一般来说 IPSEC的流量分布于基于总部与分支之间,分支与分支之间的流量分布较少，若分支到分支通信必须跨越中心，这会耗费中心的资源并导致带宽占用导致延时.而且分支多的时候,管理与维护必将繁琐，且不便于维护和排错.如果让分支到分支的流量不跨越中心,而且引入动态路由,将使得网络便于维护和得到充分利用.

但是IPSEC只支持单播加密,而动态路由的更新依赖于多播(RIPV1)或组播(RIPV2,EIGRP,OSPF),到这里我们便引入了动态多点××× （DM×××）的概念。
动态多点××× 依赖于GRE和NHRP
GRE：通用路由封装。它可以封装任意一种的网络协议,所以非常适合于×××中作为封装路由协议.由于GRE包是单播包(不加密),所以适合用IPSEC加密在×××之间传输,这样也可以作为GRE Over IPSec

百科连接 http://baike.baidu.com/view/1004.htm

NHRP：下一跳解析协议 用于连接到非广播多路访问（NBMA）式子网络的源站（主机或路由器）决定到达目标站间的 “ NBMA 下一跳 ”的互联网络层地址和 NBMA 子网地址。如果目的地与 NBMA 子网连接， NBMA 下一跳就是目标站；否则， NBMA 下一跳是从 NBMA 子网到目标站最近的出口路由器。 NHRP 被设计用于 NBMA 子网下的多重协议互联网络层环境中。

 

　　在到达要生成响应的站之前， NBMA 子网内的 NHRP 解析请求经过一个甚至更多的跳。包括源站在内的每个站选择一个它要转发 NHRP 解析请求所去的邻近 NHS 。 NHS 选择过程是：在能返回路由决定的协议层路由表上应用目的协议层地址。这种路由选择决定用于转发 NHRP 请求给下游的 NHS 。先前提到的目标协议层地址存放在 NHRP 解析请求包中。注意：即使一个协议层地址被用来获取路由选择决定， NHRP 包不会被封装于协议层头，而是通过由它自己的头描述的封装形式存放于 NBMA 层。

百科连接:http://baike.baidu.com/view/876129.htm

简单来说NHRP就是寻找到某条动态路由最近的下一跳而存在的

下面看动态隧道的建立

1.分支到中心（Spoke−to−Hub）的动态隧道建立

在DM×××网络中，各分支路由通过IPSEC加密GRE通道连接到中心路由,中心路由TUNNEL 配置如下:

 
  
  1. interface Tunnel0
     ip address 192.168.1.1 255.255.255.0

     ip nhrp authentication cisco
     ip nhrp map multicast dynamic
     ip nhrp network-id 999
     ip nhrp cache non-authoritative
     ip ospf network broadcast
     tunnel source FastEthernet1/0
     tunnel mode gre multipoint
     tunnel protection ipsec profile cisco
 
  
其中某分支TUNNEL配置如下:
 
  
 
  
  1. interface Tunnel0  
  2.  ip address 192.168.1.3 255.255.255.0  
  3.  ip nhrp authentication cisco  
  4.  ip nhrp map multicast 202.96.128.2  
  5.  ip nhrp map 192.168.1.1 202.96.128.2  
  6.  ip nhrp network-id 999  
  7.  ip nhrp nhs 192.168.1.1  
  8.  ip nhrp cache non-authoritative  
  9.  ip ospf network broadcast  
  10.  tunnel source FastEthernet1/0  
  11.  tunnel mode gre multipoint  
  12.  tunnel protection ipsec profile cisco 
 
  
由于分支路由器外网端口的IP地址是自动获取的(许多机构大都是采用ADSL)，每次连接公网的IP地址可能不同，所以中心路由器无法根据该地址信息进行配置。分支路由器上则必须依据中心路由器的公网IP地址和NHRP协议来配置GRE隧道,中心路由器不必针对所有分支分别配置GRE或IPSec信息，新加入的分支路由器将自动注册到中心路由器,将大大简化中心路由器的配置。
 
  
2、分支到分支（Spoke−to−Spoke）的动态隧道建立

 分支到中心（Spoke−to−Hub）的隧道一旦建立便持续存在，但各分支之间并不需要持续隧道。当一个分支需要向另一个分支需要通信时，它利用NHRP来动态获取目的分支的IP地址。该过程中，中心路由器充当NHRP服务器的角色，响应NHRP请求，向源分支提供目标分支的公网地址。于是，两个分支之间通过端口动态建立IPSec隧道，进行数据传输,过程就像DNS查询一样,该隧道在预定义的周期之后将关闭.
 
  
在路由器初始化后，中心路由器会通过持续存在的隧道向分支路由器宣告其它分支子网的可达路由。这样分支路由器的路由表中到达其它分支子网的“下一跳”地址仍是中心路由器的隧道端口地址，而不是其它分支路由器的隧道端口地址,这个问题如果我们使用的是链路状态路由协议的时候,是不存在下一跳地址被改变,但是如果我们使用的是距离向量型路由协议(RIP,EIGRP)的时候,默认是开启水平分割的,必须关闭,否则，分支路由器将无法学习到通往其它分支子网的路由。另外各点的TUNNEL下必须开启ip ospf broadcast,不然使用OSPF会导致上述问题

 下面是主要配置
 拓扑如下:
 
  
 
  
 
 
  
中心路由器R1配置如下:
 
  
 
