DM*PN 的三个发展阶段概述

已于 2023-11-07 13:44:06 修改
阅读量1.4k 收藏 23
点赞数 3
文章标签： 网络 服务器 运维
于 2022-09-26 00:23:07 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_39997345/article/details/127045886
版权

概述

  • DMVPN 是一个高扩展性的 IPSec VPN 解决方案，所谓高扩展性，是指适合企业级大规模部署的解决方案，例如，适用于一个企业拥有几百个分支机构的网络环境

传统 IPSec VPN 星型网络拓扑的局限性

  1. 中心站点配置量大

无论是采用经典配置的 IPSec VPN，还是采用 GRE Over IPSec 或 SVTI，多一个分支站点就要增加一份配置

     2. 分支站点间流量延时较大

即两个分支站点间不能直接通信，两个分支站点间通信需要经过 Hub 节点中转，数据被两次加解密，大大增加了延时时间

     3. 分支站点间流量占用中心带宽

在星型拓扑网络环境，分支站点间的所有流量，都要经过中心站点进行转发

传统 IPSec VPN 的网状模型存在的问题

  1. 中心与分支站点配置量大

无论是采用经典配置的 IPSec VPN，还是采用 GRE Over IPSec 或 SVTI，多一个分支站点，所有的站点都要多一份配置

     2. 分支站点需要维护过多的 IPSec SA

网状拓扑的 IPSec VPN，分支站点要和每一个其它站点建立 IPSec SA，如果站点过多，每一个分支站点就会维护很多的 IPSec SA

     3. 每一个分支站点需要固定 IP 地址

网状拓扑的 IPSec VPN，需要在任意两个站点间建立 IPSec VPN，所以每一个分支站点都需要有固定的 IP 地址

DMVPN 的优点

  • Zero-touch provisioning：零接触服务，增加新的分支站点，无需更改中心站点配置
  • Dynamic Spoke to Spoke tunnel：分支站点间流量，通过动态产生的站点间隧道进行封装
  • Flexible network topologies：灵活的网络拓扑，简单的星型拓扑配置，提供了虚拟网状连通性
  • Multicast support：组播支持，DMVPN支持组播流量通过隧道接口
  • Adaptable connectivity：适应性强的连通性，分支站点支持动态 IP 地址

DMVPN 三个发展阶段

  1. Phase 1：Spoke-to-Hub，星型拓扑
  • 中心站点为 mGRE 隧道，所有分支站点均为普通的点对点 GRE 隧道
  • 分支站点间的流量都必须经过中心站点进行转发
  • 阶段一的优点：
    • 增加分支站点并不会增加中心站点的配置量
    • 分支站点支持动态获取 IP 地址（所有阶段都支持）
    • 可以在 Hub 节点做路由汇总
  1. Phase 2：Spoke-to-Spoke，虚拟网状拓扑
  • 所有站点都配置 mGRE 隧道
  • 中心站点与分支站点间维护一个永恒的隧道，而分支站点与分支站点间则按需建立隧道，形成了虚拟网状拓扑，真正实现了 DMVPN 的高扩展性
  • 不支持 Hub 节点路由汇总
  1. Hierarchical Tree Spoke-to-Spoke，层次化（树状）设计
  • 主要用于超大范围部署
  • 能够实现不同区域的分支站点间直接建立隧道
  • 支持 Hub 端路由汇总，为 Spoke 节点间优化路由

DMVPN 的4大组件

  1. 动态多点 GRE，Multipoint GRE（mGRE）
  2. 下一跳解析协议（Next Hop Resolution Protocol）
  3. 动态路由协议（Dynamic Routing Protocol，EIGRP,OSPF,BGP）
  4. IPSec 技术

动态多点 GRE，Multipoint GRE（mGRE）

  • tunnel mode gre multipoint
  • 是一个典型的 NBMA 网络
  • 所有 mGRE 隧道接口都在同一个网段
  • 进入 mGRE 网络的任何一个分支站点能够和其它分支站点直接通信

下一跳解析协议（Next Hop Resolution Protocol）

  • mGRE 隧道的虚拟地址就是逻辑地址，物理接口地址就是公网地址，每一个站点的固定公网 IP 地址或者动态获取的公网 IP 地址，就是物理地址。NHRP 协议就是为了这个虚拟地址到公网地址的映射而设计的，首先每一个分支站点都需要手动映射中心站点的虚拟 IP 到公网 IP，所以中心站点必须拥有固定 IP 地址。分支站点有了这个手动映射就能够和中心站点取得联系，并且通过 NHRP 协议，注册这个分支站点的隧道虚拟 IP 到动态获取的公网 IP。一旦注册成功，中心站点就有所有分支站点的 NHRP 映射。这样中心站点也就能够访问所有注册后的分支站点。
  • 因为注册是动态的，所以分支站点支持动态获取地址。当某一分支站点希望访问另外一个分支站点时，它首先使用 NHRP 协议向中心站点（NHRP 服务器）询问目的分支站点隧道虚拟 IP 所对应的公网 IP 地址；接下来，中心站点就会将 NHRP 映射发送给发起方；在发起方收到了目的站点的 NHRP 映射以后，就能够通过 mGRE 直接发起隧道访问目的站点了。
  • 由于这个流量是两个分支站点间直接发起的，并不占用中心站点资源。

