CISCO路由器培训.pptVIP

CISCO路由器配置培训 集团网络的整体架构 实施部署DMVPN的原因 实施部署DMVPN的原因 我们通过上面两个拓扑图来分析一下普通IPSEC VPN在高扩展性上面的问题，首先 我们来分析一下一号图，这是一个hub spoke的拓扑结构，所有的分支机构都通过中心站点来访问其它分支，这个拓扑在技术上是可行的，很多公司现在也是使用着这个拓扑结构，但是这样的拓扑有两大问题： 第一. 分支机构之间的流量两次加解密 a. 分支到中心一次加解密 b. 中心到另一个分支第二次加解密 第二张是一个full mesh的拓扑图，所有分支机构之间都是直接连接，很明显的问题就是客户端要维护的IPSEC SA过多，IPSEC VPN配置过于复杂，最后一个就是需要每一个分支站点都要拥有固定IP地址。这样的要求对于一些小的分支机构，并且通过PPPOE动态获得地址的情况是完全不适用的。 为了解决上述问题我们提出的解决方案，这就是DMVPN(动态多点VPN)。 DMVPN是一种高扩展性的VPN 1.MGRE (多点GRE ) 2.NHRP (下一条解析协议） 3.IPSEC VPN DMVPN的技术介绍 敏捷总部3845 VPN配置 interface Tunnel0 ip address no ip redirects ip mtu 1400 no ip next-hop-self eigrp 1 (分支之间互访的流量不走总部) ip nhrp authentication test (nhrp的认证) ip nhrp map multicast dynamic ( 动态接收客户端的组播映射) ip nhrp network-id 100 (所有加入NHRP的设备都需要相同的ID) ip nhrp holdtime 300 no ip split-horizon eigrp 1 (关闭隧道分离，使分支之间互通) tunnel source GigabitEthernet0/0 tunnel mode gre multipoint (tunnel口跑GRE) tunnel key 100 (必须敲key，否则Tunnel不会Up) 敏捷中山南朗项目 interface Tunnel0 ip address 2 no ip redirects ip mtu 1400 ip nhrp authentication test ip nhrp map multicast dynamic ip nhrp map xx (到中心的手动映射) ip nhrp map multicast xx ip nhrp network-id 100 ip nhrp holdtime 300 ip nhrp nhs (指定中心为NHS) delay 1000 tunnel source FastEthernet0/0 tunnel mode gre multipoint tunnel key 100 CISCO 路由器上做服务器地址端口映射 ip nat inside source static tcp 172.16.0.x 8081 interface GigabitEthernet0/0 8081 ip nat inside source static tcp 172.16.0.x 110 interface GigabitEthernet0/0 110 ip nat inside source static tcp 172.16.0.x 25 interface GigabitEthernet0/0 25 ip nat inside source static tcp 172.16.0.x 8080 interface GigabitEthernet0/0 8080 ip nat inside source static tcp 172.16.0.x 3389 interface GigabitEthernet0/0 3389 ip nat inside source static tcp 172.16.0.x 80 interface GigabitEthernet0/0 80 ip nat insid