gre over ipsec 为什么最后应用在物理接口，而不是隧道接口

gre over ipsec 为什么最后应用在物理接口，而不是隧道接口

ipsec over gre ,加密是在隧道口。

而gre over ipsec , 先把数据分装成GRE包，然后再封装成IPSEC包。而ipsec的加密，是在物理接口上监控，是否有需要加密的GRE流量 。追问那新版的做法，为什么是直接在隧道口上面进行调用的追答那是在ipsec的隧道接口上做的，不是在gre隧道接口。追问in tunnel 1

tunnel protection ipsec profile a
这句命令 是在ipsec的隧道接口做的，不是gre隧道接口？？？？这不是进入tunnle接口的嘛？？求大神解释清楚追答profile模式下，是应用在gre隧道
还有一种vti模式，是应用在ipsec隧道追问新版的可以应用在gre隧道里面加密。所以我就搞不懂，为什么旧版的不直接应用在gre隧道里面进行加密呢。求大神解答追答版本不一样，旧版本不支持新的技术，技术是不断更新的。
ipsec隧道一共有三个实现方法，刚开始是经典的ipsec里加密。然后是profile方法，后来是vti方法。

老版调用在物理接口是因为先查路由封装成GRE,再查出接口的map然后封装ipsec,新版调用在隧道接口是以隧道名义发出的数据包都会被加密。