Настройка центрального маршрутизатора сокращается и упрощается, поскольку ему не нужна информация GRE или IPsec о маршрутизаторах одноранговых узлов. Вся информация постоянно запоминается посредством NHRP. Изменять настройку на концентраторе или других текущих маршрутизаторах луча при добавлении в сеть DMVPN нового маршрутизатора луча не потребуется. Новый маршрутизатор луча настраивается на основе информации концентратора, и при включении маршрутизатор концентратора автоматически его регистрирует. Протокол динамической маршрутизации передает маршрутную информацию для этого луча на концентратор. Концентратор передает эти новые данные маршрутизации другим периферийным устройствам.
Кроме этого, он передает маршрутную информацию всех остальных лучей на этот новый луч. Создание динамического туннеля для трафика между "лучевыми" маршрутизаторами Как отмечалось выше, сейчас в объединенной сети все двухточечные туннели IPsec (или IPsec+GRE) должны быть настроены на все маршрутизаторы, даже если некоторые или большинство из них действуют не все время. Используя решение DMVPN, один маршрутизатор становится концентратором, а другие маршрутизаторы (лучи) настраиваются на концентратор с помощью туннелей. Туннели с топологией "звезда" постоянно включены, и настройка прямого туннеля между какими-либо лучами не требуется.
Напротив, когда один луч хочет передать пакет на другой луч (как подсеть за другим лучом), он использует NHRP для динамического определения необходимого адреса луча назначения. Маршрутизатор концентратора действует в качестве сервера NHRP и обрабатывает этот запрос для исходного луча. Затем два луча динамически создают между собой туннель IPsec (через единый интерфейс mGRE), обеспечивающий прямую передачу данных. Данный динамический туннель между двумя лучами будет автоматически разорван после окончания (настроенного) периода бездействия.
Поддержка протоколов динамической маршрутизации Решение DMVPN основано на туннелях GRE, поддерживающих тоннелирование многоадресных/широковещательных IP-пакетов, поэтому решение DMVPN также поддерживает протоколы динамической маршрутизации, которые работают через туннели IPsec+mGRE. Ранее протокол NHRP требовал явной настройки широковещательного/многоадресного сопоставления для IP-адресов назначения туннеля для поддержки GRE-тонеллирования многоадресных и широковещательных IP-пакетов. Например, на концентраторе вам потребуется строка настройки ip nhrp map multicast для каждого луча. Для решения DMVPN адреса на конце лучей заранее неизвестны, поэтому эта настройка невозможна.
NHRP можно настроить на автоматическое добавление каждого луча в список многоадресного назначения на концентраторе с помощью команды ip nhrp map multicast dynamic . При помощи этой команды, когда маршрутизаторы лучей регистрируют одноадресное сопоставление NHRP при помощи сервера NHRP (концентратора), NHRP также создаст многоадресное сопоставление для этого луча. Это освобождает от необходимости заранее знать адреса лучей. Быстрая коммутация Cisco Express Forwarding для mGRE В настоящий момент трафик в интерфейсе mGRE коммутируется процессом, что приводит к снижению производительности.
Решение DMVPN обеспечивает коммутацию с механизмом переадресации Cisco для трафика mGRE, увеличивая быстродействие. Необязательно использовать команды настройки для включения этой функции. Если коммутация Cisco Express Forwarding разрешена на интерфейсе туннеля GRE и входящих/исходящих физических интерфейсах, то многоточечные туннельные пакеты GRE будут переключаться с помощью Cisco Express Forwarding. Использование динамической маршрутизации в виртуальных частных сетях (VPN), защищенных спецификацией IPsec В данном разделе рассматривается текущее положение дел (до решения DMVPN).
IPsec устанавливается на маршрутизаторы Cisco с помощью нескольких команд для определения шифрования, а затем команды crypto map на внешний интерфейс маршрутизатора. Из-за такой архитектуры и отсутствия стандарта, описывающего порядок использования IPsec для шифрования многоадресных/широковещательных IP-пакетов, пакеты протокола IP маршрутизации невозможно передать через туннель IPsec, и информация о любых изменениях маршрутизации достигнет другого конца туннеля IPsec не сразу. Примечание. Все протоколы динамической маршрутизации, кроме BGP, используют широковещательные и многоадресные IP пакеты. Для решения этой проблемы используются туннели GRE в комбинации с IPsec.
Туннели GRE устанавливаются на маршрутизаторы Cisco с помощью виртуального интерфейса туннеля ( interface tunnel ). Протокол тоннелирования GRE разработан для многоадресных/широковещательных IP пакетов, поэтому протокол динамической маршрутизации можно "запустить" через туннель GRE. Туннельные пакеты GRE являются одноадресными пакетами IP, инкапсулирующими исходный много- или одноадресный пакет IP. Затем можно использовать IPsec для шифрования туннельного