动态路由协议

  • 由于NBMA网络类型不支持直接承载组播信息，因此需要配置组播映射，把组播转换成为单播（Hub：ip nhrp map multicast dynamic；Spoke：ip nhrp map multicast Underlay_IP）
  • 因为只有中心站点才拥有固定 IP 地址，所以默认值能够配置分支站点和中心站点之间的组播映射
  • 所以动态路由协议的邻居关系，只会出现在分支站点和中心站点之间
  • mGRE 支持的路由协议包括：EIGRP、OSPF、BGP等。

IPSec 技术

  • 对 mGRE 流量进行加密
  • mGRE 只是一种特殊的 GRE 技术，IP 协议号和 GRE 一样都为 47
  • DMVPN 与 GRE over IPSec 的封装原理完全相同，依然是加密点等于通信点，推荐使用传输模式进行封装（mode transport）

DMVPN 第一阶段配置

拓扑：

中心站点 Hub 端通过 Internet 与两个分支站点 Spoke-1、Spoke-2互联，地址规划如下：

Hub 端

物理地址：12.1.1.100

隧道地址：172.16.1.100

Spoke-1 端

物理地址：23.1.1.1

隧道地址：172.16.1.1

Spoke-2 端

物理地址：24.1.1.1

隧道地址：172.16.1.2

路由器身后环回口模拟站点内部网络，Hub 端内部网络 10.0.0.0/16，Spoke-1 端内部网络 10.1.0.0/16，Spoke-2 端内部网络 10.2.0.0/16

基本配置

Internet 路由器基本配置

interface Ethernet0/0

 ip address 12.1.1.2 255.255.255.0

!

interface Ethernet0/1

 ip address 23.1.1.2 255.255.255.0

!

interface Ethernet0/2

 ip address 24.1.1.2 255.255.255.0

基本配置

Hub

interface Loopback100

 ip address 10.0.0.1 255.255.0.0

!

interface Ethernet0/0

 ip address 12.1.1.100 255.255.255.0

!

ip route 0.0.0.0 0.0.0.0 12.1.1.2

Spoke-1

interface Loopback1

 ip address 10.1.1.1 255.255.0.0

!

interface Ethernet0/0

 ip address 23.1.1.1 255.255.255.0

!

ip route 0.0.0.0 0.0.0.0 23.1.1.2

Spoke-2

interface Loopback1

 ip address 10.2.2.2 255.255.0.0

!

interface Ethernet0/0

 ip address 24.1.1.1 255.255.255.0

!

ip route 0.0.0.0 0.0.0.0 24.1.1.2

mGRE 和 NHRP 配置

Hub 路由器

Hub(config)# interface tunnel 0

Hub(config-if)# ip address 172.16.1.100 255.255.255.0

Hub(config-if)# tunnel mode gre multipoint   //配置隧道模式为多点 GRE

Hub(config-if)# tunnel source ethernet 0/0

Hub(config-if)# tunnel key 123   //配置隧道密钥为 123

Hub(config-if)# ip nhrp network-id 1   //nhrp开关，network-id 本地有效，建议所有站点相同

Hub(config-if)# ip nhrp authentication ccie   //可选配置，激活NHRP认证，密钥为 ccie

Hub(config-if)# ip nhrp map multicast dynamic   //Hub端建立动态接收 nhrp 的组播映射，默认配置

Spoke-1 配置

Spoke-1(config)# int tunnel 0

Spoke-1(config-if)# ip address 172.16.1.1 255.255.255.0

Spoke-1(config-if)# tunnel mode gre ip   //第一阶段，Spoke节点为点到点 GRE

Spoke-1(config-if)# tunnel source ethernet 0/0

Spoke-1(config-if)# tunnel destination 12.1.1.100

Spoke-1(config-if)# tunnel key 123

Spoke-1(config-if)# ip nhrp network-id 1

Spoke-1(config-if)# ip nhrp authentication ccie

Spoke-1(config-if)# ip nhrp nhs 172.16.1.100

//该配置定义了 NHRP 服务器地址为中心站点的隧道接口虚拟地址172.16.1.100；也可以这么理解，服务器地址一般都为站点内部的私有地址，NHS是NHRP服务器，只要是服务器就得配置企业内部的私有地址

Spoke-2 配置

Spoke-2(config)# interface tunnel 0

Spoke-2(config-if)# ip address 172.16.1.2 255.255.255.0

Spoke-2(config-if)# tunnel mode gre ip   //tunnel接口的默认配置

Spoke-2(config-if)# tunnel source ethernet 0/0

Spoke-2(config-if)# tunnel destination 12.1.1.100   //第一阶段spoke节点无需配置任何map信息，所以不要忘记配置tunnel目的地址

Spoke-2(config-if)# tunnel key 123

Spoke-2(config-if)# ip nhrp network-id 1

Spoke-2(config-if)# ip nhrp authentication ccie

Spoke-2(config-if)# ip nhrp nhs 172.16.1.100

验证 NHRP

Hub# show ip nhrp   //查看spoke手动注册的NHRP映射信息

172.16.1.1/32 via 172.16.1.1   ---------------   Spoke的overlay地址

   Tunnel0 created 00:12:15, expire 00:07:44

   Type: dynamic, Flags: registered nhop

   NBMA address: 23.1.1.1   ------------------  Spoke的underlay地址

172.16.1.2/32 via 172.16.1.2

   Tunnel0 created 00:09:09, expire 00:07:30

   Type: dynamic, Flags: registered nhop

   NBMA address: 24.1.1.1

由于只有 Hub 端是 mGRE，Spoke端还是 P2P GRE，所以只有 Hub 端才能看到 nhrp 映射信息

--------------------------------------------------------------------------------------------------

