VPN-настройки]: Cisco - руководство по DMVPN с GRE поверх IPSec

Настройка динамических многоточечных виртуальных частных сетей (DMVPN) с применением GRE поверх IPSec между несколькими маршрутизаторами Содержание Введение Предварительные условия Требования Используемые компоненты Теоретические сведения Условные обозначения Настройка Схема сети Конфигурации Проверка Устранение неполадок Команды устранения неполадок Пример отладочных выходных данных Дополнительная информация Введение Функция динамичной многоточечной VPN (DMVPN) позволяет пользователям лучше масштабировать большие и малые сети VPN с IPSec путем объединения туннелей общей инкапсуляции маршрутизирования (GRE), шифрования IPSec, и протокола разрешения следующего скачка (NHRP), чтобы предоставить пользователям легкую настройку через криптографические профили, которые заменяют требования для определения статических криптографических карт и динамическое обнаружение конечных точек туннеля.

Предварительные условия Требования Для данного документа нет особых требований. Используемые компоненты Сведения, содержащиеся в данном документе, касаются следующих версий программного и аппаратного обеспечения. Маршрутизаторы Cisco 2691 и 3725 Cisco IOS® Software Release 12.3(3) Примечание. Множественная сквозная передача IPSec (IPSec pass-through) поддерживается только программным обеспечением Cisco IOS версий 12,2(2)XK, 12,2(13)T или более поздними версиями. Ниже приведены результаты выполнения команды show version в маршрутизаторе.

Стр. 1

sv9-4# show version Cisco Internetwork Operating System Software IOS (tm) 2600 Software (C2691-IK9S-M), Version 12.3(3) , RELEASE SOFTWARE (fc2) Copyright (c) 1986-2003 by cisco Systems, Inc. Compiled Tue 19-Aug-03 05:52 by dchih Image text-base: 0x60008954, data-base: 0x61D08000 ROM: System Bootstrap, Version 12.2(8r)T2, RELEASE SOFTWARE (fc1) sv9-4 uptime is 1 hour, 39 minutes System returned to ROM by reload System image file is "flash:c2691-ik9s-mz.123-3.bin" This product contains cryptographic features and is subject to United States and local country laws governing import, export, transfer and use.

Delivery of Cisco cryptographic products does not imply third-party authority to import, export, distribute or use encryption. Importers, exporters, distributors and users are responsible for compliance with U.S. and local country laws. By using this product you agree to comply with applicable laws and regulations. If you are unable to comply with U.S. and local laws, return this product immediately. A summary of U.S. laws governing Cisco cryptographic products may be found at: http://www.cisco.com/wwl/export/crypto/tool/stqrg.html If you require further assistance please contact us by sending email to export@cisco.com.

cisco 2691 (R7000) processor (revision 0.1) with 98304K/32768K bytes of memory. Processor board ID JMX0710L5CE R7000 CPU at 160Mhz, Implementation 39, Rev 3.3, 256KB L2 Cache Bridging software. X.25 software, Version 3.0.0. SuperLAT software (copyright 1990 by Meridian Technology Corp). 2 FastEthernet/IEEE 802.3 interface(s) 2 Serial(sync/async) network interface(s) 1 ATM network interface(s) 1 Virtual Private Network (VPN) Module(s) DRAM configuration is 64 bits wide with parity disabled. 55K bytes of non-volatile configuration memory.

125184K bytes of ATA System CompactFlash (Read/Write) Configuration register is 0x2102 Сведения, содержащиеся в данном документе, были получены с устройств в специальной лабораторной среде. Все устройства, используемые в этом документе, были запущены с чистой (заданной по умолчанию) конфигурацией. В рабочей сети необходимо изучить потенциальное воздействие всех команд до их использования. Теоретические сведения Функция работает в соответствии с следующими правилами. Каждое оконечное устройство обладает постоянным туннелем IPSec направленным к концентратору, а не к другим оконечным устройствам внутри сети. Каждое оконечное устройство зарегистрировано в качестве клиента сервера NHRP.

