GRE-göng fyrir IPv4: hvenær þú þarft þau og hvernig þau eru sett upp

Göng (tunnel) gera þér kleift að nota IPv4-tölur á netþjóni sem gæti annars ekki borið þær. Blokkin er tilkynnt af neti sem getur tilkynnt hana, og göngin flytja umferð hennar til netþjónsins þíns og til baka. Þetta er svarið þegar þjónustuaðilinn þinn býður ekki bring your own IP (BYOIP), þegar þú hefur ekkert AS-númer, eða þegar þú þarft færri en þær 256 tölur sem internetið leiðir einar og sér.

Hvað göngin gera í raun

Pakkar til blokkarinnar þinnar berast til netsins sem tilkynnir hana. Þar er hverjum pakka pakkað inn í nýjan, sem stílaður er á netþjóninn þinn, og hann sendur yfir venjulegt internet. Netþjónninn þinn tekur hann upp og sér upprunalega pakkann, eins og tölurnar væru stilltar á staðbundnu viðmóti.

Original packet:  [IP header | data]
GRE packet:       [outer IP | GRE header | IP header | data]

Svör fara sömu leið til baka: netþjónninn pakkar þeim inn, sendir þau á hinn enda ganganna, og það net afhendir þau. Sú bakleið er skrefið sem flestar uppsetningar klikka á, og stillingarnar hér að neðan sýna af hverju.

Hvenær göng eru betri en BYOIP

BYOIP gerir ský- eða hýsingaraðila kleift að tilkynna blokkina þína frá eigin neti (hvaða þjónustuaðilar gera það). Þar sem það er í boði og þú hefur a.m.k. /24 er það hreinni kosturinn: ekkert aukahopp, enginn aukabilunarpunktur, og full bandbreidd þjónustuaðilans. Göng eru betri kostur í fjórum tilvikum.

• Þjónustuaðilinn þinn býður ekki BYOIP. Scaleway, til dæmis, segir það berum orðum í skjölun sinni, og nokkrir aðrir taka það aðeins eftir beiðni, fyrir sumar vörur sínar, eins og Infomaniak, TransIP og UpCloud. Aðrir, meðal annars Contabo, Exoscale, Hostinger og Akamai Cloud, birta alls ekkert ferli.
• Þú þarft færri en 256 tölur. /24 er minnsta blokkin sem net samþykkja í leiðatöflum sínum, og BYOIP engra þjónustuaðila fer niður fyrir hana. Göng geta afhent /29, eða staka tölu.
• Þú hefur ekkert ASN, og þjónustuaðilinn vill það. Sumir þjónustuaðilar taka aðeins við rýminu þínu yfir BGP-lotu með þínu eigin AS-númeri. Göng þurfa hvorugt.
• Þú vilt sömu tölur á nokkrum stöðum, eða frelsi til að flytja. Tilkynningin helst þar sem hún er; göngin fara hvert sem netþjónninn fer.

Verðið er krókur. Umferð fer á hinn enda ganganna áður en hún nær til þín, svo veldu endapunkt nálægt netþjóninum, og mundu að afköst ganganna, ekki tengi netþjónsins, setja þakið.

GRE eða WireGuard

Hvort tveggja flytur sömu umferð; munurinn er í því hvað leiðin milli endanna tveggja þarf.

Eigin listi WireGuard yfir stýrikerfi og RouterOS-skjölun MikroTik segja hvar það keyrir (kannað 22. október 2026).

Ef endapunkturinn þinn er á bak við NAT er valið tekið fyrir þig: WireGuard. Sama gildir um Azure, sem lokar á GRE í sýndarnetum sínum.

MTU og MSS: klassíska bilunin

Innpökkun bætir við hausum, svo stærsti pakkinn sem kemst inn í göngin er minni en 1.500 bæti venjulegrar Ethernet-tengingar: 1.476 bæti fyrir GRE yfir IPv4, og WireGuard keyrir oft á 1.420. Ef þetta er rangt sérðu klassíska einkennið: litlar fyrirspurnir virka, en stór niðurhöl og TLS-handabönd hanga, því pökkunum sem passa ekki er hent og skilaboðin sem ættu að tilkynna það eru oft síuð á leiðinni.

Tvær stillingar koma í veg fyrir þetta. Settu MTU gangaviðmótsins á rétt gildi, og takmarkaðu hámarksstærð TCP-hluta (MSS) á umferð sem þú leiðir um göngin, svo báðir endar samþykki að senda pakka sem passa. Við sendum bæði gildin með hverjum göngum, og breytum þeim eftir beiðni.

Lágmarksuppsetning á Linux

Dæmið hér að neðan færir blokk til eins Linux-netþjóns um GRE. Tölurnar eru skjölunarbil: 203.0.113.1 er opinber tala netþjónsins þíns, 198.51.100.1 hinn endi ganganna, og 192.0.2.0/24 blokkin.

# 1. The tunnel, from your server to the far end
ip tunnel add gre1 mode gre local 203.0.113.1 remote 198.51.100.1 ttl 255
ip link set gre1 mtu 1476 up
ip addr add 10.0.0.2/30 dev gre1

# 2. An address from the block on the server itself
ip addr add 192.0.2.10/32 dev lo

# 3. Replies from the block go back through the tunnel
ip rule add from 192.0.2.0/24 lookup 100
ip route add default via 10.0.0.1 dev gre1 table 100

Skref 3 er það sem fólk missir af. Án þess fara svör frá 192.0.2.10 út um eigin upptengingu þjónustuaðilans, með upprunatölu sem sá þjónustuaðili lét þig aldrei hafa, og varnarsíur hans gegn fölsun (anti-spoofing) henda þeim. Ef dreifingin þín virkjar stranga síun á bakleið (reverse-path filtering), stilltu hana líka á lausa fyrir göngin (sysctl -w net.ipv4.conf.gre1.rp_filter=2).

Ef netþjónninn leiðir blokkina áfram til sýndarvéla eða gáma, takmarkaðu MSS á umferðinni sem hann áframsendir:

iptables -t mangle -A FORWARD -o gre1 -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

BGP yfir göngin

Ef þú hefur eigið AS-númer og vilt stjórna tilkynningunni sjálf(ur) geturðu keyrt BGP-lotu yfir göngin í stað fastrar leiðar, með BIRD, FRR eða eigin þjónustu beinisins. Flestir viðskiptavinir þurfa þetta ekki og taka föstu uppsetninguna. Ef þú tilkynnir frá eigin ASN þarf ROA að nefna það ASN (RPKI og ROA).

Hvar RTM Networks kemur inn

Við tilkynnum blokkina og afhendum hana til netþjónsins þíns um GRE eða WireGuard, hvar sem netþjónninn er. Það virkar þar sem BYOIP virkar ekki, líka fyrir færri en 256 tölur og fyrir þjónustuaðila sem taka alls ekki við rýminu þínu. Segðu okkur hvar netþjónninn er og hvað hann keyrir, og við mælum með GRE eða WireGuard og sendum stillingarnar með réttum MTU- og MSS-gildum (GRE- og WireGuard-göng).