Hub# show ip nhrp multicast   //组播NHRP映射表

  I/F     NBMA address 

Tunnel0    23.1.1.1        Flags: dynamic          (Enabled)

Tunnel0    24.1.1.1        Flags: dynamic          (Enabled)

hub端根据spoke手动注册的nhrp映射信息，提取出来，放入到自己的组播nhrp映射表里，当发送组播报文时，自动封装组播nhrp映射表里的NBMA地址

--------------------------------------------------------------------------------------------------

动态路由协议 EIGRP 配置

Hub(config)#router eigrp ccie

Hub(config-router)#address-family ipv4 unicast autonomous-system 90

Hub(config-router-af)#network 172.16.1.100 0.0.0.0

Hub(config-router-af)#network 10.0.0.0 0.0.255.255

--------------------------------------------------------------------------------------------------

Spoke-1(config)#router eigrp ccie

Spoke-1(config-router)#address-family ipv4 unicast autonomous-system 90

Spoke-1(config-router-af)#network 172.16.1.1 0.0.0.0

Spoke-1(config-router-af)#network 10.1.0.0 0.0.255.255

--------------------------------------------------------------------------------------------------

Spoke-2(config)#router eigrp ccie

Spoke-2(config-router)#address-family ipv4 unicast autonomous-system 90

Spoke-2(config-router-af)#network 172.16.1.2 0.0.0.0

Spoke-2(config-router-af)#network 10.2.0.0 0.0.255.255

验证 EIGRP 配置

Hub# show ip eigrp neighbors

EIGRP-IPv4 VR(ccie) Address-Family Neighbors for AS(90)

H   Address                 Interface              Hold Uptime   SRTT   RTO  Q  Seq

                                                   (sec)         (ms)       Cnt Num

1   172.16.1.2              Tu0                      11 00:02:28    5  1428  0  4

0   172.16.1.1              Tu0                      10 00:02:46    4  1428  0  4

--------------------------------------------------------------------------------------------------

Spoke-1# show ip eigrp neighbors

EIGRP-IPv4 VR(ccie) Address-Family Neighbors for AS(90)

H   Address                 Interface              Hold Uptime   SRTT   RTO  Q  Seq

                                                   (sec)         (ms)       Cnt Num

0   172.16.1.100            Tu0                      14 00:07:25   14  1470  0  6

--------------------------------------------------------------------------------------------------

Spoke-2# show ip eigrp neighbors

EIGRP-IPv4 VR(ccie) Address-Family Neighbors for AS(90)

H   Address                 Interface              Hold Uptime   SRTT   RTO  Q  Seq

                                                   (sec)         (ms)       Cnt Num

0   172.16.1.100            Tu0                      10 00:10:20   10  1470  0  6

--------------------------------------------------------------------------------------------------

只有 Hub 端可以分别与两个Spoke建立邻居关系，而Spoke之间是无法建立邻居关系的，这主要是由 NHRP 的组播映射决定的，因为只有在中心站点和分支站点间才存在组播映射，分支站点之间是不存在组播映射的

查看 EIGRP 路由

Hub# show ip route eigrp | be Gateway

D        10.1.0.0/16 [90/76800640] via 172.16.1.1, 00:11:11, Tunnel0

D        10.2.0.0/16 [90/76800640] via 172.16.1.2, 00:10:54, Tunnel0

--------------------------------------------------------------------------------------------------

Spoke-1# show ip route eigrp | be Gateway

D        10.0.0.0/16 [90/76800640] via 172.16.1.100, 00:11:21, Tunnel0

--------------------------------------------------------------------------------------------------

Spoke-2# show ip route eigrp | be Gateway

D        10.0.0.0/16 [90/76800640] via 172.16.1.100, 00:11:04, Tunnel0

--------------------------------------------------------------------------------------------------

只有 Hub 端学到了两个分支站点的路由，而分支站点间没有学习到对方分支站点的路由，这是由于 EIGRP 默认开启的水平分割特性，也就是在 Hub 中心站点的隧道接口默认开启了 EIGRP 的水平分割特性造成的

关闭 Hub 端隧道接口水平分割特性

Hub(config)# router eigrp ccie

Hub(config-router)# address-family ipv4 unicast autonomous-system 90

Hub(config-router-af)# af-interface tunnel 0

Hub(config-router-af-interface)# no split-horizon

再次到两个分支站点间查看 EIGRP 路由

Spoke-1# show ip route eigrp | be Gateway

D        10.0.0.0/16 [90/76800640] via 172.16.1.100, 00:20:19, Tunnel0

D        10.2.0.0/16 [90/102400640] via 172.16.1.100, 00:02:49, Tunnel0

--------------------------------------------------------------------------------------------------

Spoke-2# show ip route eigrp | be Gateway

D        10.0.0.0/16 [90/76800640] via 172.16.1.100, 00:20:49, Tunnel0

D        10.1.0.0/16 [90/102400640] via 172.16.1.100, 00:03:37, Tunnel0

--------------------------------------------------------------------------------------------------

关闭水平分割后，分支站点互相学习到了对方内网的路由，由于是第一阶段，所以下一跳为中心站点

路由优化

由于第一阶段支持 Hub 端的路由汇总，用于优化 Spoke 节点的路由

--------------------------------------------------------------------------------------------------

