Маршрутизатор луча (новый) crypto map vpnmap1 10 IPsec-isakmp set peer 172.17.0.1 set transform-set trans2 match address 101 ! interface Tunnel0 bandwidth 1000 ip address 10.0.0. 255.255.255.0 ip mtu 1400 ip nhrp authentication test ip nhrp map 10.0.0.1 172.17.0.1 ip nhrp network-id 100000 ip nhrp holdtime 300 ip nhrp nhs 10.0.0.1 delay 1000 tunnel source Ethernet0 tunnel destination 172.17.0.1 tunnel key 100000 ! interface Ethernet0 ip address 172.16. .1 255.255.255.252 crypto map vpnmap1 ! . . . ! access-list 101 permit gre host 172.16. .1 host 172.17.0.1 ! На лучевых маршрутизаторах изменилась маска подсети, и на туннельный интерфейс были добавлены команды NHRP.
Команды NHRP необходимы, т.к. маршрутизатор концентратора теперь использует NHRP для сопоставления IP-адреса туннельного интерфейса луча с IP-адресом физического интерфейса луча. ip address 10.0.0. 255.255.255.0 ip mtu 1400 ip nhrp authentication test ip nhrp map 10.0.0.1 172.17.0.1 ip nhrp network-id 100000 ip nhrp holdtime 300 ip nhrp nhs 10.0.0.1 ... tunnel key 100000 Подсеть теперь /24 вместо /30, поэтому все узлы находятся в одной подсети, а не в разных. Лучевые устройства по-прежнему передают трафик между лучами через концентратор, поскольку они используют двухточечный туннельный интерфейс GRE. Команды ip nhrp authentication ... , ip nhrp network-id ... и tunnel key ...
используются для сопоставления туннельных пакетов и пакетов NHRP с правильным широковещательным туннельным интерфейсом GRE и сетью NHRP при их получении концентратором. Команды ip nhrp map ... и ip nhrp nhs ... используются протоколом NHRP на луче для объявления сопоставления NHRP лучей (10.0.0. --> 172.16. .1) с концентратором. Адрес 10.0.0. извлекается из команды ip address ... на туннельном интерфейсе, и адрес 172.16. .1 извлекается из команды tunnel destination ... на туннельном интерфейсе. В случае 300 лучевых маршрутизаторов это изменение уменьшит число строк настройки на концентраторе с 3 900 до 16 (на 3 884 строки).
Размер настройки на каждом лучевом маршрутизаторе увеличится на 6 строк. Поддержка динамических адресов на лучах Перед установлением туннельного соединения по протоколу IPSec на маршрутизаторе Cisco для каждого однорангового узла необходимо задать IP-адрес другого однорангового узла. При выполнении этого может возникнуть проблема, если маршрутизатор на конце луча имеет динамический адрес физического интерфейса, как это часто бывает у маршрутизаторов, подключенных через DSL или кабельную линию.