Когда оконечное устройство отсылает пакет в сеть назначения (частную) на другом оконечном устройстве, им посылается запрос на сервер NHRP о реальном (внешнем) адресе оконечного устройства-получателя. После того, как вызывающее оконечное устройство определяет адрес однорангового узла устройства получателя, оно может организовать динамический туннель IPSec к устройству получателя. Туннели между оконечными устройствами построены на основе многоточечного интерфейса GRE (mGRE).

Связи между оконечными устройствами устанавливаются по запросу всякий раз, когда есть трафик между оконечными устройствами Таким образом, пакеты могут обходить концентратор и использовать туннель от одного оконечного устройства к

Стр. 2

другому. Следующие определения относятся к набору правил. NHRP – является протоколом клиента и сервера, где концентратор является сервером, а оконечное устройство клиентом. Концентратор содержит NHRP-базу данных адресов публичных интерфейсов каждого направления. Каждое оконечное устройство регистрирует настоящий адрес при перезагрузке, и отсылает запросы в базу данных NHRP о настоящих адресах оконечных устройств, чтобы создать прямые туннели. Туннельный интерфейс mGRE позволяет одному GRE интерфейсу поддерживать несколько туннелей IPSec, а также упрощает размер и сложность конфигурации. Примечание.

При достижении определенного предварительно настроенного периода бездействия в туннелях между оконечными устройствами, маршрутизатор деактивирует эти туннели для сбережения ресурсов (сопоставление безопасности IPSec [SA]). Примечание. Профиль трафика должен следовать правилу 80-20%: 80% трафика состоит из трафика оконечного устройства к концентратору, а 20% - это трафик между оконечными устройствами. Условные обозначения Более подробные сведения о применяемых в документе обозначениях см. в документе Условные обозначения, используемые в технической документации Cisco. Настройка В этом разделе приводится информация по настройке функций, описанных в данном документе. Примечание.

Дополнительную информацию о командах, используемых в данном документе, можно получить в разделе Средства поиска команд ( только для зарегистрированных клиентов ). Сетевой график В данном документе используется сеть, изображенная на следующей схеме. Конфигурации В данном документе используются следующие конфигурации.

Стр. 3

Конфигурация концентратора - маршрутизатора (sv9-2) Конфигурация оконечного устройства #1 (sv9-3) Конфигурация оконечного устройства #2 (sv9-4) Конфигурация концентратора - маршрутизатора (sv9-2) sv9-2# show run Building configuration... Current configuration : 1827 bytes ! version 12.3 service config service timestamps debug datetime msec service timestamps log datetime msec no service password-encryption ! hostname sv9-2 ! boot-start-marker boot-end-marker ! enable password cisco ! no aaa new-model ip subnet-zero ! ! no ip domain lookup ! ip ssh break-string ! !--- Создать политику протокола управления ключами ассоциации безопасности Интернет !--- (ISAKMP) для первой фазы согласования. !

crypto isakmp policy 10 hash md5 authentication pre-share !--- Добавить динамические предварительные общие ключи для всех удаленных !--- маршрутизаторов VPN. crypto isakmp key cisco123 address 0.0.0.0 0.0.0.0 ! !--- Создать политику второй фазы для непосредственно шифрования данных. crypto ipsec transform-set strong esp-3des esp-md5-hmac ! !--- Создать профиль IPSec, который будет динамично применяться к !--- туннелям GRE поверх IPSec. crypto ipsec profile cisco set security-association lifetime seconds 120 set transform-set strong ! ! ! ! ! ! ! ! ! ! ! no voice hpi capture buffer no voice hpi capture destination ! ! ! ! ! ! !

!--- Создать шаблон туннеля GRE, который будет применен ко !--- всем динамически созданным туннелям GRE.

Стр. 4