Hub(config)# router eigrp ccie

Hub(config-router)# address-family ipv4 unicast autonomous-system 90

Hub(config-router-af)# af-interface tunnel 0

Hub(config-router-af-interface)# summary-address 10.0.0.0 255.0.0.0

--------------------------------------------------------------------------------------------------

Spoke-1# show ip route eigrp | be Gateway  

D        10.0.0.0/8 [90/76800640] via 172.16.1.100, 00:01:06, Tunnel0

--------------------------------------------------------------------------------------------------

Spoke-2# show ip route eigrp | be Gateway

D        10.0.0.0/8 [90/76800640] via 172.16.1.100, 00:01:11, Tunnel0

分支站点只有一条通过中心站点下放的汇总路由

网络连通性测试

Spoke-1# ping 10.0.0.1 source loop1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 10.0.0.1, timeout is 2 seconds:

Packet sent with a source address of 10.1.1.1

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

Spoke-1# ping 10.2.2.2 source loop1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 10.2.2.2, timeout is 2 seconds:

Packet sent with a source address of 10.1.1.1

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

Spoke-1# traceroute 10.2.2.2 source loop1

Type escape sequence to abort.

Tracing the route to 10.2.2.2

VRF info: (vrf in name/id, vrf out name/id)

  1 172.16.1.100 0 msec 0 msec 0 msec

  2 172.16.1.2 1 msec *  1 msec

DMVPN 第二阶段配置

要点：

Phase 2：Spoke-to-Spoke，虚拟网状拓扑

  • 由于第二阶段支持Spoke之间按需建立虚拟隧道，所以所有站点都要配置 mGRE 隧道
    • tunnel mode gre multipoint
  • ip nhrp nhs 172.16.1.100 nbma 12.1.1.100 multicast
    • ip nhrp map 172.16.1.100 12.1.1.100
    • ip nhp map multicast 12.1.1.100
    • ip nhrp nhs 172.16.1.100
  • 两个 Spoke 站点之间如何动态建立隧道
    • 首先根据路由表下一跳（spoke节点overlay地址）触发该通信需要建立动态虚拟隧道
    • 建立隧道之前，首先要知道对方 spoke 站点的 underlay 和 overlay 地址
    • 发起方 spoke 发送 nhrp 解析请求给 hub，该请求包含对方 spoke 站点的 overlay 地址
    • hub 把请求转发给 destination spoke
    • destination spoke 直接将自己的 underlay 地址发送给发起方 spoke
    • 发起方 spoke 知道了对方的 underlay 和 overlay 地址映射关系后，隧道建立完成
  • Overlay 使用 EIGRP 动态路由协议的注意事项
    • no ip split-horizon eigrp xx
    • no ip next-hop-self eigrp xx
      • 学到明细路由的下一跳地址保持不变
      • 产生该路由的Spoke节点的overlay地址，不会被hub替换掉
      • 下一跳地址为上一个发送该路由的路由器地址（发送该路由的Spoke节点overlay地址）

拓扑

同第一阶段拓扑

基本配置

同第一阶段，略

mGRE 和 NHRP 配置

Hub

interface Tunnel0

 ip address 172.16.1.100 255.255.255.0

 ip nhrp authentication ccie   //可选配置，激活NHRP认证，密钥为 ccie

 ip nhrp network-id 1   //nhrp开关，network-id 本地有效，建议所有站点相同

 ip nhrp map multicast dynamic   //Hub端建立动态接收 nhrp 的组播映射，默认配置(不显示)

 tunnel source Ethernet0/0

 tunnel mode gre multipoint   //配置隧道模式为多点 GRE

 tunnel key 123   //配置隧道密钥为 123

end

--------------------------------------------------------------------------------------------------

Spoke-1

interface Tunnel0

 ip address 172.16.1.1 255.255.255.0

 ip nhrp authentication ccie  

 ip nhrp map 172.16.1.100 12.1.1.100

 ip nhrp map multicast 12.1.1.100

 ip nhrp network-id 1   //nhrp开关，network-id 本地有效，建议所有站点相同

 ip nhrp nhs 172.16.1.100   //该配置定义了 NHRP 服务器地址为中心站点的隧道接口虚拟地址

​​​​​​​ tunnel source Ethernet0/0

 tunnel mode gre multipoint

 tunnel key 123  

end

--------------------------------------------------------------------------------------------------

Spoke-2

interface Tunnel0

 ip address 172.16.1.2 255.255.255.0

 ip nhrp authentication ccie

 ip nhrp map 172.16.1.100 12.1.1.100

 ip nhrp map multicast 12.1.1.100

 ip nhrp network-id 1

 ip nhrp nhs 172.16.1.100

 tunnel source Ethernet0/0

 tunnel mode gre multipoint

 tunnel key 123

end

--------------------------------------------------------------------------------------------------

Spoke-1(config-if)# ip nhrp map 172.16.1.100 12.1.1.100

//手动配置 nhrp 映射，映射中心站点的隧道虚拟 IP 地址（172.16.1.100）到中心站点的公网 IP 地址（12.1.1.100）。有了这个映射，分支站点才能访问中心站点。由于分支站点间没有配置组播映射，所以分支站点间没有动态路由协议的邻居关系

Spoke-1(config-if)# ip nhrp map multicast 12.1.1.100

//映射组播到中心站点的公网 IP 地址（12.1.1.100），告诉Spoke路由器发送组播目的 IP 地址封装12.1.1.100

EIGRP配置

Hub

router eigrp ccie

 !

 address-family ipv4 unicast autonomous-system 90

  !

  af-interface Tunnel0

   no next-hop-self

   no split-horizon

  exit-af-interface

  !

