它们的数据需要穿过很多的路由器和各种各样的网络媒介才能到达

8、对端，网络中不同媒介的MTU各不相同，就好比一长段的水管，由不同粗细的水管组成（MTU不同）通过这段水管最大水量就要由中间最细的水管决定。对于网络层的上层协议而言（我们以TCP/IP协议族为例）它们对水管粗细不在意它们认为这个是网络层