cisco dmvpn详解

《cisco dmvpn详解》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、CiscoDMvpn详解利用IPSec隧道在Internet上进行安全的数据传输，是目前公司总部与分支通讯的主要解决方案。IPSec网络的拓扑可以是星形结构（hub−and−spoke）也可以是网状结构（fullmesh）。实际应用中，数据流量主要分布在分支与中心之间，分支与分支之间的流量分布较少，所以星形结构（hub−and−spoke）通常是最常用的，并且它更经济。因为星形结构（hub−and−spoke）比网状结构（fullmesh）使用更少的点到点链路，可以减少线路费用。在星形拓扑中，分

2、支机构到分支机构（spoke−to−spoke）的连通不需要额外的通讯费用。但在星形结构中，分支到分支的通信必须跨越中心，这会耗费中心的资源并引入延时。尤其在用IPSec加密时，中心需要在发送数据分支的隧道上解密，而在接收数据的分支隧道上重新加密。还有一种情况是：通讯的两个分支在同一个城市，而中心在另一个城市，这便引入了不必要的延时。当星形IPSec网络（hub−and−spoke）规模不断扩展时，传统VPN的配置则愈加繁琐，且不便于维护和排错。因此IP数据包的动态路由将非常有意义。但IPSec

3、隧道和动态路由协议之间存在一个基础问题，动态路由协议依赖于多播或广播包进行路由更新，而IPSec隧道不支持多播或广播包的加密。这里便引入了动态多点VPN（DMVPN）的概念。这里将引入两个协议：GRE和NHRPGRE：通用路由封装。由IETF在RFC2784中定义。它是一个可在任意一种网络层协议上封装任意一个其它网络层协议的协议。GRE将有效载荷封装在一个GRE包中，然后再将此GRE包封装基于实际应用的传输协议上进行转发。IPSec不支持广播和组播传输，可是GRE能很好的支持运载广播和组播包到对

4、端，并且GRE隧道的数据包是单播的。这就意味着GRE隧道的数据包是可被IPSec加密的，也即GREOverIPSec。通过GRE隧道与IPSec加密相结合，利用动态路由协议在加密隧道两端的路由器上更新路由表。从隧道对端学到的子网在路由表条目里将会包含隧道对端的IP地址作为到达对端子网的下一跳地址。这样，隧道任何一端的网络发生变化，另外一端都会动态地学习到这个变化，并保持网络的连通性而无需改变路由器的配置。IPSec利用访问控制列表（ACL）来匹配感兴趣数据流。当有数据包匹配所定义的ACL时，IP

5、Sec加密隧道便会建立。当利用GREOverIPSec时，GRE隧道的配置已经包括了GRE隧道对端的地址，这个地址同时也是IPSec隧道的对端地址。所以，没有必要再单独为IPSec定义匹配ACL。通过将GRE隧道与IPSec绑定，GRE隧道一旦建立，将立刻触发IPSec加密。在用IPSec对GRE包进行加密时，可以将IPSec配置为传输模式，因为GRE已经将原始数据包封装为单播的IP包，没必要让IPSec再封装一个包头。GRE的特点使得IPSec也能时髦的运行动态协议了。至此，IPSec不支持动

6、态路由的历史改变了，DMVPN中的“多点”被摆平。接下来，让我们看看“动态”的特性是怎样被引入的？GRE建立了隧道，IPSec完成了VPN网络的加密部分。想要建立GRE隧道，隧道的一端必须知道另一端的IP地址，并且必须能够在Internet上路由。这就要求中心和所有分支路由器必须具有静态的公共IP地址。可是向ISP申请静态IP地址的费用是非常昂贵的。通常，为节约地址资源并提高有效利用率，无论是ADSL还是直接线缆接入，ISP会通过DHCP服务来提供动态IP地址。显然，GRE+IPSec需要明确知

7、道隧道两端的IP地址，而分支路由器外网接口的IP地址由其本地ISP动态分配，每次拨入网络的IP地址是不同的。GRE隧道没办法建立，那么VPN还是无法工作。NHRP：下一跳解析协议。由IETF在RFC2332中定义。用于解决非广播多路访问（NBMA）网络上的源节点（主机或路由器）如何获取到达目标节点的“下一跳”的互联网络层地址和NBMA子网地址。下面咱们一起看看NHRP是如何解决静态IP地址问题，而让VPN“动”起来的：1、分支到中心（Spoke−to−Hub）的动态隧道建立DMVPN网络中，中心

8、路由器上没有关于分支的GRE或IPSec配置信息，而在分支路由器上则必须依据中心路由器的公网IP地址和NHRP协议来配置GRE隧道。当分支路由器加电启动时，由ISP处通过DHCP获取IP地址，并自动建立IPSec加密的GRE隧道，通过NHRP向中心路由器注册自己的外网端口IP地址（貌似反弹连接）。这样做有三方面的原因：1、由于分支路由器外网端口的IP地址是自动获取的，每次上线时的IP地址可能不同，所以中心路由器无法根据该地址信息进行配置。2、中心路由器不必针对所有分支分别配置GRE或IPSec信