  topology base

  exit-af-topology

  network 10.0.0.0 0.0.255.255

  network 172.16.1.100 0.0.0.0

 exit-address-family

--------------------------------------------------------------------------------------------------

Spoke-1

router eigrp ccie

 !

 address-family ipv4 unicast autonomous-system 90

  !

  topology base

  exit-af-topology

  network 10.1.0.0 0.0.255.255

  network 172.16.1.1 0.0.0.0

 exit-address-family

--------------------------------------------------------------------------------------------------

Spoke-2

router eigrp ccie

 !

 address-family ipv4 unicast autonomous-system 90

  !

  topology base

  exit-af-topology

  network 10.2.0.0 0.0.255.255

  network 172.16.1.2 0.0.0.0

 exit-address-family

Spoke-1# show ip route eigrp | be Gateway

D        10.0.0.0/16 [90/76800640] via 172.16.1.100, 00:01:27, Tunnel0

D        10.2.0.0/16 [90/102400640] via 172.16.1.2, 00:01:27, Tunnel0

//由于Hub端关闭了水平分割，学到了对方Spoke节点内网路由；关闭了next-hop-self，下一跳为对方spoke节点overlay地址

验证

Spoke-1# ping 10.2.2.2 source loop1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 10.2.2.2, timeout is 2 seconds:

Packet sent with a source address of 10.1.1.1

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

Spoke-1# show ip nhrp

172.16.1.1/32 via 172.16.1.1

   Tunnel0 created 00:00:10, expire 00:09:49

   Type: dynamic, Flags: router unique local

   NBMA address: 23.1.1.1

    (no-socket)

172.16.1.2/32 via 172.16.1.2

   Tunnel0 created 00:00:10, expire 00:09:49

   Type: dynamic, Flags: router nhop  ------------- 动态建立隧道

   NBMA address: 24.1.1.1

172.16.1.100/32 via 172.16.1.100

   Tunnel0 created 00:20:50, never expire

   Type: static, Flags: used

   NBMA address: 12.1.1.100

--------------------------------------------------------------------------------------------------

Spoke-2# show ip nhrp

172.16.1.1/32 via 172.16.1.1

   Tunnel0 created 00:01:08, expire 00:08:51

   Type: dynamic, Flags: router nhop   ------------- 动态建立隧道

   NBMA address: 23.1.1.1

172.16.1.2/32 via 172.16.1.2

   Tunnel0 created 00:01:08, expire 00:08:51

   Type: dynamic, Flags: router unique local

   NBMA address: 24.1.1.1

    (no-socket)

172.16.1.100/32 via 172.16.1.100

   Tunnel0 created 00:16:40, never expire

   Type: static, Flags: used

   NBMA address: 12.1.1.100

Spoke-2# show ip nhrp multicast

  I/F     NBMA address 

Tunnel0    12.1.1.100      Flags: static           (Enabled)

Spoke-2# show dmvpn

Legend: Attrb --> S - Static, D - Dynamic, I - Incomplete

        N - NATed, L - Local, X - No Socket

        T1 - Route Installed, T2 - Nexthop-override

        C - CTS Capable, I2 - Temporary

        # Ent --> Number of NHRP entries with same NBMA peer

        NHS Status: E --> Expecting Replies, R --> Responding, W --> Waiting

        UpDn Time --> Up or Down Time for a Tunnel

==========================================================================

Interface: Tunnel0, IPv4 NHRP Details

Type:Spoke, NHRP Peers:2,

 # Ent  Peer NBMA Addr Peer Tunnel Add State  UpDn Tm Attrb

 ----- --------------- --------------- ----- -------- -----

     1 23.1.1.1             172.16.1.1    UP 00:01:22     D

     1 12.1.1.100         172.16.1.100    UP 00:16:53     S

--------------------------------------------------------------------------------------------------

Spoke-1# traceroute 10.2.2.2 source loopback 1

Type escape sequence to abort.

Tracing the route to 10.2.2.2

VRF info: (vrf in name/id, vrf out name/id)

  1 172.16.1.2 1 msec *  0 msec   //Spoke之间建立了虚拟隧道，直接进行通信，无需hub中转

DMVPN 第三阶段配置

要点：

  • 解决了第二阶段的不足：hub端不支持路由汇总，在一个大型网络，会对路由表造成负担
  • 第三阶段：结合了第一阶段的优点（hub端路由汇总）和第二阶段的优点（Spoke间动态建立隧道）
  • 当hub端收到了一个U型流量（从一个接口接收的流量又从该接口发送出去），感知到即将发生一个Spoke间通信，帮助Spoke间动态建立隧道，告诉spoke你可以建立一个直连隧道，无需再经过hub中转，告诉spoke你有一个更好的下一跳而不是我
  • 第三阶段无需关闭next-hop-self功能，而水平分割问题根据拓扑决定（通常关闭）
  • 告诉spoke最优的下一跳方法：
    • 在spoke上直接添加一条到达远端spoke overlay地址的路由；或通过IGP学到汇总路由，但没有到达远端的明细路由，Spoke节点间直连隧道建立后，会通过NHRP产生一条到达远端的明细路由
    • 对本地路由表里已经存在的到达远端站点的路由（下一跳指向hub的路由）直接overrides（next hop override），show ip route里显示%，show ip cef 可以看到真正的下一跳，或show ip route next hop override，以上都是本地有效
  • 将NHRP看成一个路由协议，在spoke节点的路由表里自动产生一条NHRP路由，下一跳是远端Spoke节点的overlay地址
  • DMVPN Phase 3 NHRP Shortcut Switching Enhancements
    • Hub节点：ip nhrp redirect
    • Spoke节点：ip nhrp shortcut（默认配置，show run 无法看到）

