【华三】ADVPN概述和组成

ADVPN 概述

ADVPN（Auto Discovery Virtual Private Network，自动发现虚拟专用网络）是一种基于VAM（VPN Address Management，VPN地址管理）协议的动态VPN技术。

核心思想

1. VAM Client 从VAM Server获取目标VAM Client的公网地址，自动建立Hub-Spoke永久隧道以及Spoke-Spoke动态隧道；
2. Spoke-Spoke隧道仅在Spoke之间有数据交互时建立，当Spoke之间没有数据交互时，自动删除隧道，从而避免设备维护大量闲置的隧道表项，有效地提高设备资源的利用率。
3. 需要明确规划Hub和Spoke

ADVPN组件

VAM Server

是一个独立设备
负责收集、维护和分发VAM client的私网地址和公网地址的映射关系
VAM Server 需要具有固定公网地址，且该地址必须静态配置，不能动态变化

VAM Client

公司的所有站点，包括总部（Hub）和分部网络出口设备（Spoke）
主动向VAM Server注册自己的私网地址和公网地址的映射关系

Hub

ADVPN网络的中心设备，通常是企业总部的网关

Spoke

ADVPN网络的分支设备，通常是企业分支机构的网关

AAA服务器

用来对VAM Client的身份进行验证的

ADVPN优势

动态地址接入

在企业分部使用动态地址接入公网的环境中，ADVPN可以感知公网地址的变化，在各分部之间以及分部与总部之间自动建立VPN隧道。

分支间直接互联

ADVPN可在分支之间直接建立隧道（Full-Mseh网络），有利于减轻总部设备的负担和提高分支间的通信效率。

IPSec深度保护

借助IPSec的加密和认证技术，可为ADVPN隧道传输数据提供可的安全防护，Spoke-Spoke隧道默认是没有加密的，可以通过IPSec进行深度保护。

配置和维护简单

ADVPN支持动态路由协议，和GRE很像，分支站点只需要简单配置路由协议，即可快速实现VAM Client之间私网的互通。

ADVPN建立过程

（1）初始化&注册（二次校验）

初始化阶段：
VAM client和VAM server之间协商加密和认证的算法和密钥;
VAM client和VAM server之间完成第一次身份验证
注册阶段：（二次校验）
VAM client主动向VAM server注册自己的私网地址和公网地址的映射关系。
VAM server向VAM Client分发建立隧道所需的信息（Hub和Spoke等等）

（2）隧道建立

隧道建立阶段：
Hub和Spoke之间建立永久隧道，Spoke与Spoke之间建立流量触发的动态隧道
Spoke-Spoke隧道默认是以明文方式建立

（3）路由学习

路由学习阶段：
在ADVPN网络中，VAM Client死亡之间需要实现路由互通。ADVPN隧道的路由学习方式包括两种类型：静态路由协议（小型网络，需要手工配置）、动态路由协议（大型网络、部署简单）

（4）通过IPSec进行隧道数据的保护（可选）

两种组网方式

Full-Mesh网络

Spoke和Spoke之间可以直接建立隧道进行通信，不需要经过Hub转发。

Full-Mesh模式具有如下特点:

• Spoke之间的流量不需要经过Hub转发,从而减轻了Hub的压力。
• Spoke之间直接通信,数据传输效率较高。
• Spoke需要管理动态建立的隧道表项,因此对Spoke设备的处理能力有较高要求。
  

Hub-Spoke网络

Spoke和Spoke之间不可以直接建立隧道进行通信,必须经过Hub转发。

Hub-Spoke模式具有如下特点:

• Spoke之间的流量需要经过Hub转发，因此对Hub设备的处理能力有较高要求。
• Spoke之间通过Hub通信，数据传输效率较低。
• Spoke无需管理动态建立的隧道表项，从而减轻了Spoke的压力。