пакета GRE. Можно запустить IPsec в режиме передачи и сэкономить 20 байт, т. к. GRE уже инкапсулировал исходный пакет данных и IPsec нет необходимости инкапсулировать IP-пакет GRE в другом IP-заголовке. При использовании IPSec в транспортном режиме предусмотрено следующее ограничение: подлежащие шифрованию IP-адреса источника и назначения пакета должны соответствовать одноранговым адресам IPSec (самого маршрутизатора). В данном случае это означает, что конечная точка GRE-туннеля и адрес узла IPsec должны совпадать. Это не представляет трудности, т. к. одни и те же маршрутизаторы являются конечными точками туннелей IPsec и GRE.
Совмещая туннели GRE с шифрованием IPsec, можно использовать протокол динамической IP маршрутизации для обновления таблиц маршрутизации на обоих концах зашифрованного туннеля. Элементы таблицы IP маршрутизации для сетей, которые были записаны через зашифрованный туннель, будут воспринимать противоположный конец туннеля (IP-адрес интерфейса туннеля GRE) как IP следующего перехода. Таким образом, если на каком-либо конце туннеля меняются параметры сети, то на другом конце эти изменения динамически отразятся; соединение при этом не будет нарушено, и дополнительные настройки маршрутизаторов не понадобятся. Базовая настройка Ниже представлена стандартная двухточечная настройка IPsec+GRE.
Затем приведено несколько примеров настроек, в которых отдельные элементы решения DMVPN добавлены в выполняемые действия, чтобы показать различные возможности DMVPN. Каждый пример построен на предыдущих примерах для демонстрации использования решения DMVPN в усложняющихся структурах сети. Эту серию примеров можно использовать в качестве шаблона для переноса текущей сети VPN IPsec+GRE в DMVPN. В любой момент "перенос" можно остановить, если конкретный пример настройки соответствует требованиям к вашей сети. Звезда IPsec + GRE (n = 1,2,3,...) Маршрутизатор концентратора version 12.3 ! hostname Hub ! crypto isakmp policy 1 authentication pre-share crypto isakmp key cisco47 address 0.0.0.0 !
crypto ipsec transform-set trans2 esp-des esp-md5-hmac mode transport ! crypto map vpnmap1 local-address Ethernet0 crypto map vpnmap1 10 ipsec-isakmp set peer 172.16.1.1 set transform-set trans2 match address 101 crypto map vpnmap1 20 ipsec-isakmp set peer 172.16.2.1 set transform-set trans2