【CCNP ENARSI勉強メモ】DMVPN

DMVPNはシスコ独自のVPNソリューションです。複数拠点が存在する環境でVPNを効率よく設定できます。

DMVPNには、暗号化や認証機能はないので、IPSecと組み合わせて使います。

サイト間VPNの問題点

サイト間VPNで複数拠点をVPN接続するにはハブ＆スポークまたはフルメッシュトポロジーを使用しますが、以下のような問題点が発生します。

ハブ＆スポークの弱点

スポークからスポークに通信したい場合にもハブを経由しなければならないので、遅延が発生する。

ハブルータに負荷がかかる

フルメッシュの問題点

フルメッシュ構成の場合、各ルータで対向サイトの数だけ設定する。

DMVPNを使うメリット

DMVPNの設定するを行うことで、動的にスポーク（ブランチ、拠点）間でVPNを張ることができます。DMVPNでは、NHRPを使って、VPNゲートウェイのグローバルIPアドレスを解決してくれます。スポーク間でVPNを張って通信するときは、ハブに相手先のIPアドレスを尋ねて解決し、スポーク間でVPNを張ります。

これにより、上記のハブを経由しないといけない問題や、対向の数だけコンフィグを打ったりする必要がなくなります。

DMVPN（Dynamic Multipoint VPN）とは (infraexpert.com)　より図を引用させていただいております。

DMVPNで使う技術など

DMVPNでは、ｍGREとNHRPを使って構築します。

ｍGRE（マルチポイントGRE）

ｍＧＲＥは、複数の対向ルータと接続ができるトンネルインターフェースです。

インターフェースをｍＧＲＥとして動作させるには、「tunnel mode gre multipoint」コマンドを使用します。

(config)#interface tunnel 1

(config-if)#ip address 192.168.10.1 255.255.255.0 (ここはトンネルのＩＰアドレスなので、プライベートアドレス)

(config-if)#tunnel source 198.3.56.3(ここはインターネット側のＩＰなのでグローバルＩＰが多い)

(config-if)#tunnel mode gre multipoint

以上です。通常のＧＲＥは、トンネルのあて先にtunnel destinationを使いますが、ｍＧＲＥではＮＨＲＰプロトコルを使って、自動的にあて先を取得します。

ＮＨＲＰ（Ｎｅｘｔ　Ｈｏｐ　Ｒｅｓｏｌｕｔｉｏｎ　Ｐｒｏｔｏｃｏｌ）

ＮＨＲＰはｍＧＲＥを使っている場合にトンネルのあて先ＩＰアドレスを受動的に認識させるためのプロトコルです。

用語

トンネルＩＰアドレス・・・トンネルインターフェースに設定したＩＰアドレスをトンネルＩＰアドレスと呼ぶ。
ＮＢＭＡアドレス（Ｎｏｎ－Ｂｒｏａｄｃａｓｔ　Ｍｕｌｔｉｐｌｅ　Ａｄｄｒｅｓｓ）・・-他の物理インターフェースを設定したＩＰアドレスをＮＢＭＡアドレスという。
ＮＨＳ（Ｎｅｘｔ　Ｈｏｐ　Ｓｅｒｖｅｒ）・・・ＮＨＲＰ上の管理ルータ。本社のルータであることが多い。
ＮＨＣ（Ｎｅｘｔ　Ｈｏｐ　Ｃｌｉｅｎｔ）・・・ＮＨＳ以外のルータ

ＮＨＣにはＮＨＳのトンネルＩＰアドレスとＮＢＭＡアドレスのマッピング情報を手動で設定します。この情報を使って、ＮＨＣはＮＨＳにＮＨＲＰメッセージを送信し、自分の情報をＮＨＳに登録します。

ＮＨＳはＮＨＣからのメッセージを基にして、すべてのルータのトンネルＩＰアドレスとＮＢＭＡアドレスを管理するＮＨＲＰデータベースを作成します。ＮＨＣ動詞の通信が必要になった場合、ＮＨＳがＮＨＣに相手側のＮＨＣのＩＰアドレスを通知します。

DMVPN設定

DMVPN（Dynamic Multipoint VPN）- mGRE / NHRP / IPsecコンフィグ設定 (infraexpert.com)　から引用させていただきました。

上記の構成で、IPSecなしで作成します。

R1(config)#int tunnel 0
R1(config-if)#ip address 172.16.0.1 255.255.255.0
R1(config-if)#tunnel source 1.1.1.1
R1(config-if)#tunnel mode gre multipoint
R1(config-if)#ip nhrp network-id 100
R1(config-if)#ip nhrp map multicast dynamic
R1(config-if)#ip ospf network broardcast
R1(config-if)#exit
R1(config)#router ospf 1
R1(config-router)#network 172.16.0.1 0.0.0.0 area 0
R1(config-router)#network 192.168.1.254 0.0.0.0 area 0

R2(config)#int tunnel 0
R2(config-if)#ip address 172.16.0.2 255.255.255.0
R2(config-if)#tunnel source 2.2.2.2
R2(config-if)#tunnel mode gre multipoint
R2(config-if)#ip nhrp network-id 100
R2(config-if)#ip nhrp nhs 172.16.0.1
R2(config-if)#ip nhrp map 172.16.0.1 1.1.1.1
R2(config-if)#ip nhrp multicast 1.1.1.1
R2(config-if)#ip ospf primary 0
R2(config-if)#ip ospf network broadcast
R2(config-if)#exit
R2(config)#router ospf 1
R2(config-router)#network 172.16.0.2 0.0.0.0 area 0
R2(config-router)#network 192.168.2.254 0.0.0.0 area 0

R3(config)#int tunnel 0
R3(config-if)#ip address 172.16.0.3 255.255.255.0
R3(config-if)#tunnel source 3.3.3.3
R3(config-if)#tunnel mode gre multipoint
R3(config-if)#ip nhrp network-id 1
R3(config-if)#ip nhrp nhs 172.16.0.1
R3(config-if)#ip nhrp map 172.16.0.1 1.1.1.1
R3(config-if)#ip nhrp map multicast 1.1.1.1
R3(config-if)#ip ospf primary 0
R3(config-if)#ip ospf network broardcast
R3(config-if)#exit
R3(config)#router ospf 1
R3(config-router)#network 172.16.0.3 0.0.0.0 area 0
R3(config-router)#network 192.168.3.254 area 0