拓扑

配置

基本配置

Hub

interface Loopback100

 ip address 10.0.0.1 255.255.0.0

!

interface Ethernet0/0

 ip address 12.1.1.100 255.255.255.0

!

ip route 0.0.0.0 0.0.0.0 12.1.1.2

Spoke-1

interface Loopback1

 ip address 10.1.1.1 255.255.0.0

!

interface Ethernet0/0

 ip address 23.1.1.1 255.255.255.0

!

ip route 0.0.0.0 0.0.0.0 23.1.1.2

Spoke-2

interface Loopback1

 ip address 10.2.2.2 255.255.0.0

!

interface Loopback2

 ip address 192.168.2.2 255.255.255.0

!

interface Ethernet0/0

 ip address 24.1.1.1 255.255.255.0

!

ip route 0.0.0.0 0.0.0.0 24.1.1.2

mGRE和NHRP配置

Hub节点

Hub(config)# interface tunnel 0

Hub(config-if)# ip address 172.16.1.100 255.255.255.0

Hub(config-if)# tunnel mode gre multipoint

Hub(config-if)# tunnel source ethernet 0/0

Hub(config-if)# tunnel key 123

Hub(config-if)# ip nhrp network-id 100

Hub(config-if)# ip nhrp authentication cisco

Hub(config-if)# ip nhrp map multicast dynamic

Hub(config-if)# ip nhrp redirect

Spoke-1节点

Spoke-1(config)# interface tunnel 0

Spoke-1(config-if)# ip add 172.16.1.1 255.255.255.0

Spoke-1(config-if)# tunnel mode gre multipoint

Spoke-1(config-if)# tunnel source ethernet 0/0

Spoke-1(config-if)# tunnel key 123

Spoke-1(config-if)# ip nhrp network-id 100

Spoke-1(config-if)# ip nhrp authentication cisco

Spoke-1(config-if)# ip nhrp map 172.16.1.100 12.1.1.100

Spoke-1(config-if)# ip nhrp map multicast 12.1.1.100

Spoke-1(config-if)# ip nhrp nhs 172.16.1.100

Spoke-1(config-if)# ip nhrp shortcut

Spoke-2节点

Spoke-2(config)# interface tunnel 0

Spoke-2(config-if)# ip add 172.16.1.2 255.255.255.0

Spoke-2(config-if)# tunnel mode gre multipoint

Spoke-2(config-if)# tunnel source ethernet 0/0

Spoke-2(config-if)# tunnel key 123

Spoke-2(config-if)# ip nhrp network-id 100

Spoke-2(config-if)# ip nhrp authentication cisco

Spoke-2(config-if)# ip nhrp nhs 172.16.1.100 nbma 12.1.1.100 multicast

Spoke-2(config-if)# ip nhrp shortcut

EIGRP配置

Hub

Hub(config)# router eigrp ccie

Hub(config-router)# address-family ipv4 unicast autonomous-system 90

Hub(config-router-af)# network 172.16.1.100 0.0.0.0

Hub(config-router-af)# network 10.0.0.0 0.0.255.255

Hub(config-router-af)# af-interface tunnel 0

Hub(config-router-af-interface)# no split-horizon

Hub(config-router-af-interface)# summary-address 10.0.0.0 255.0.0.0

Hub(config-router-af-interface)# end

--------------------------------------------------------------------------------------------------

Spoke-1

Spoke-1(config)# router eigrp 90

Spoke-1(config-router)# network 172.16.1.1 0.0.0.0

Spoke-1(config-router)# network 10.1.0.0 0.0.255.255

Spoke-1(config-router)# end

--------------------------------------------------------------------------------------------------

Spoke-2

Spoke-2(config)# router eigrp 90

Spoke-2(config-router)# network 172.16.1.2 0.0.0.0

Spoke-2(config-router)# network 10.2.0.0 0.0.255.255

Spoke-2(config-router)# network 192.168.2.0 0.0.0.255

Spoke-2(config-router)# end

路由分析

Spoke-1# show ip route | be Gateway

Gateway of last resort is 23.1.1.2 to network 0.0.0.0

S*    0.0.0.0/0 [1/0] via 23.1.1.2

      10.0.0.0/8 is variably subnetted, 3 subnets, 3 masks

D        10.0.0.0/8 [90/26880032] via 172.16.1.100, 00:01:12, Tunnel0

C        10.1.0.0/16 is directly connected, Loopback1

L        10.1.1.1/32 is directly connected, Loopback1

      23.0.0.0/8 is variably subnetted, 2 subnets, 2 masks

C        23.1.1.0/24 is directly connected, Ethernet0/0

L        23.1.1.1/32 is directly connected, Ethernet0/0

      172.16.0.0/16 is variably subnetted, 2 subnets, 2 masks

C        172.16.1.0/24 is directly connected, Tunnel0

L        172.16.1.1/32 is directly connected, Tunnel0

D     192.168.2.0/24 [90/28288000] via 172.16.1.100, 00:00:33, Tunnel0

--------------------------------------------------------------------------------------------------

Spoke-1# ping 10.2.2.2 source loop1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 10.2.2.2, timeout is 2 seconds:

