2071 Tunnel0 10.0.0.3 set HMAC_MD5 316 0 На этом шаге проверяется доступность адресата от 192.168.1.2 на 192.168.2.3. Эти адреса предназначены для узлов за маршрутизаторами луча1 и луча2 соответственно. Приведенная далее последовательность событий обеспечивает организацию прямого туннеля mGRE+IPsec между лучами. 1. Маршрутизатор луча1 получает пакет эхо-запроса с адресом назначения 192.168.2.3. Он ищет место назначения в таблице маршрутизации и обнаруживает, что должен передать этот пакет за пределы интерфейса Tunnel0 на IP-адрес следующего перехода, 10.0.0.3. Лучевой маршрутизатор 1 проверяет таблицу коммутации NHRP для 10.0.0.3 и обнаруживает отсутствие входа.
Маршрутизатор луча 1 создаёт ответный пакет разрешения NHRP и посылает его на NHS (маршрутизатор концентратора). 2. 3. Маршрутизатор концентратора проверяет по таблице сопоставления NHRP адрес назначения 10.0.0.3 и обнаруживает, что он сопоставлен с адресом 172.16.2.75. Маршрутизатор концентратора создаёт ответный пакет разрешения NHRP и посылает его на маршрутизатор луча 1. Маршрутизатор луча 1 получает ответ NHRP и вносит соответствие 10.0.0.3 >172.16.2.75 в таблицу маршрутизации NHRP. Включение IPSec-триггеров сопоставления NHRP для инициации туннельного соединения с одноранговым узлом 172.16.2.75. 4.
Маршрутизатор луча 1 активизирует ISAKMP с адресом 172.16.2.75 и настраивает связь между ISAKMP и IPsec SAs. Прокси- сервер IPsec выводится из команды Tunnel0 tunnel source и соответствий NHRP. 5. local ident (addr/mask/prot/port): (172.16.1.24/255.255.255.255/47/0) remote ident (addr/mask/prot/port): (172.16.2.75/255.255.255.255/47/0) При завершении организации туннеля IPsec все последующие пакеты данных, поступающие к подсети 192.168.2.0/24, будут передаваться напрямую к лучу 2. 6. 7. После пересылки на узел пакета, предназначенного для 192.168.2.3, этот узел вышлет обратный пакет на 192.168.1.2.
Когда маршрутизатор луча 2 получает этот пакет, предназначенный для 192.168.1.2, он будет искать этот адрес в таблице маршрутизации и обнаружит, что необходимо переадресовать этот пакет через интерфейс Tunnel0 на следующий IP-адрес пересылки, 10.0.0.2. Маршрутизатор луча 2 проверяет таблицу коммутации NHRP для 10.0.0.2 и обнаруживает отсутствие записи. Маршрутизатор луча 2 создаёт ответный пакет разрешения NHRP и посылает его на NHS (маршрутизатор концентратора). 8. 9. Маршрутизатор концентратора проверяет по таблице сопоставления NHRP адрес назначения 10.0.0.2 и обнаруживает, что он сопоставлен с адресом 172.16.1.24.
Маршрутизатор концентратора создаёт ответный пакет разрешения NHRP и посылает его на маршрутизатор луча 2. 10. Маршрутизатор луча 2 получает ответ NHRP и вносит соответствие 10.0.0.2 >172.16.1.24 в таблицу маршрутизации NHRP. Добавление сопоставления NHRP инициирует создание туннеля IPsec с узлом 172.16.1.24, но такой туннель уже существует, поэтому дальнейшие действия не требуются. 11. Лучи 1 и 2 могут теперь пересылать друг другу пакеты напрямую. Если для пересылки пакетов на протяжении периода удержания сопоставление NHRP не используется, сопоставление NHRP будет удалено. Удаление записи сопоставления NHRP инициирует удаление IPsec SA для этого прямого подключения.
Условия после установки динамического канала между лучами 1 и 2 Информация о маршрутизаторе луча 1 Spoke1# show ip nhrp 10.0.0.1/32 via 10.0.0.1, Tunnel0 created 02:34:16, never expire Type: static, Flags: authoritative used NBMA address: 172.17.0.1 10.0.0.3/32 via 10.0.0.3, Tunnel0 created 00:00:05, expire 00:03:35 Type: dynamic, Flags: router unique used NBMA address: 172.16.2.75 Spoke1# show crypto engine connection active