Huawei----隧道技术（一）

一、GRE Over IPSec的缺陷

1、IPSec隧道集中在Hub点，所有流量都穿越Hub点
2、每增加一个新的Spoke点，Hub点都必须被配置
3、若Spoke点的公网地址是动态变化的，部署点到点的GRE会存在问题

二、DSVPN原理
1、名词解释：
DSVPN：动态智能VPN
MGRE：多点GRE
NHRP协议：下一跳地址解析协议
可选的IPSec封装：实现数据的安全传输

2、原理：
（1）DSVPN通过NHRP协议（Next Hop Resolution Protocol，下一跳地址解析协议）动态收 集、维护和发布分支节点的公网地址信息，解决了分支节点动态公网IP地址问题。
（2）为了在VPN隧道中能够传送组播报文（如动态路由协议报文），DSVPN在网络节点之间 采用MGRE协议建立VPN隧道。
（3）分支之间建立VPN隧道以后，分支之间的业务流量将不再经过总部（Hub）中转，从而 减轻了总部的负担，也避免了网络延时

三、NHRP协议
1、原理
两个角色，Server和client，一般选择中心站点或者HUB为Server，，至少建立s和c的隧道，必须知道隧道地址和公网地址。然后c向s发送一个注册报文，向s申明自己的隧道地址和公网地址，
nhrp如果要支持nbma环境，必须要支持伪广播机制，
伪广播：当这个接口一旦发出组播包，会把这些组播包复制给所有通道。

2、协商过程
（1）Spoke与Hub间建立MGRE隧道

1）管理员在Spoke上手工配置Hub的Tunnel地址和公网地址后，Spoke将向Hub发送注 册消息（包含了Spoke节点的Tunnel地址和公网地址信息）。
2） Hub从注册请求中提取Spoke的Tunnel地址和公网地址（见Hub的NHRP映射表中红 色字体），并生成NHRP映射表，然后与Spoke之间建立MGRE隧道。
3）Spoke与Hub之间建立MGRE隧道以后，Spoke将按照网络中部署的路由方案学习路由

（2）Spoke与Spoke间建立MGRE隧道
两种方式：
1） Normal方式

2）Shortcut方式