маршрутизации трафика через виртуальный интерфейс можно использовать динамическую или статическую IP- маршрутизацию. Использование IP-маршрутизации для пересылки трафика через туннельный интерфейс упрощает настройку VPN IPsec по сравнению с более сложным процессом использования списков управления доступом (ACL) с криптокартой в стандартных конфигурациях IPsec. Функции DVTI схожи с другими реальными интерфейсами, так что, пока туннель активен, с ними можно использовать средства обеспечения качества обслуживания (QoS), брандмауэр и другие службы безопасности.
Без модуля ускорения виртуальных частных сетей (VPN) 2+ (VAM2+), ускоряющего виртуальные интерфейсы, пакет, проходящий по виртуальному интерфейсу IPsec, направляется на процессор маршрутизации (RP) для инкапсуляции. Этот метод имеет тенденцию к снижению скорости работы и обладает ограниченной масштабируемостью. В аппаратном режиме шифрования все интерфейсы VTI IPsec ускоряются с помощью криптографического модуля VAM2+. Весь трафик, проходящий через туннель, шифруется и расшифровывается с помощью VAM2+. Дополнительная информация о интерфейсе VTI IPsec содержится в следующих разделах:
• Преимущества использования интерфейса виртуальных туннелей IPsec • Маршрутизация при использовании интерфейса виртуальных туннелей IPsec • Статические интерфейсы виртуальных туннелей • Динамические интерфейсы виртуальных туннелей • Жизненный цикл динамического интерфейса виртуальных туннелей • Шифрование трафика в интерфейсе виртуальных туннелей IPsec • Поддержка атрибутов пользователей в серверах Easy VPN Преимущества использования интерфейса виртуальных туннелей IPsec Интерфейс VTI IPsec позволяют настраивать виртуальный интерфейс, в котором можно использовать различные функциональные возможности. Функциональные возможности для нешифрованных пакетов настраиваются в интерфейсе VTI.
Функциональные возможности для шифрованных пакетов используются во внешнем физическом интерфейсе. При использовании VTI IPsec можно разделить использование таких функций, как NAT, ACL и QoS, и применять их для нешифрованных или шифрованных пакетов, или для обоих видов. При использовании криптокарт не существует простого способа использовать средства шифрования для туннеля IPsec. Маршрутизация при использовании интерфейса виртуальных туннелей IPsec Поскольку VTI являются маршрутизируемыми интерфейсами, маршрутизация играет важную роль в процессе шифрования. Трафик шифруется только при пересылке из VTI, трафик, поступающий в VTI, расшифровывается и маршрутизируется соответствующим образом.
Интерфейсы VTI позволяют организовать зашифрованный туннель, используя в качестве конечной точки туннеля реальный интерфейс. Можно осуществлять маршрутизацию на интерфейс или использовать службы, такие как QoS, брандмауэры, трансляция сетевых адресов и статистика Netflow, как это делается для других интерфейсов. Можно отслеживать интерфейс или осуществлять маршрутизацию на него, имея преимущество перед криптокартами за счет того, что реальный интерфейс обеспечивает возможности, присущие всем типовым интерфейсам Cisco IOS. Кроме того, интерфейс VTI шифрует передаваемый ему трафик.
В туннельном интерфейсе можно использовать протоколы маршрутизации, так что информация о маршрутах будет распространяться через виртуальный туннель. Маршрутизатор может установить отношения с соседними узлами через VTI. Может производиться шифрование мультиадресных пакетов и взаимодействие со стандартными установками IPsec, поскольку статический интерфейс VTI IPsec будет согласовывать и принимать прокси permit IP ANY ANY . Существует два типа интерфейсов VTI: статические VTI (SVTI) и динамические VTI (DVTI).