  
  1. crypto isakmp policy 10 //ISAKMP策略  
  2.  encr 3des  
  3.  authentication pre-share  
  4. crypto isakmp key 110 address 0.0.0.0 0.0.0.0  
  5. !  
  6. !  
  7. crypto ipsec transform-set myset esp-3des esp-md5-hmac //统一IPSC策略集为ESP  
  8. !  
  9. crypto ipsec profile cisco //IPSEC配置profile  
  10.  set transform-set myset   
  11.  
  12. interface Tunnel0  
  13.  ip address 192.168.1.1 255.255.255.0  
  14.  no ip redirects  
  15.  ip nhrp authentication cisco //nhrp认证  
  16.  ip nhrp map multicast dynamic 
  17.  ip nhrp network-id 999 //network-id认证  
  18.  ip nhrp cache non-authoritative  
  19.  ip ospf network broadcast //OSPF接口类型  
  20.  tunnel source FastEthernet1/0  
  21.  tunnel mode gre multipoint //接口为GRE 多播  
  22.  tunnel protection ipsec profile cisco //启用IPSEC的profile  
  23. !  
  24. interface FastEthernet1/0  
  25.  ip address 202.96.128.2 255.255.255.0  
  26.  duplex auto  
  27.  speed auto  
  28. !  
  29. router ospf 100  //OSPF动态路由  
  30.  log-adjacency-changes  
  31.  router-id 192.168.1.1
  32.  network 3.3.3.0 0.0.0.255 area 0  
  33.  network 192.168.1.0 0.0.0.255 area 0  
  34. !  
  35. ip route 0.0.0.0 0.0.0.0 202.96.128.1 
 
  
分支R5配置:
 
  
 
  
  1. crypto isakmp policy 10  
  2.  encr 3des  
  3.  authentication pre-share  
  4. crypto isakmp key 110 address 0.0.0.0 0.0.0.0  
  5. !  
  6. crypto ipsec transform-set myset esp-3des esp-md5-hmac   
  7. !  
  8. crypto ipsec profile cisco  
  9.  set transform-set myset   
  10.  
  11. !  
  12. interface Loopback0  
  13.  ip address 2.2.2.1 255.255.255.0  
  14. !  
  15. interface Tunnel0  
  16.  ip address 192.168.1.2 255.255.255.0  
  17.  no ip redirects  
  18.  ip nhrp authentication cisco  
  19.  ip nhrp map multicast 202.96.128.2 //静态指向Hub的物理接口地址  
  20.  ip nhrp map 192.168.1.1 202.96.128.2 创建一个逻辑IP地址和NBMA地址的静态绑定  
  21.  ip nhrp network-id 999  
  22.  ip nhrp nhs 192.168.1.1 //NHS查询器地址  
  23.  ip nhrp cache non-authoritative  
  24.  ip ospf network broadcast
  25.  tunnel source FastEthernet1/0  
  26.  tunnel mode gre multipoint  
  27.  tunnel protection ipsec profile cisco  
  28. !  
  29. interface FastEthernet0/0  
  30.  no ip address  
  31.  shutdown  
  32.  duplex half  
  33. !  
  34. interface FastEthernet1/0  
  35.  ip address 202.96.129.2 255.255.255.0  
  36.  duplex auto  
  37.  speed auto  
  38. !  
  39. interface FastEthernet1/1  
  40.  no ip address  
  41.  shutdown  
  42.  duplex auto  
  43.  speed auto  
  44. !  
  45. router ospf 100  
  46.  log-adjacency-changes  
  47.  network 2.2.2.0 0.0.0.255 area 0  
  48.  network 192.168.1.0 0.0.0.255 area 0  
  49. !  
  50. ip route 0.0.0.0 0.0.0.0 202.96.129.1 
 
  
 分支R6配置如下:
 
  
 
 
  
 
  
  1. crypto isakmp policy 10  
  2.  encr 3des  
  3.  authentication pre-share  
  4. crypto isakmp key 110 address 0.0.0.0 0.0.0.0  
  5. !  
  6. crypto ipsec transform-set myset esp-3des esp-md5-hmac   
  7. !  
  8. crypto ipsec profile cisco  
  9.  set transform-set myset   
  10. !  
  11. interface Loopback0  
  12.  ip address 4.4.4.1 255.255.255.0  
  13. !  
  14. interface Tunnel0  
  15.  ip address 192.168.1.3 255.255.255.0  
  16.  no ip redirects  
  17.  ip nhrp authentication cisco  
  18.  ip nhrp map multicast 202.96.128.2  
  19.  ip nhrp map 192.168.1.1 202.96.128.2  
  20.  ip nhrp network-id 999  
  21.  ip nhrp nhs 192.168.1.1  
  22.  ip nhrp cache non-authoritative  
  23.  ip ospf network broadcast  
  24.  tunnel source FastEthernet1/0  
  25.  tunnel mode gre multipoint  
  26.  tunnel protection ipsec profile cisco  
  27. !  
  28. router ospf 100  
  29.  log-adjacency-changes  
  30.  network 4.4.4.0 0.0.0.255 area 0  
  31.  network 192.168.1.0 0.0.0.255 area 0  
  32. !  
  33. ip route 0.0.0.0 0.0.0.0 202.96.130.1 
 
  
现在看一下分支与中心的路由表
 
  
中心R1
 
  
 
  
分支R5
 
  
 
 
  
分支R6
 
  
 
  
在R5上TRCKER一下4.4.4.1(在R6上)
 
  
 
  
OK.实验结束