Packet sent with a source address of 10.1.1.1

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

--------------------------------------------------------------------------------------------------

icmp流量(10.2.2.2)自动触发两个Spoke之间隧道建立

 

Spoke-1# show ip nhrp

10.1.0.0/16 via 172.16.1.1

   Tunnel0 created 00:00:02, expire 00:09:57

   Type: dynamic, Flags: router unique local

   NBMA address: 23.1.1.1

    (no-socket)

10.2.0.0/16 via 172.16.1.2

   Tunnel0 created 00:00:02, expire 00:09:57

   Type: dynamic, Flags: router rib

   NBMA address: 24.1.1.1

172.16.1.2/32 via 172.16.1.2

   Tunnel0 created 00:00:02, expire 00:09:57

   Type: dynamic, Flags: router nhop rib

   NBMA address: 24.1.1.1

172.16.1.100/32 via 172.16.1.100

   Tunnel0 created 00:26:56, never expire

   Type: static, Flags: used

   NBMA address: 12.1.1.100

--------------------------------------------------------------------------------------------------

隧道建立之后查看Spoke-1的路由表如下

--------------------------------------------------------------------------------------------------

Spoke-1# ping 192.168.2.2 source loop1

Type escape sequence to abort.

Sending 5, 100-byte ICMP Echos to 192.168.2.2, timeout is 2 seconds:

Packet sent with a source address of 10.1.1.1

!!!!!

Success rate is 100 percent (5/5), round-trip min/avg/max = 1/1/1 ms

--------------------------------------------------------------------------------------------------

icmp流量(192.168.2.2)自动触发两个Spoke之间隧道建立

Spoke-1#show ip nhrp | be 192

192.168.2.0/24 via 172.16.1.2

   Tunnel0 created 00:00:18, expire 00:09:41

   Type: dynamic, Flags: router rib nho

   NBMA address: 24.1.1.1

--------------------------------------------------------------------------------------------------

隧道建立之后查看Spoke-1的路由表如下

--------------------------------------------------------------------------------------------------

CEF表里也可以看到真正的下一跳

Spoke-1#show ip cef | in 192

192.168.2.0/24       172.16.1.2           Tunnel0

--------------------------------------------------------------------------------------------------

报文转发路径，下一跳直接为Spoke节点overlay地址

Spoke-1#traceroute 192.168.2.2 source loop1

Type escape sequence to abort.

Tracing the route to 192.168.2.2

VRF info: (vrf in name/id, vrf out name/id)

