华为智能私有网络解决方案

最新推荐文章于 2024-01-04 14:44:58 发布

DREW（德鲁）

最新推荐文章于 2024-01-04 14:44:58 发布

阅读量692

点赞数

分类专栏：华为数通笔记

本文链接：https://blog.csdn.net/qq_40170955/article/details/107681579

版权

华为数通笔记专栏收录该内容

29 篇文章

订阅专栏

DSVPN的组件
• 1.MGRE（Multipoint GRE），多点GRE。便于在VPN隧道中能够传送组播报文（如动态路由协议报文）
• 2.NHRP协议（Next Hop Resolution Protocol ），下一跳地址解析协议。动态收集、维护和发布分支节点的公网地址信息，解决了分支节点动态公网IP地址问题。
• 3.路由协议
• 4.可选的IPSec封装，实现数据的安全传输。
• DSVPN网络中多种路由协议：RIP、OSPF、BGP

MGRE（多点GRE）
MGRE （Multipoint Generic Routing Encapsulation ）点到多点的GRE 隧道，对传统点到点GRE隧道的一种扩展，报文封装过程和原理与GRE隧道完全相同
• 静态隧道（建立在Spoke与Hub之间，无论Spoke与Hub间是否有流量经过，该隧道一直存在）
• 动态隧道
建立在Spoke与Spoke之间，当Spoke与Spoke间有流量通过时，隧道被自动创建；当一定周期后没有流量经过，隧道将自动拆除

NHRP协议原理及作用
• NHRP（Next Hop Resolution Protocol）即下一跳地址解析协议。
• 基本原理：
• 源Spoke（隧道发起方）以到目的Spoke（隧道响应方）路由的下一跳地址为索引，向目的Spoke发送NHRP地址解析请求，目的Spoke收到该地址请求后将向源Spoke返回其公网地址。源Spoke获取到目的Spoke的公网地址后，两者之间将建立动态的MGRE隧道。
• 主要功能：
• 解决非点到点直连网络跨互联网映射问题。
 在DSVPN中网络中，源Spoke利用NHRP协议获取对端Spoke的公网地址，类似于IP—MAC或IP—DHCI号的对应关系。
 NHRP协议用对方的公网地址来封装其tunnel的IP地址，实质就是源分支如何获取目的分支的NBMA地址的过程。通过主动注册和查询来解决动态IP问题。
• 解决动态IP问题。

NHRP协议映射表
• NHRP映射表是有关Tunnel地址和公网地址的映射关系表。
• NHRP映射表中的表项按照生成方式的不同，分为静态表项和动态表项两种：
• 静态表项：由网络管理员手工配置生成。
 Spoke需要与Hub建立MGRE隧道，管理员就需要在Spoke上手工配置Hub的Tunnel地址和公网地址。
• 动态表项：通过主动注册或动态查询生成。
 源Spoke根据NHRP协议解析到目的Spoke的公网地址，然后自动更新到NHRP映射表的表项中。

IPSec安全封装
• 当企业需要对总部和分支机构以及分支机构间传输的数据进行加密保护的时候，可以在部署DSVPN的同时绑定IPSec安全框架，实现分支间同时动态建立起MGRE隧道和IPSec隧道。

DSVPN应用场景分析
• 基本场景
• 适于中小型企业网络，配置简单，易于管理，但存在单点故障的隐患。
• Hub主备备份场景
• DSVPN支持部署多台Hub设备，用以提高总部的可靠性。
• Hub负载分担场景
• 单台Hub设备受性能制约，其下所能连接的Spoke数量有限，当网络中Spoke节点较多时，总部需要部署多台Hub来提高总部的处理能力。
• 级联场景
• 适于Spoke节点较多且分布较分散的大型企业网络，Hub（总部）设备处理性能要求较高，但也存在一定的单点故障隐患。

实施动态路由协议建议
在这里插入图片描述定义mGRE
[HUB]interface Tunnel 0/0/0
[HUB-Tunnel0/0/0]ip add 172.16.1.1 24 //隧道地址
[HUB-Tunnel0/0/0]tunnel-protocol gre p2mp //隧道模式
[HUB-Tunnel0/0/0]source g0/0/0 //隧道源地址

[S1]int t0/0/0
[S1-Tunnel0/0/0]ip add 172.16.1.2 24
[S1-Tunnel0/0/0]tunnel-protocol gre p2mp
[S1-Tunnel0/0/0]source g0/0/0

3、定义NHRP
hub
[HUB]int t0/0/0
[HUB-Tunnel0/0/0]nhrp entry multicast dynamic // hub,必须
不必要
[HUB-Tunnel0/0/0]nhrp authentication simple cisco
[HUB-Tunnel0/0/0]nhrp network-id 1
[HUB-Tunnel0/0/0]nhrp redirect 第三阶段

spoke
[S1]int Tunnel 0/0/0
[S1-Tunnel0/0/0]nhrp entry 172.16.1.1 61.128.1.1 register // spoke注册，注册关键字很重要
[S1-Tunnel0/0/0]nhrp authentication simple cisco
[S1-Tunnel0/0/0]nhrp network-id 1
[S1-Tunnel0/0/0]nhrp shortcut 第三阶段