интерфейсов. Эта команда используется для определения параметров шифрования IPsec в VPN туннелях от луча к концентратору и от одного луча к другому. Единственный необходимый параметр в этом профиле - это набор для преобразования. Адрес однорангового узла IPsec и условие match address ... для прокси IPsec автоматически извлекаются из NHRP-сопоставлений для туннеля GRE. Команда tunnel protection ipsec profile настраивается на туннельном интерфейсе GRE и используется для соединения туннельного интерфейса GRE с профилем IPsec. Кроме этого, команда tunnel protection ipsec profile может использоваться в двухточечных туннелях GRE.
В этом случае получаются данные о сервере и одноранговом узле IPsec из настройки tunnel source ... и tunnel destination ... . Это позволяет упростить процесс настройки, так как отпадает необходимость использования одноранговых узлов IPSec и зашифрованных списков ACL. Примечание. Команда tunnel protection означает, что шифрование IPsec закончится после того, как инкапсуляция GRE будет добавлена к пакету. Эти две новые команды похожи на настройку криптокарт и назначение криптокарт интерфейсу с помощью команды crypto map .
Существенное отличие заключается в том, что при использовании новых команд нет необходимости указывать адрес равноправного пользователя протокола IPSec или список ACL, чтобы отобрать пакеты, подлежащие шифрованию. Эти параметры определяются автоматически из отображений NHRP для туннельного интерфейса mGRE. Примечание. При использовании команды tunnel protection на туннельном интерфейсе, команда crypto map ... не настроена на исходящем физическом интерфейсе.
Последняя новая команда, ip nhrp map multicast dynamic , позволяет NHRP автоматически добавлять лучевые маршрутизаторы к многоадресным сопоставлениям NHRP, когда эти маршрутизаторы инициируют туннель mGRE+IPsec и регистрируют их одноадресные соответствия NHRP. Это необходимо для возможности работы протокола динамической маршрутизации в туннелях mGRE+IPsec между концентратором и лучами. Если эта команда недоступна, то маршрутизатор концентратора должен иметь отдельный канал настройки для многоадресного сопоставления с каждым лучом. Примечание.
С этой настройкой маршрутизаторы лучей должны инициировать туннельное соединение mGRE+IPsec, поскольку настройка маршрутизатора концентратора не содержит данных о лучах. Однако проблем не возникает, поскольку при использовании DMVPN при запуске маршрутизатора луча туннель mGRE+IPsec автоматически инициируется и постоянно остается активным. Примечание. Следующий пример демонстрирует двухточечный туннельный интерфейс GRE на лучевых маршрутизаторах и каналах настройки NHRP, добавленный на маршрутизаторы концентраторов и лучей для поддержки туннеля mGRE на маршрутизаторе концентратора. Изменения конфигурации изложены ниже.
Маршрутизатор концентратора (старый) crypto map vpnmap1 10 IPsec-isakmp set peer 172.16.1.1 set transform-set trans2 match address 101 crypto map vpnmap1 20 IPsec-isakmp set peer 172.16.2.1 set transform-set trans2 match address 102 . . . crypto map vpnmap1 IPsec-isakmp set peer 172.16. .1 set transform-set trans2 match address ! interface Tunnel1 bandwidth 1000 ip address 10.0.0.1 255.255.255.252 ip mtu 1400 delay 1000 tunnel source Ethernet0 tunnel destination 172.16.1.1 ! interface Tunnel2 bandwidth 1000 ip address 10.0.0.5 255.255.255.252 ip mtu 1400 delay 1000 tunnel source Ethernet0