GRE + IPsec должен знать адрес однорангового узла конечной точки. IP-адреса маршрутизаторов на конце луча подключены напрямую к Интернету через собственного ISP, и они зачастую настроены так, что адреса их внешних интерфейсов не являются фиксированными. IP-адреса могут изменяться каждый раз, когда узел подключается к сети (по DHCP). Если необходимо прямое соединение между лучами через IPsec VPN, тогда звездообразная сеть должна стать полностью объединенной сетью. Так как еще неизвестно, между какими лучами необходимо установить соединение, то требуется полная объединенная сеть, даже если соединение всех лучей друг с другом не понадобится.
Также, невозможно настроить IPsec на маленьком маршрутизаторе луча так, чтобы он имел прямое соединение со всеми другими маршрутизаторами лучей в сети; для этого необходимо иметь более мощные маршрутизаторы лучей. Решение для сети DMVPN Чтобы исправить перечисленные проблемы методом масштабирования, решение DMVPN использует Multipoint GRE (mGRE) и протокол разрешения последующего узла (NHRP) с IPsec и некоторыми новыми расширениями. Запуск автоматического шифрования IPsec Без использования решения для сети DMVPN, туннель шифрования IPsec не будет активен до тех пор, пока не появится трафик, требующий использования этого туннеля IPsec.
Для запуска туннеля IPsec и отбрасывания трафика требуется от 1 до 10 секунд. При использовании GRE с IPsec настройка туннеля GRE уже содержит адрес однорангового узла туннеля GRE ( tunnel destination ... ), который одновременно является адресом однорангового узла IPsec. Оба адреса настраиваются предварительно. Если вы используете алгоритм обнаружения конечной точки туннеля (TED) и динамические криптокарты на маршрутизаторе концентратора, то вы можете избежать необходимости предварительной настройки адресов однорангового узла IPsec на концентраторе, но перед началом работы протокола ISAKMP необходимо провести тестовую отправку и получение TED.
Это необязательно, так как при использовании GRE одноранговые адреса источника и назначения известны заранее. Они либо внесены в настройку, либо приведены в NHRP (для многоточечных туннелей GRE). При использовании решения для сетей DMVPN, IPsec запускается одновременно для двухточечных и многоточечных туннелей GRE. Также, нет необходимости настраивать любой криптографический ACL, так как они будут автоматически поставлены от туннельных адресов GRE источника и назначения. Для определения параметров шифрования IPsec используются следующие команды. Обратите внимание на то, что команды set peer ... или match address ...
не требуются, так как данная информация поступает прямо из связанного туннеля GRE или сопоставлений NHRP. crypto ipsec profile set transform-set Следующая команда связывает интерфейс туннеля с профилем IPsec. interface tunnel ... tunnel protection ipsec profile Создание динамического туннеля для каналов типа "звезда" В сети DMVPN на маршрутизаторе концентратора не настроена информация GRE или IPsec о луче. Туннель GRE маршрутизатора луча содержит (посредством команд NHRP) информацию о маршрутизаторе концентратора. Когда маршрутизатор луча запускается, он автоматически устанавливает туннель IPsec с маршрутизатором концентратора, как описано выше.
Затем он использует NHRP, чтобы сообщить маршрутизатору концентратора текущий IP-адрес физического интерфейса. Это полезно по трем причинам: Если IP-адрес физического интерфейса конечного маршрутизатора был присвоен динамически (например, с помощью ADSL или кабельного модема), то для маршрутизатора концентратора нельзя использовать эти данные, так как при каждой перезагрузке конечный маршрутизатор будет получать новый IP-адрес физического интерфейса.