На работе мне заказчик поставил задачу подключить их сеть филиалов к центральному офису посредством различных интернет провайдеров в разных регионах. В Центральном Офисе крутится OSPF, нужно чтоб, также он работал.
Было принято решение реализовать DMVPN. Ниже предоставлю карту подключения, а также конфигурацию устройств с комментариями. Делая впервые обращался к документам cisco:
Resolve IP Fragmentation, MTU, MSS, and PMTUD Issues with GRE and IPSEC
Configuring Dynamic Multipoint VPN (DMVPN) using GRE over IPsec between Multiple Routers
Cisco IOS IP Addressing Services Command Reference
Для проекта использовалось:
Spoke: CISCO881-SEC-K9 IOS Version 15.2(4)M4 (использовалось 12 штук, но в примере указал только 2, т.к. остальные идентичны по конфигурации)
Hub: CISCO2921/K9 IOS Version 15.2(4)M3
Сеть для туннелей: 10.0.0.0 255.255.255.224
Немного теории:
Каждый spoke маршрутизатор имеет статический IPSec туннель до HUB (центральный маршрутизатор).
Каждый spoke регистрируется на сервере NHRP как клиент.
Если spoke A хочет отправить пакет в сеть, которая находится на spoke B, он запрашивает NHRP о реальном внешнем ИП адресе spoke B. Когда он получает ответ поднимается динамический IPSec туннель между Spoke A и Spoke B.
Spoke-to-Spoke туннели строятся поверх интерфейса mGRE (tunnel 10 в нашем случае)
Конфигурация HUB маршрутизатора
! Создаем политику для согласования 1-ой Фазы
crypto isakmp policy 1
encr 3des
hash md5
authentication pre-share
group 2
!
!
!
! Создаем динамический ключ. 0.0.0.0 = любой VPN сервер. Замените значение presharedkey на ваше. Оно должно быть одинаково на всех маршрутизаторах.
!
crypto isakmp key presharedkey address 0.0.0.0
!
!
!
! Создаем политику шифрования для 2-ой фазы
!
crypto ipsec transform-set dmvpn_ts esp-3des esp-md5-hmac
mode transport
!
!
! Создаем профиль IPsec который будет динамически назначается всем нашим туннелям.
!
crypto ipsec profile dmvpn_profile
set transform-set dmvpn_ts
!
!
!
!
! Создаем туннельный интерфейс.
interface Tunnel1
!
! Назначаем ИП адрес. Все наши туннели сидят внутри сети 10.0.0.0 /27
!
ip address 10.0.0.1 255.255.255.224
!
! Отключаем переадресацию ICMP запросов. Это рекомендуется для увеличение безопасности и производительности.
!
no ip redirects
!
! Из-за того, что IPSEC в режиме(transport) использует MTU1440, а GRE добавляет дополнительно 24 байта к заголовку IP-пакета, то наше MTU будет 1440 - 24 = 1416. Если вы используйте режим туннеля в IPsec то MTU рекомендуется ставить 1400. Более детально касательно какое MTU нужно ставить можете прочесть тут:
!
ip mtu 1416
!
! Включаем процесс NHRP на интерфейсе. Номер можете выбрать любой.
!
ip nhrp network-id 2014
!
! Указываем ключ для аутентификации в NHRP. Замените nhrpkey на ваше значение. Должно быть идентично на всех маршрутизаторах.
!
ip nhrp authentication nhrpkey
!
! Указываем, чтобы автоматически добавлялись соответствия ИП адресов spoke маршрутизаторов.
!
ip nhrp map multicast dynamic
!
! Далее конфигурация касающаяся OSPF. Главное что отмечу, приоритет ставлю высокий, чтобы этот маршрутизатор был всегда DR. На всех других приоритет стоит 0. Тип сети указываем Broadcast чтоб не задавать вручную соседей. Значение ospf_key замените на ваше если используете аутентификацию в OSPF.
!
ip ospf authentication message-digest
ip ospf authentication-key ospf_key
ip ospf network broadcast
ip ospf hello-interval 3
ip ospf priority 100
!
! Указываем адрес отправителя. В нашем случае интерфейс смотрящий в интернет.
!
tunnel source Gig0/0
!
! Указываем что данный туннель является mGRE
tunnel mode gre multipoint
!
! Это нужно для идентификации туннеля, параметр не обязательный.
tunnel key 2014
!
! Вешаем наш IPsec профиль
tunnel protection ipsec profile dmvpn_profile
!
!
!
!
!
! Параметры OSPF описывать не буду, т.к. он использовался только проверить работу.
router ospf 10
router-id 1.1.1.1
auto-cost reference-bandwidth 1000
area 0 authentication message-digest
area 192.168.1.0 authentication message-digest
redistribute static subnets
passive-interface default
no passive-interface Tunnel1
network 10.0.0.0 0.0.0.31 area 0
network 192.168.1.0 0.0.0.255 area 192.168.1.0
!
!
! Настройки интерфейсов, они могут быть как физические, так и саб-интерфейсы, или SVI в зависимости от вашего оборудования и топологии сети.
