MGRE 多点通用路由封装 实现vpn

 由于gre协议部署vpn需要大量的tunnel 而且每增加一个路由器 tunnel的数量将指数型的上涨为了解决这一难题 于是产生了mgre将多个节点构成一个网段 是一种站点到中心式的结构 图中的R1地址固定选用其作为中心站点  而由于其它站点接口IP不一定固定 所以我们采用 nhrp下一跳路由发现协议来将接口的IP传输给中心 站点之间相互通信可以到中心下载map实现 map中记载着tunnel接口的IP和物理接口的IP对应关系

R1到R2是hdlc封装：

[R1-GigabitEthernet0/0/0]ip add 192.168.1.1 24
[R1-GigabitEthernet0/0/0]int s 4/0/0
[R1-Serial4/0/0]ip add 12.1.1.1 24	
[R1-Serial4/0/0]link-protocol hdlc
[R2-Serial4/0/1]ip add 12.1.1.2 24
[R2-Serial4/0/1]ink	
[R2-Serial4/0/1]li	
[R2-Serial4/0/1]link-protocol hdlc

R2到R3是ppp封装 pap认证 R2主认证方：

配置R2
[R2-Serial4/0/1]int s 3/0/0
[R2-Serial3/0/0]ip add 23.1.1.1 24
[R2-Serial3/0/0]link-protocol ppp
[R2-Serial3/0/0]aaa	
[R2-aaa]local-user wang password cipher 123456
Info: Add a new user.
[R2-aaa]local-user wang service-type ppp
[R2-aaa]int s3/0/0
[R2-Serial3/0/0]ppp authentication-mode pap
配置R3
[R3-Serial4/0/1]ip add 23.1.1.2 24
[R3-Serial4/0/1]ppp pap local-user wang password cipher 123456

pap认证方式会将密码明文传输 直接能抓取到

R2到R4是ppp封装 chap认证 R2主认证方：

R2:
[R2-Serial4/0/0]ip add 24.1.1.1 24
[R2-Serial4/0/0]q
[R2]aaa
[R2-aaa]local-user li password cipher 123456
Info: Add a new user.
[R2-aaa]local-user li service-type ppp
[R2-Serial4/0/0]ppp authentication-mode chap 
R4:
[R4-Serial4/0/1]ip add 24.1.1.2 24
[R4-Serial4/0/1]ppp chap user li
[R4-Serial4/0/1]ppp chap password cipher 123456

chap模式密码将被密文传输 

配置mgre R1作为中心站点：

[R1-Serial4/0/0]int tunnel 0/0/0
[R1-Tunnel0/0/0]ip add 1.1.1.1 24
[R1-Tunnel0/0/0]tunnel-protocol gre p2mp #设置隧道使用gre的点到多点配置
[R1-Tunnel0/0/0]source 12.1.1.1#源地址 指实际的地址
[R1-Tunnel0/0/0]nhrp entry multicast dynamic #将R1设置为中心
[R1-Tunnel0/0/0]nhrp network-id 100

各路由器到R2的路由使用缺省：出去R2外其它路由器都需要写缺省

ip route-static 0.0.0.0 0 12.1.1.2

分支：

[R3]int tunnel 0/0/0
[R3-Tunnel0/0/0]ip add 1.1.1.3 24
[R3-Tunnel0/0/0]tunnel-protocol gre p2mp 
[R3-Tunnel0/0/0]source Serial 4/0/1
[R3-Tunnel0/0/0]nhrp entry  1.1.1.1 12.1.1.1 register  #到中心节点 逻辑上到1.1.1.1 实际到12.1.1.1
[R3-Tunnel0/0/0]nhrp network-id 100

[R4-Tunnel0/0/0]ip add 1.1.1.4 24
[R4-Tunnel0/0/0]tunnel-protocol gre p2mp 
[R4-Tunnel0/0/0]nhrp entry 1.1.1.1 12.1.1.1  register 
[R4-Tunnel0/0/0]nhrp network-id 100

 能访问2的环回

配置2的环回
配置nat
[R1]acl 2000
[R1-acl-basic-2000]rule permit source 192.168.1.0 0.0.0.255
[R1-GigabitEthernet0/0/0]nat outbound 2000
[R3-Tunnel0/0/0]acl 2000
[R3-acl-basic-2000]rule permit source 192.168.2.0 0.0.0.255
[R3-acl-basic-2000]int s 4/0/1
[R3-Serial4/0/1]nat outbound 2000
[R4-acl-basic-2000]rule permit source 192.168.3.0 0.0.0.255 
[R4-acl-basic-2000]int s4/0/1
[R4-Serial4/0/1]nat outbound 2000

 rip获取路由 

[R4-rip-1]version 2
[R4-rip-1]network 1.0.0.0
[R4-rip-1]network 192.168.3.0
宣告主类网段 不需要宣告与isp连接真实的接口网段
[R1-rip-1]version 2
[R1-rip-1]network 1.0.0.0
[R1-rip-1]network 192.168.1.0

[R3-rip-1]version 2 
[R3-rip-1]network 1.0.0.0
[R3-rip-1]network 192.168.2.0

 R1的接口有防环机制导致路由不能共享从此口进不能从此口出

 

 我们需要取消R1的水平分割

[R1-Tunnel0/0/0]undo rip split-horizon

 如此一来就可以ping通了

满足题目要求