GRE-Tunnel für IPv4: wann Sie einen brauchen und wie Sie ihn einrichten

Ein Tunnel erlaubt Ihnen, IPv4-Adressen auf einem Server zu nutzen, der sie sonst nicht tragen könnte. Der Block wird von einem Netz angekündigt, das ihn ankündigen kann, und der Tunnel bringt seinen Verkehr zu Ihrem Server und zurück. Er ist die Antwort, wenn Ihr Anbieter kein Bring your own IP (BYOIP) anbietet, wenn Sie keine AS-Nummer haben oder wenn Sie weniger als die 256 Adressen brauchen, die das Internet für sich allein routet.

Was der Tunnel tatsächlich tut

Pakete für Ihren Block kommen bei dem Netz an, das ihn ankündigt. Dort wird jedes Paket in ein neues verpackt, an Ihren Server adressiert und über das gewöhnliche Internet geschickt. Ihr Server packt es aus und sieht das ursprüngliche Paket, als wären die Adressen auf einer lokalen Schnittstelle konfiguriert.

Ursprüngliches Paket: [IP-Header | Daten]
GRE-Paket:            [äußerer IP-Header | GRE-Header | IP-Header | Daten]

Antworten nehmen denselben Weg in umgekehrter Richtung: Ihr Server verpackt sie, schickt sie an das andere Ende des Tunnels, und dieses Netz stellt sie zu. Dieser Rückweg ist der Schritt, den die meisten Einrichtungen falsch machen, und die Konfiguration unten zeigt, warum.

Wann ein Tunnel besser ist als BYOIP

Mit BYOIP kündigt ein Cloud- oder Hosting-Anbieter Ihren Block aus seinem eigenen Netz an (welche Anbieter das tun). Wo es verfügbar ist und Sie mindestens ein /24 haben, ist es die sauberere Option: kein zusätzlicher Hop, kein zusätzlicher Ausfallpunkt und die volle Bandbreite des Anbieters. Ein Tunnel ist in vier Fällen die bessere Wahl.

• Ihr Anbieter bietet kein BYOIP an. Scaleway etwa sagt das klar in seiner Dokumentation, und mehrere andere nehmen es nur auf Anfrage und nur für einige ihrer Produkte an, etwa Infomaniak, TransIP und UpCloud. Andere, darunter Contabo, Exoscale, Hostinger und Akamai Cloud, veröffentlichen überhaupt kein Verfahren.
• Sie brauchen weniger als 256 Adressen. Ein /24 ist der kleinste Block, den Netze in ihre Routing-Tabellen aufnehmen, und das BYOIP keines Anbieters geht darunter. Ein Tunnel kann ein /29 oder eine einzelne Adresse liefern.
• Sie haben keine ASN, und der Anbieter verlangt eine. Manche Anbieter nehmen Ihren Adressraum nur über eine BGP-Session mit Ihrer eigenen AS-Nummer an. Ein Tunnel braucht keines von beiden.
• Sie wollen dieselben Adressen an mehreren Orten oder die Freiheit umzuziehen. Die Ankündigung bleibt, wo sie ist; der Tunnel geht dorthin, wo Ihr Server hingeht.

Der Preis ist ein Umweg. Der Verkehr läuft zum anderen Ende des Tunnels, bevor er Sie erreicht. Wählen Sie daher einen Endpunkt nahe an Ihrem Server, und denken Sie daran, dass die Kapazität des Tunnels die Obergrenze setzt, nicht der Port Ihres Servers.

GRE oder WireGuard

Beide transportieren denselben Verkehr; sie unterscheiden sich darin, was der Weg zwischen den beiden Enden braucht.

Die eigene Liste der Plattformen von WireGuard und die RouterOS-Dokumentation von MikroTik sagen, wo es läuft (geprüft am 22. Oktober 2026).

Sitzt Ihr Endpunkt hinter NAT, ist die Wahl für Sie getroffen: WireGuard. Dasselbe gilt für Azure, das GRE in seinen virtuellen Netzen blockiert.

MTU und MSS: der klassische Fehler

Die Kapselung fügt Header hinzu. Das größte Paket, das in den Tunnel passt, ist daher kleiner als die 1500 Byte einer einfachen Ethernet-Verbindung: 1476 Byte für GRE über IPv4, und WireGuard läuft üblicherweise mit 1420. Stimmt der Wert nicht, sehen Sie das klassische Symptom: Kleine Anfragen funktionieren, während große Downloads und TLS-Handshakes hängen, weil die Pakete, die nicht passen, verworfen werden und die Meldungen, die das berichten sollten, unterwegs oft gefiltert werden.

Zwei Einstellungen verhindern das. Setzen Sie die MTU der Tunnelschnittstelle auf den richtigen Wert, und begrenzen Sie die TCP Maximum Segment Size (MSS) für den Verkehr, den Sie durch den Tunnel routen, damit beide Enden nur Pakete senden, die passen. Wir schicken beide Werte mit jedem Tunnel mit und ändern sie auf Wunsch.

Eine minimale Linux-Einrichtung

Das Beispiel unten bringt einen Block per GRE auf einen einzelnen Linux-Server. Die Adressen sind Dokumentationsbereiche: 203.0.113.1 ist die öffentliche Adresse Ihres Servers, 198.51.100.1 das andere Ende des Tunnels und 192.0.2.0/24 der Block.

# 1. Der Tunnel, von Ihrem Server zum anderen Ende
ip tunnel add gre1 mode gre local 203.0.113.1 remote 198.51.100.1 ttl 255
ip link set gre1 mtu 1476 up
ip addr add 10.0.0.2/30 dev gre1

# 2. An address from the block on the server itself
ip addr add 192.0.2.10/32 dev lo

# 3. Replies from the block go back through the tunnel
ip rule add from 192.0.2.0/24 lookup 100
ip route add default via 10.0.0.1 dev gre1 table 100

Schritt 3 ist der, den viele übersehen. Ohne ihn verlassen Antworten von 192.0.2.10 den Server über den eigenen Uplink Ihres Anbieters, mit einer Absenderadresse, die dieser Anbieter Ihnen nie gegeben hat, und seine Anti-Spoofing-Filter verwerfen sie. Wenn Ihre Distribution striktes Reverse-Path-Filtering aktiviert, stellen Sie es für den Tunnel ebenfalls auf lose (sysctl -w net.ipv4.conf.gre1.rp_filter=2).

Routet der Server den Block weiter an virtuelle Maschinen oder Container, begrenzen Sie die MSS für den Verkehr, den er weiterleitet:

iptables -t mangle -A FORWARD -o gre1 -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

BGP über den Tunnel

Wenn Sie eine eigene AS-Nummer haben und die Ankündigung selbst steuern wollen, können Sie statt einer statischen Route eine BGP-Session über den Tunnel betreiben, mit BIRD, FRR oder dem eigenen Daemon Ihres Routers. Die meisten Kunden brauchen das nicht und nehmen die statische Einrichtung. Wenn Sie aus Ihrer eigenen ASN ankündigen, muss die ROA diese ASN nennen (RPKI und ROAs).

Wo RTM Networks ins Spiel kommt

Wir kündigen den Block an und liefern ihn über GRE oder WireGuard an Ihren Server, wo auch immer der Server steht. Das funktioniert dort, wo BYOIP nicht funktioniert, auch für weniger als 256 Adressen und für Anbieter, die Ihren Adressraum gar nicht annehmen. Sagen Sie uns, wo der Server steht und was darauf läuft, und wir empfehlen GRE oder WireGuard und schicken die Konfiguration mit den richtigen Werten für MTU und MSS (GRE- und WireGuard-Tunnel).