GRE 与 NAT 的配合

GRE 隧道本身无端口，穿越 NAT 依赖外层封装（常配合 IPsec 或 GRE over IPsec），单纯 GRE 在 NAT 后无法建立。

问题根源	GRE 协议号 47，NAT 无法区分多路隧道
解决路径	GRE over IPsec 或改用 VXLAN/IPsec 方案
放行要求	中间设备放行对应协议号或隧道封装端口

检查思路

1. 抓包确认 GRE 报文是否到达设备
2. 确认 NAT 设备是否丢弃协议 47
3. 评估改造成 IPsec 封装（4500/UDP）
4. 改造后验证隧道稳定性与 MTU

隧道类改造后必须复测 MSS/MTU，封装开销会压缩可用载荷。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