DSV Hub级联网络部署实验

---

提示：以下是本篇文章正文内容，下面案例可供参考

配置shortcut方式DSVPN示例（OSPF路由协议）

组网需求

某大型企业有总部（Hub）和多个分支（Spoke1、Spoke2……，举例中仅使用两个分支），分布在不同地域，总部和分支的子网环境会经常出现变动。分支采用动态地址接入公网。企业现网网络规划使用OSPF路由协议。

现在用户希望能够实现分支之间的VPN互联。

配置思路

企业网络管理员可以采用如下思路进行分析：

• 由于分支是采用动态地址接入公网的，分支之间互相不知道对方的公网地址，因此必须采用DSVPN来实现分支之间的VPN互联。
• 由于分支数量较多，因此采用shortcut方式的DSVPN。
• 由于分支和总部的子网环境经常出现变动，为简化维护并根据企业网络规划，选择部署OSPF路由协议来实现分支/总部间的通信。

配置：
AR1

#
interface GigabitEthernet0/0/0
 ip address 11.1.1.1 255.255.255.0 
#
interface LoopBack0
 ip address 192.168.0.1 255.255.255.0 
#
interface Tunnel0/0/0
 ip address 172.16.1.1 255.255.255.0 
 tunnel-protocol gre p2mp
 source GigabitEthernet0/0/0
 ospf network-type p2mp
 nhrp redirect
 nhrp entry multicast dynamic
#
ospf 1 
 area 0.0.0.0 
  network 172.16.1.1 0.0.0.0 
  network 192.168.0.1 0.0.0.0 
#
ospf 2 
 area 0.0.0.1 
  network 11.1.1.1 0.0.0.0 
#

AR2

#
interface GigabitEthernet0/0/0
 ip address 12.1.1.1 255.255.255.0 
#
interface LoopBack0
 ip address 192.168.1.1 255.255.255.0 
#
interface Tunnel0/0/0
 ip address 172.16.1.2 255.255.255.0 
 tunnel-protocol gre p2mp
 source 12.1.1.1
 ospf network-type p2mp
 nhrp shortcut
 nhrp entry 172.16.1.1 11.1.1.1 register
#
ospf 1 
 area 0.0.0.0 
  network 172.16.1.2 0.0.0.0 
  network 192.168.1.1 0.0.0.0 
#
ospf 2 
 area 0.0.0.1 
  network 12.1.1.1 0.0.0.0 
#

AR3

#
interface GigabitEthernet0/0/0
 ip address 13.1.1.1 255.255.255.0 
#
interface LoopBack0
 ip address 192.168.2.1 255.255.255.0 
#
interface Tunnel0/0/0
 ip address 172.16.1.3 255.255.255.0 
 tunnel-protocol gre p2mp
 source GigabitEthernet0/0/0
 ospf network-type p2mp
 nhrp shortcut
 nhrp entry 172.16.1.1 11.1.1.1 register
#
ospf 1 
 area 0.0.0.0 
  network 172.16.1.3 0.0.0.0 
  network 192.168.2.1 0.0.0.0 
#
ospf 2 
 area 0.0.0.1 
  network 13.1.1.1 0.0.0.0 
#

R1

#
interface Ethernet0/0/0
 ip address 11.1.1.2 255.255.255.0
#
interface Ethernet0/0/1
 ip address 12.1.1.2 255.255.255.0
#
interface GigabitEthernet0/0/0
 ip address 13.1.1.2 255.255.255.0
#
ospf 2
 area 0.0.0.1
  network 11.1.1.2 0.0.0.0
  network 12.1.1.2 0.0.0.0
  network 13.1.1.2 0.0.0.0
#

测试一下：R2第一次去R3需要向R1请求nhrp表，找到后可以直接与R3通信

在R2上查看nhrp peer

R3

可以看到AR2去AR3直接去，不用到AR1中转，实现了分支间的直接互联。

正常情况下，配置接口网络模式为p2mp模式，R2与R3相互通信需要经过R1中转，不可以直接互通。

如果修改接口网络模式为broadcast模式，R2与R3通信可以直接通信，不用R1中转，但是需要选举DR/BDR，而且需要修改非DR的ospf-dr-priority为0，放弃选举来固定DR位置。虽然可以实现分支间的vpn互联，但是在DSVPN Hub级联情况下，不可以实现分支间互联，如下面的实验。

p2mp模式下，配置shortcut以及reflect可以实现分支间的vpn互联

Hub级联网络部署DSVPN

同一台级联总部R1（R2和R3）下的Spoke与Spoke之间建立动态mGRE隧道的原理同DSVPN基本原理一样。当R2下的Spoke需要与R3下的Spoke建立动态mGRE隧道时，源Spoke将向R2发送NHRP地址解析请求，该地址解析请求经R2转发后最终到达R1（总部），R1（总部）再将NHRP地址解析请求发送至R3，并最终到达目的Spoke，从而实现在级联场景下建立Spoke与Spoke之间的动态mGRE隧道。

对上图进行扩展，要实现AR7与AR8之间的vpn互联

R2、R3新增配置

#
interface Tunnel0/0/0
 nhrp redirect
 nhrp entry multicast dynamic
#

R7

#
interface GigabitEthernet0/0/0
 ip address 17.1.1.1 255.255.255.0 
#
interface LoopBack0
 ip address 192.168.3.1 255.255.255.0 
#
interface Tunnel0/0/0
 ip address 172.16.1.4 255.255.255.0 
 tunnel-protocol gre p2mp
 source GigabitEthernet0/0/0
 ospf network-type p2mp
 nhrp shortcut
 nhrp entry 172.16.1.2 12.1.1.1 register
#
ospf 1 
 area 0.0.0.0 
  network 172.16.1.4 0.0.0.0 
  network 192.168.3.1 0.0.0.0 
#
ospf 2 
 area 0.0.0.1 
  network 17.1.1.1 0.0.0.0 
#

R8略

R7去R8测试一下：第一次会向上级递归查询nhrp表直到R1，找到后之后互联

查看nhrp表