Вы здесь

DMVPN и EIGRP

Dynamic Multipoint VPN (DMVPN) - это VPN сеть с возможностью динамического создания туннелей между филиалами.
В отличие от обычных туннелей Point-To-Point DMVPN гораздо быстрее и удобнее настраивается когда нам необходимо иметь дело с большим количеством узлов. Кроме того с обычными PtP туннелями обычно используют топологию звезды, с центральным офисом в центре. Full mesh организовать с большим количеством офисов просто нереально, тогда как DMVPN обеспечивает создание динамических туннелей непосредственно из одного офиса в другой.
При добавлении нового маршрутизатора в DMVPN у нас нет необходимости изменять конфигурацию уже существующих машин.

В основе DMVPN лежат следующие технологии:
- mGRE-туннель;
- NHRP (Next Hop Resolution Protocol);
- Протоколы динамической маршрутизации;
- IPsec (IPsec profiles).

Рассмотрим практический пример организации DMVPN с EIGRP.
Несколько комментариев к конфигурации:

  • MTU (Maximum transmission Unit) - обозначает максимальный размер IP пакета. Обычно в MTU выставляется на 1500bytes. Если прибегает пакет с бОльшим размером, такой пакет подлежит фрагментации. Фрагментация очень нежелательна, т.к. сильно влияет на производительность.
    В нашем случае DMVPN + шифрование добавляют к пакету несколько заголовков (GRE + IPSec). Cisco рекомендует в туннеле выставить MTU 1400byte.

HUB
interface Tunnel200
description DMVPN HUB
ip address 10.5.0.1 255.255.255.0
no ip redirects
ip mtu 1400
ip hold-time eigrp 1 35
no ip next-hop-self eigrp 1
ip nhrp authentication key1
ip nhrp map multicast dynamic
ip nhrp network-id 200
ip tcp adjust-mss 1300
no ip split-horizon eigrp 1
tunnel source 87.227.40.107
tunnel mode gre multipoint

router eigrp 1
network 10.5.0.0 0.0.0.255
network 10.5.12.0 0.0.3.255
no auto-summary

SPOKE1
interface Tunnel200
description DMVPN SPOKE
ip address 10.5.0.19 255.255.255.0
no ip redirects
ip mtu 1400
ip nhrp authentication key1
ip nhrp map 10.5.0.1 87.227.40.107
ip nhrp map multicast 87.227.40.107
ip nhrp network-id 200
ip nhrp nhs 10.5.0.1
ip nhrp registration no-unique
ip hold-time eigrp 1 35
ip tcp adjust-mss 1300
delay 100000
tunnel source Ethernet1
tunnel mode gre multipoint

router eigrp 1
network 10.5.0.0 0.0.0.255
network 10.5.19.0 0.0.0.255
no auto-summary

SPOKE2
interface Tunnel200
description DMVPN SPOKE
ip address 10.5.0.22 255.255.255.0
no ip redirects
ip mtu 1400
ip nhrp authentication key1
ip nhrp map 10.5.0.1 87.227.40.107
ip nhrp map multicast 87.227.40.107
ip nhrp network-id 200
ip nhrp nhs 10.5.0.1
ip nhrp registration no-unique
ip hold-time eigrp 1 35
ip tcp adjust-mss 1300
delay 100000
tunnel source Ethernet1
tunnel mode gre multipoint

router eigrp 1
network 10.5.0.0 0.0.0.255
network 10.5.22.0 0.0.0.255
no auto-summary

SPOKE3
interface Tunnel200
description DMVPN SPOKE
ip address 10.5.0.27 255.255.255.0
no ip redirects
ip mtu 1400
ip hold-time eigrp 1 35
ip nhrp authentication key1
ip nhrp map 10.5.0.1 87.227.40.107
ip nhrp map multicast 87.227.40.107
ip nhrp network-id 200
ip nhrp nhs 10.5.0.1
ip nhrp registration no-unique
ip tcp adjust-mss 1300
delay 100000
tunnel source FastEthernet4
tunnel mode gre multipoint

router eigrp 1
network 10.5.0.0 0.0.0.255
network 10.5.27.0 0.0.0.255
no auto-summary

Проверка работы:
show ip nhrp nhs
show ip nhrp brief
show ip nhrp
show ip nhrp summary
show ip nhrp traffic

show ip eigrp neighbors
show ip route

Конфигурация HUB-SPOKE

В предыдущем конфиге, благодаря работе nhrp коммуникации SPOKE-SPOKE производятся непосредственно между ними.
В некоторых случаях необходимо, чтобы все коммуникации проходили через центр, в этом случае конфигурация SPOKE будет несколько другой:
мы уберём tunnel mode gre multipoint и добавим tunnel destination 87.227.40.107

SPOKE3

interface Tunnel200 description DMVPN SPOKE ip address 10.5.0.27 255.255.255.0 no ip redirects ip mtu 1400 ip hold-time eigrp 1 35 ip nhrp authentication key1 ip nhrp map 10.5.0.1 87.227.40.107 ip nhrp map multicast 87.227.40.107 ip nhrp network-id 200 ip nhrp nhs 10.5.0.1 ip nhrp registration no-unique ip tcp adjust-mss 1300 delay 100000 tunnel source FastEthernet4 tunnel destination 87.227.40.107

Комментарии

Очень заинтересовала эта тематика, свежий взгляд.

Спасибо, ПРосто и без лишней воды! если не возражаете размещу ссылку у себя на сайте.

Против ссылки не возражаю :)

А со статик-роутингом такую конструкцию не поднять?

Можно конечно, но усилий на поддержку статики требуется многократно больше чем для динамики

А как быть если с HUBа надо выключить связь только с SPOKE2а с остальными оставить?

Используйте Access lists

А как быть есть есть два хаба и каждому споку нужно к обоим строить тунель?

Один спок может работать с двумя хабами.
Нужно только использовать разные туннельные подсети, а также разные
ip nhrp network-id
ip nhrp authentication

Добавить комментарий

Filtered HTML

  • Адреса страниц и электронной почты автоматически преобразуются в ссылки.
  • Допустимые HTML-теги: <a> <em> <strong> <cite> <blockquote> <code> <ul> <ol> <li> <dl> <dt> <dd>
  • Строки и абзацы переносятся автоматически.

Plain text

  • HTML-теги не обрабатываются и показываются как обычный текст
  • Адреса страниц и электронной почты автоматически преобразуются в ссылки.
  • Строки и абзацы переносятся автоматически.
CAPTCHA
Этот вопрос задается для того, чтобы выяснить, являетесь ли Вы человеком или представляете из себя автоматическую спам-рассылку.
Target Image