以RT1私网访问RT2私网为例：

1.路由分析：

172.1.1.0/30                     S0/0        即：访问公网走S0/0；

192.168.2.0/24                   tunnul 0         访问RT2的私网走tunnul口

192.168.0.2/32                   tunnul 0         访问RT2的loopback口走tunnul口

192.168.3.0/24                   tunnul 0         访问RT2间tunnul隧道走tunnul口

0.0.0.0/0                        S0/0

2.实验分析：

验测方式：RT1#Ping 192.168.2.1 source 192.168.1.1

分析过程：

1.  数据流在RT1中，查路由表，下一跳为tunnul，数据丢到tunnul口；

2. 数据进入tunnul口后，无任何策略，从tunnul口出来。在tunnul出口时候，封装GRE头部，GRE封装新IP头的源、目的IP都是公网IP，即：172.1.1.2→172.1.2.2，查下一跳S0/0，故丢到公网出口；（此时两层IP头：GreIP头＋数据IP头）

3. 公网出口上做了crypto map，匹配acl，由于GRE封装后的数据源、目的IP都是公网IP，故全部能匹配acl，因此都需要做Ipsec封装（包括数据流量以及协议流量），封装之后把源GRE部分都加密，然后加上新IP头部。新IP头部源、目的IP也都是公网IP然后在从出口出去。（此时三层IP头：IpsecIP头＋GreIP头＋数据IP头；其中后面两个IP头被加密，看不到。）

   注：红色部分为加密部分