!
interface GigabitEthernet0/0
description [to:isp]
ip address 100.0.1.2 255.255.255.252
!
interface GigabitEthernet0/1
description [to:lan]
ip address 192.168.1.1 255.255.255.0
!
!
! Шлюз по умолчанию
!
ip route 0.0.0.0 0.0.0.0 100.0.1.1
=================================================
Конфигурация Spoke A маршрутизатора
=================================================
crypto isakmp policy 1
encr 3des
hash md5
authentication pre-share
group 2
!
crypto isakmp key presharedkey address 0.0.0.0
!
crypto ipsec transform-set dmvpn_ts esp-3des esp-md5-hmac
mode transport
!
crypto ipsec profile dmvpn_profile
set transform-set dmvpn_ts
!
!
!
!
interface Tunnel1
ip address 10.0.0.2 255.255.255.224
no ip redirects
ip mtu 1416
ip nhrp authentication nhrpkey
! В отличии от HUB тут мы вручную указываем соответствие где 10.0.0.1 ип тонеля HUB маршрутизатора, а 100.0.1.2 его внешний адрес
ip nhrp map 10.0.0.1 100.0.1.2
ip nhrp map multicast 100.0.1.2
ip nhrp network-id 2014
! Адрес HUB маршрутизатора
ip nhrp nhs 10.0.0.1
! Говорим клиентам NHRP не использовать уникальный флаг в запросах NHRP. Т.е. не привязываться к ИП адресам. Если вдруг сменится внешний ИП адрес на HUB маршрутизаторе то все будет работать. Без этой команды выходила бы ошибка.
ip nhrp registration no-unique
!
ip ospf authentication message-digest
ip ospf authentication-key ospf_key
ip ospf network broadcast
ip ospf hello-interval 3
ip ospf priority 0
tunnel source FastEthernet 4
tunnel mode gre multipoint
tunnel key 2014
tunnel protection ipsec profile dmvpn_profile
!
!
!
!
router ospf 10
router-id 2.2.2.2
auto-cost reference-bandwidth 1000
area 0 authentication message-digest
passive-interface default
no passive-interface Tunnel1
network 10.0.0.0 0.0.0.31 area 0
network 192.168.2.0 0.0.0.255 area 192.168.2.0
!
!
! Настройки интерфейсов, они могут быть как физические, так и саб-интерфейсы, или SVI в зависимости от вашего оборудования и топологии сети.
!
interface FastEthernet4
description [to:isp]
ip address 100.0.2.2 255.255.255.252
!
interface vlan 10
description [to:lan]
ip address 192.168.2.1 255.255.255.0
!
!
! Шлюз по умолчанию
ip route 0.0.0.0 0.0.0.0 100.0.2.1
=================================================
Конфигурация Spoke B маршрутизатора
=================================================
crypto isakmp policy 1
encr 3des
hash md5
authentication pre-share
group 2
!
crypto isakmp key presharedkey address 0.0.0.0
!
crypto ipsec transform-set dmvpn_ts esp-3des esp-md5-hmac
mode transport
!
crypto ipsec profile dmvpn_profile
set transform-set dmvpn_ts
!
interface Tunnel1
ip address 10.0.0.3 255.255.255.224
no ip redirects
ip mtu 1416
ip nhrp authentication nhrpkey
ip nhrp map 10.0.0.1 100.0.1.2
ip nhrp map multicast 100.0.1.2
ip nhrp network-id 2014
ip nhrp nhs 10.0.0.1
ip nhrp registration no-unique
ip ospf authentication message-digest
ip ospf authentication-key ospf_key
ip ospf network broadcast
ip ospf hello-interval 3
ip ospf priority 0
tunnel source FastEthernet 4
tunnel mode gre multipoint
tunnel key 2014
tunnel protection ipsec profile dmvpn_profile
!
router ospf 10
router-id 3.3.3.3
auto-cost reference-bandwidth 1000
area 0 authentication message-digest
passive-interface default
no passive-interface Tunnel1
network 10.0.0.0 0.0.0.31 area 0
network 192.168.3.0 0.0.0.255 area 192.168.3.0
!
interface FastEthernet4
description [to:isp]
ip address 100.0.3.2 255.255.255.252
!
interface vlan 10
description [to:lan]
ip address 192.168.3.1 255.255.255.0
!
ip route 0.0.0.0 0.0.0.0 100.0.3.1
Далее копируется конфигурация на все spoke маршрутизаторы.
Для проверки можете использовать следующие команды:
- show dmvpn
- show crypto engine connection active
- show crypto ipsec sa
- show crypto isakmp sa
Ниже скрин проверки с маршрутизатора Spoke_A
Для поиска неисправностей будут полезны следующие команды:
- debug crypto ipsec
- debug crypto isakmp
- debug crypto engine
.
Если вам статья показалась полезной не забывайте оценивать ее.
Внимание. Если вы нашли ошибку в тексте прошу вас сообщить о ней мне.
