动态地址如何与静态做ipsec

[fang1]

北京总部是静态地址，上海分部和南京分部是动态，都是cisco路由器，怎么做ipsec内网互通呢？

[YilinChen]

全是思科路由器的话，总部为HUB，分部为SPOKE，
1、总部被动接收IPSecVPN协商，不主动发起和分部的IPSECVPN连接，全部由分部主动发起协商；
2、能基于SVTI，就基于SVTI来实现TUNNEL；
3、进阶版本可以考虑DMVPN

[wuhao0015]

这种hub spoke 结构可以考虑dmvpn。。。

[Rockyw]

本帖最后由 Rocky 于 2019-12-31 23:50 编辑
下面的官方文档，楼主可以参考一下。
Configuring IPSec Router-to-Router Hub and Spoke
https://www.cisco.com/c/en/us/su ... -ios-hub-spoke.html
Configuring IPSec Router-to-Router Hub and Spoke with Communication Between the Spokes
https://www.cisco.com/c/en/us/su ... ios-hub-spoke2.html
Configuring a Hub-and-Spoke Site-to-Site VPN with Cisco ISA500 Series Security Appliances
https://www.cisco.com/c/dam/en/u ... 00_an_hub-spoke.pdf
下面这个是友商的文档，也可以参考一下。
IPsec VPN 之总部静态固定 IP 与分部 PPPoE 动态IP部署 Hub_and_Spoke
http://support.fortinet.com.cn/u ... 160115015950967.pdf
GRE over IPsec 之总部静态固定 IP 与分部 PPPoE 动态 IP部署 Hub_and_Spoke
http://support.fortinet.com.cn/uploadfile/2016/0115/20160115020205950.pdf

[述沭]

可以使用dmvpn

[robortlin]

可以用IPSEC VPN， 分部发起流量。 分部 PEER 要用 0.0.0.0 0.0.0.0 匹配

[yancheng wang]

收藏，dmvpn推荐！！