  1 172.16.1.2 1 msec *  1 msec

AA震震
关注
  • 3
    点赞
  • 踩
  • 23
    收藏
    觉得还不错? 一键收藏
  • 9
    评论
Mcbsp.rar_DM643*_MCBSP
09-22
在DM643*上，MCBSP具有多个通道，每个通道都可以独立配置，以满足不同应用场景的需求。 MCBSP驱动程序源代码通常包括初始化设置、数据传输控制、中断处理等功能模块。以下是关键知识点的解析： 1. **初始化设置**...
DMVPN
xb_anquan的博客
06-14 634
VPN原理与实践-DMVPN ①根据拓扑配置ip地址 ②R1/2/3配置默认路由到R4，配置环回接口模拟内网主机 ③R1/2/3上建立多点GRE tunnel<通过MGRE实现> ④通过GRE tunnel实现逻辑通信<通过NHRP实现> ⑤配置使分支与总部之间的的LAN可以相互通信<通过动态路由协议实现> ⑥配置使分支与总部之间的通信数据加密<通过ipsec实现> ...
七、DM-VPN
liyao1569的博客
09-12 1479
本文介绍了DM VPN的具体过程以及配置中需要注意的一些要点
简单分析DMVPN技术
热门推荐
Lee's site
10-25 2万+
**定义：**动态多点VPN **技术组成：**MGRE+NHRP+IPSEC MGRE——解决隧道的封装技术 NHRP——解决多点网络的通信技术 IPSEC——解决专线的加密技术 技术特点：由客户自行配置维护，不需要ISP来管理 技术缺点：由于用封装技术穿越公共网络，所以稳定性不高 作用：解决在公共网络上多站点（私有网络）的互通问题 实验模型：（模拟现实环境） 1、实际的路由拓扑图示： 拓...
DMVPN 动态多点隧道技术
Alex的博客
08-07 3136
DMVPN，动态多点VPN
DMVPN(大学生易读版)
qq_74338624的博客
11-30 1212
DMVPN 是一个高扩展性的 IPSec VPN 解决方案，可以理解为GRE OVER IPSEC 升级版 MUTI GRE OVER IPSEC。
思科 DM（注释版）
weixin_42862151的博客
12-28 199
都在tunnel口配置 HUB: int tunnel 0 tunnel source e0/0 tunnel mode gre multipoint 改模式 动态多点 ip add 123.1.1.1 255.255.255.0 ip nhrp network-id 123 //下一条解析协议 route eigrp 100 no auto-summary network 123....
dm800se（新蕾4）三头驱动三个版本
03-23
标题中的“dm800se（新蕾4）三头驱动三个版本”指的是针对DM800SE（Dreambox 800 SE）机顶盒的新蕾4（可能是指固件或软件版本）的三款不同驱动程序。DM800SE是一款流行的开源数字电视接收器，通常用于接收卫星电视...
ANSYS DM T型管模型
08-01
在这个“ANSYS DM T型管模型”中，我们重点关注的是如何在ANSYS DesignModeler（DM）中构建并分析T型管道的三维模型，以及利用ANSYS Workbench进行综合仿真。 1. **ANSYS DesignModeler（DM）** ANSYS DM是ANSYS ...
DM412三通道LED STM32F103驱动
09-28
目前网上针对 DM412三通道LED恒流驱动芯片 代码例程稀缺， 通过相应技术手册，使用STM32F103mini板驱动DM412。 可实现按键改变亮度，串口显示 R G B 当前 三色灯 数据 欢迎交流~
Cisco 设备中的GRE和NHRP
Connor_xie的博客
08-31 4188
一、这个是比较像客户端的方向的配置方式，因为有一个 拨号光纤在，公网IP地址不是固定的。 interface Tunnel33 interface Tunnel33 配置tunnel（GRE隧道） description TEST ip address 192.168.11.70 255.255.255.252 虚拟口地址 i...
nhrp . IPSec
2201_75825131的博客
03-20 214
NHRP (Next Hop Resolution Protocol)是一种用于建立GRE隧道的协议。它是一个封装层协议，通常用于在分布式的网络中建立虚拟专用网络（VPN）。NHRP在两个端点之间动态识别下一跳，并将数据包转发到该下一跳。这使得VPN的路由能够动态更新，并且对于对等拓扑结构和负载平衡等因素变化能够进行快速适应。总部R1与分部R2、R3 上启用点到多点GRE隧道，隧道IP 地址段为10.5.1.0/24；
锐捷NHRP解析，MGRE+NHRP
最新发布
m0_73928695的博客
12-31 1189
NHRP由IETF在RFC 2332 中定义。用于解决非广播多路访问网络上的源节点（主机或者路由器）获取到达目标节点的“下一跳”的互联网络层地址和NBMA子网地址。NHRP协议是一个典型的客户端/服务器协议，分为NHS（NHRP服务器）和NHC（NHC客户端），每个子网至少有一个NHS，一个NHS可以为多个子网服务。
DMVPN---理论篇-1
qq_43331152的博客
10-08 3456
DMVPN的组成部分： 1、MGRE (multipoint GRE) 2、NHRP （Next Hop Resolution Protocol） 3、Dynamic Routing Protocol 4、IPSec VPN NHRP： 一个二层的客户-服务器解析协议，用于映射隧道地址（虚拟）到一个NBMA地址（物理）。NHRP的功能非常类似于ARP（映射IP（逻辑）到MAC（物理）和...
动态ip与静态ip的概念、区别、应用场景
Lion_Long的博客
06-24 8936
在互联网的海洋里，动态IP与静态IP如同两种不同的导航系统，引领着网络设备通往不同的连接体验与安全边界。动态IP的随需应变与静态IP的恒久稳定，各自为网络世界带来了独特价值。本文将深入探索这两者之间的区别、应用场景以及设置方法，助您在构建网络环境时做出明智选择，解锁高效、稳定且安全的互联网连接。
DM-VXN 单云双中心配置详解
qq_43210022的博客
08-06 1059
R1 R2 R4 R5 隧道配置EIGRP，顺便完成SPOKE 间通讯的特性设置。完成R1 R2 R4 R5 的TUNNEL 配置。完成VPN 的配置，并且接口下套用VPN。校验HUB是否收到SPOKE 地址信息。1、熟练实施DM-VPN 单云双中心。确认SPOKE 正常的交换路由信息。查看隧道eigrp邻接关系建立情况。查看eigrp邻接关系建立情况。......
DMVPN Note+Lab
繁星流动天际
04-12 553
DMVPN----Dynamic Multipoint VPN 动态多点VPN (DMVPN) - 顾名思义：DMVPN应用在多点到多点的复杂VPN网络环境中。 DMVPN的动态连接关系是通过hub-spokes模式来实现，它可以在两个或多个DMVPN成员的各自子网间动态建立基于GRE over ipsec连接的路由路径。根据目的前缀和下一跳结合路由协议来推断调用的GRE隧道和相...
基于深度学习的药物发现：使用GCN或DMPNN模型在ChEMBL数据集上进行药物发现任务
sybh的博客
04-29 723
欢迎来到本篇博客！在这篇文章中，我们将探讨如何使用图卷积网络（GCN）和深度分子传递网络（DMPNN）在ChEMBL数据集上进行药物发现任务。我们将用Python语言编写代码，并将一步步地解释每个部分。
DM542三个信号口作用
07-15
DM542是一种步进电机驱动器，它具有三个主要信号口，分别是步进脉冲（STEP），方向（DIR）和使能（EN）信号口。它们的作用如下： 1. 步进脉冲（STEP）信号口：STEP信号口用于控制步进电机的运动。通过输入脉冲信号，可以使步进电机按照设定的步进角度进行运动。每接收到一个脉冲信号，步进电机就会前进一定的步进角度。 2. 方向（DIR）信号口：DIR信号口用于控制步进电机的运动方向。通过改变DIR信号口的状态（高电平或低电平），可以使步进电机正转或反转。例如，将DIR信号口设置为高电平可以使步进电机顺时针旋转，而设置为低电平可以使其逆时针旋转。 3. 使能（EN）信号口：EN信号口用于控制步进电机的使能状态。当EN信号口为高电平时，步进电机将被使能，可以进行运动。当EN信号口为低电平时，步进电机将被禁用，停止运动。这个功能常用于控制步进电机的启动和停止。 通过这三个信号口的组合使用，可以实现对步进电机的精确控制，包括步进角度、运动方向和使能状态的控制。
评论 9
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值