动态VPN的实验.doc

动态多点VPN (DMVPN)的原理和配置方法 QQ:343083755 动感漠漠制作 动态多点VPN (DMVPN) -顾名思义：DMVPN应用在多点到多点的复杂VPN网络环境中。 DMVPN的动态连接关系是通过hub-spokes模式来实现，它可以在两个或多个DMVPN成员的各自子网间动态建立基于GRE over ipsec连接的路由路径。根据目的前缀和下一跳结合路由协议来推断调用的GRE隧道和相关ipsec 保护策略。 DMVPN还要结合mGRE(Multipoint GRE interfaces)和NHRP（Next Hop Resolution Protocol）等相关知识。 大致流程： 1． 首先通过mGRE的封装代替p-t-p GRE封装来减少手动tunnel 数量及有效结合NHRP。 2． NHRP结合动态路由协议来支持mGRE的下一跳动态解析功能，以便根据路由协议动态建立保护网络间的临时tunnel.(保护网络要路由通告出去) 3． 在mGRE下采用ipsec profile 实现 ipsec automatic proxy 功能；保护gre封装流量，加密根据NHRP和动态路由协议建立起来的保护网络间的临时tunnel。（由于是动态方式，IKE isakmp remote peers 为 0.0.0.0） Hub Configuration for DMVPN crypto isakmp policy 1 authentication pre-share crypto isakmp key ikecisco address 0.0.0.0 ! crypto ipsec transform-set myset esp-des esp-md5-hmac mode transport ! crypto ipsec profile vpnprof set transform-set myset ! interface Tunnel0 bandwidth 1000 ip address 10.0.0.1 255.255.255.0 ip mtu 1416（确保大包在加密之前分片，目的设备正常重组） ip nhrp authentication nhrp-pwd（nhrp认证，在匹配后，调用mGRE属性） ip nhrp map multicast dynamic（启用NHRP自动加入分支路由器到多播NHRP映射组中） ip nhrp network-id 99（启用NHRP,在匹配后，调用mGRE属性） ip nhrp holdtime 300 no ip split-horizon eigrp 1（当使用EIGRP协议时，屏蔽水平分割） no ip next-hop-self eigrp 1 (当使用EIGRP时，直接建立动态SPOKE-TO-SPOKE隧道) delay 1000 tunnel source Ethernet0 tunnel mode gre multipoint（设置隧道接口的封装模式为mGRE） tunnel key cisco (tunnel 认证) tunnel protection ipsec profile vpnprof(为隧道接口指定IPSEC模板) ! interface Ethernet0 ip address 172.17.0.1 255.255.255.0 ! interface Ethernet1 ip address 192.168.0.1 255.255.255.0 ! router eigrp 1 network 10.0.0.0 0.0.0.255 area 0 network 192.168.0.0 0.0.0.255 area 0 Spoke Configuration for DMVPN crypto isakmp policy 1 authentication pre-share crypto isakmp key ikecisco address 0.0.0.0 ! crypto ipsec transform-set myset esp-des esp-md5-hmac mode transport ! crypto ipsec profile vpnprof set transform-set myset ! interface Tunnel0 bandwidth 1000 ip address 10.0.0.2 255.255.255.0 ip mtu 1416 ip nhrp authentication nhrp-pwd ip nhrp map 10.0.0.1 172.17.0.1（