Настройка DMVPN: Cisco DMVPN — руководство по конфигурации

Настройка динамических многоточечных виртуальных частных сетей с использованием протокола GRE через протокол IPsec с помощью протоколов OSPF, NAT и межсетевого экрана Cisco IOS Содержание Введение Предварительные условия Требования Используемые компоненты Условные обозначения Настройка Схема сети Конфигурации Проверка Устранение неполадок Команды устранения неполадок Дополнительные сведения Введение В этом документе приводится пример конфигурации для динамических многоточечных виртуальных частных сетей (Dynamic Multipoint Virtual Private Network, DMVPN) с использованием протокола GRE (generic routing encapsulation, протокол туннелирования сетевых пакетов) через IPsec (IP Security, межсетевой протокол безопасности) с помощью протоколов OSPF (Open Shortest Path First, протокол предпочтения кратчайшего пути), NAT (Network Address Translation, преобразование сетевых адресов) и межсетевого экрана Cisco IOS®.

Предварительные условия Требования Прежде чем устанавливать многоточечный туннель с помощью протоколов GRE (mGRE, multipoint GRE) и IPsec, следует определить политику IKE (Internet Key Exchange, обмен ключами в Интернете), используя команду crypto isakmp policy . Примечание. См. дополнительные сведения о командах, используемых в данном документе, в Средстве поиска команд ( только для зарегистрированных пользователей ). Используемые компоненты Сведения, содержащиеся в данном документе, касаются следующих версий программного и аппаратного обеспечения:

Cisco IOS® версии 12.2(15)T1 на маршрутизаторе концентратора и Cisco IOS версии 12.3(1.6) на оконечных маршрутизаторах; Cisco 3620 в качестве маршрутизатора концентратора, два маршрутизатора Cisco 1720 и один маршрутизатор Cisco 3620 в качестве оконечных маршрутизаторов.

Стр. 1

Данные для этого документа были получены при тестировании указанных устройств в специально созданных лабораторных условиях. Все устройства, используемые в этом документе, запускались с чистой (заданной по умолчанию) конфигурацией. Если сеть работает в реальных условиях, при использовании каждой команды следует адекватно оценивать ее потенциальное воздействие. Условные обозначения Дополнительные сведения о применяемых в документе обозначениях см. в статье Условные обозначения, используемые в технической документации Cisco. Настройка В этом разделе приводятся сведения о настройке функций, описанных в данном документе. Примечание. См.

дополнительные сведения о командах, используемых в данном документе, в Средстве поиска команд ( только для зарегистрированных пользователей ). Схема сети В этом документе использованы параметры данной сети. Конфигурации В данном документе используются следующие конфигурации: концентратор – 3620-B; 1-ое оконечное устройство – 3620-A; 2-ое оконечное устройство – 1720-b; 3-е оконечное устройство –1720-A. Концентратор – 3620-B W2N-6.16-3620-B# write terminal Building configuration... Current configuration : 2613 bytes ! version 12.2 service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption

Стр. 2

! hostname W2N-6.16-3620-B ! logging queue-limit 100 ! memory-size iomem 10 ip subnet-zero ! ! ip cef no ip domain lookup ! !--- Конфигурация межсетевого экрана Cisco IOS и то, что необходимо проверить. !--- Подаваемый исходящий трафик на внешнем интерфейсе. ip inspect name in2out rcmd ip inspect name in2out ftp ip inspect name in2out tftp ip inspect name in2out tcp timeout 43200 ip inspect name in2out http ip inspect name in2out udp ip audit po max-events 100 ! ! ! !--- Создание политики протокола ISAKMP !--- для согласования 1-ой фазы. crypto isakmp policy 5 authentication pre-share group 2 !--- Добавление динамического предварительного общего ключа.

crypto isakmp key dmvpnkey address 0.0.0.0 0.0.0.0 crypto isakmp nat keepalive 20 ! ! !--- Создание политики 2-ой фазы для шифрования текущих данных. crypto ipsec transform-set dmvpnset esp-3des esp-sha-hmac ! !--- Создание профиля IPsec, который будет динамически применяться !--- к туннелям GRE через IPsec. crypto ipsec profile dmvpnprof set transform-set dmvpnset ! ! ! ! ! ! ! ! ! ! ! no voice hpi capture buffer no voice hpi capture destination ! ! mta receive maximum-recipients 0 ! ! ! !--- Входящий интерфейс. interface Loopback1 ip address 192.168.117.1 255.255.255.0 ip nat inside !

!--- Создание шаблона туннеля GRE, который будет применяться ко !--- всем динамически созданным туннелям GRE. interface Tunnel1 description MULTI-POINT GRE TUNNEL for BRANCHES bandwidth 1000 ip address 172.16.0.1 255.255.255.0 no ip redirects ip mtu 1416 ip nhrp authentication dmvpn ip nhrp map multicast dynamic ip nhrp network-id 99 ip nhrp holdtime 300

Стр. 3

no ip route-cache ip ospf network broadcast no ip mroute-cache delay 1000 tunnel source FastEthernet0/0 tunnel mode gre multipoint tunnel key 100000 tunnel protection ipsec profile dmvpnprof ! !--- Исходящий интерфейс. interface FastEthernet0/0 ip address 14.24.117.1 255.255.0.0 ip nat outside ip access-group 100 in ip inspect in2out out no ip mroute-cache duplex auto speed auto ! interface Serial0/0 no ip address shutdown clockrate 2000000 no fair-queue ! interface FastEthernet0/1 no ip address no ip mroute-cache duplex auto speed auto ! !--- Включение протокола маршрутизации для отправки или получения !--- динамических обновлений о частных сетях.

router ospf 1 log-adjacency-changes network 172.16.0.0 0.0.0.255 area 0 network 192.168.117.0 0.0.0.255 area 0 ! !--- Исключение трафика частной сети из процесса NAT. ip nat inside source route-map nonat interface FastEthernet0/0 overload ip http server no ip http secure-server ip classless ip route 0.0.0.0 0.0.0.0 14.24.1.1 ip route 2.0.0.0 255.0.0.0 14.24.121.1 ! ! ! !--- Разрешение входящего трафика ISAKMP, ESP и GRE. !--- Межсетевой экран Cisco IOS при необходимости открывает доступ для другого входящего потока.

access-list 100 permit udp any host 14.24.117.1 eq 500 access-list 100 premit esp any host 14.24.117.1 access-list 100 permit gre any host 14.24.117.1 access-list 100 deny ip any any !--- Исключение трафика частной сети из процесса NAT. access-list 110 deny ip 192.168.117.0 0.0.0.255 192.168.118.0 0.0.0.255 access-list 110 deny ip 192.168.117.0 0.0.0.255 192.168.116.0 0.0.0.255 access-list 110 deny ip 192.168.117.0 0.0.0.255 192.168.120.0 0.0.0.255 access-list 110 permit ip 192.168.117.0 0.0.0.255 any ! !--- Исключение трафика частной сети из процесса NAT. route-map nonat permit 10 match ip address 110 ! call rsvp-sync ! ! mgcp profile default ! dial-peer cor custom ! ! ! ! !

line con 0 exec-timeout 0 0

Стр. 4