В новой настройке луча поддерживаются следующие функциональные возможности. Когда появляется интерфейс туннеля GRE, он запускает отсылку регистрационных пакетов NHRP маршрутизатору концентратора. Эти регистрационные пакеты NHRP инициируют IPsec. На лучевом маршрутизаторе настраиваются команды одноранговых узлов и match ip access-list . ACL определяет GRE как протокол: любой в качестве источника, IP-адрес концентратора в качестве адреса назначения. Примечание. Важно отметить, что в качестве источника в ACL используется любой адрес, т.к. IP-адрес лучевого маршрутизатора динамичен и потому не известен до тех пор, пока физический интерфейс не станет активным.
Подсеть IP может использоваться как источник в ACL, если адрес динамического интерфейса "звезды" ограничивается адресом в данной подсети. Была использована команда set security-association level per-host , благодаря чему источник IP на IPsec прокси периферийного оборудования будет адресом текущего физического интерфейса периферийного оборудования (/32), а не адресом из ACL. Если какие-либо списки ACL использовались в качестве источника в IPsec-прокси, то другой краевой маршрутизатор не сможет настроить с помощью этого концентратора туннель IPsec+GRE. Это объясняется тем, что итоговый прокси IPsec на концентраторе идентичен команде permit gre host 172.17.0.1 any .
Это означает, что все туннельные пакеты GRE, предназначенные для любого луча, зашифровываются и отправляются на первый луч, установивший туннель с концентратором, так как прокси-сервер IPSEC согласовывает пакеты GRE для каждого луча. Как только туннель IPsec настроен, пакет регистрации протокола NHRP передается от лучевого маршрутизатора на заданный сервер следующего узла. NHS является маршрутизатором концентратора в сети с топологией "звезда". Пакет регистрации протокола NHRP содержит данные, позволяющие маршрутизатору концентратора создавать отображение NHRP для лучевого маршрутизатора.
С этим отображением маршрутизатор концентратора может пересылать одноадресные IP-пакеты данных для лучевого маршрутизатора через туннель mGRE+IPsec. Кроме этого, концентратор добавляет лучевой маршрутизатор в список многоадресного соответствия NHRP. После этого концентратор начнет отправку групповых пакетов динамической IP маршрутизации лучам (если настроен протокол динамической маршрутизации). Луч затем станет соседом протокола маршрутизации концентратора, и они обменяются обновлениями маршрутизации. Звездообразные IPsec + mGRE Маршрутизатор концентратора version 12.3 ! hostname Hub ! crypto isakmp policy 1 authentication pre-share crypto isakmp key cisco47 address 0.0.0.0 !
crypto ipsec transform-set trans2 esp-des esp-md5-hmac