Inhalt

Einleitung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Konventionen

Hintergrundinformationen

Konfigurieren

Netzwerkdiagramm

Spoke-Konfiguration mit Cisco CP

CLI-Konfiguration für Spoke

Hub-Konfiguration mit Cisco CP

CLI-Konfiguration für Hub

Bearbeiten der DMVPN-Konfiguration mithilfe von CCP

Weitere Informationen

Überprüfung

Zugehörige Informationen

Einleitung

Dieses Dokument enthält eine Beispielkonfiguration für einen DMVPN-Tunnel (Dynamic Multipoint VPN) zwischen Hub-and-Spoke-Routern mithilfe von Cisco Configuration Professional (Cisco CP). Dynamic Multipoint VPN ist eine Technologie, die verschiedene Konzepte wie GRE, IPSec-Verschlüsselung, NHRP und Routing integriert, um eine fortschrittliche Lösung bereitzustellen, die es Endbenutzern ermöglicht, effektiv über die dynamisch erstellten Spoke-to-Spoke-IPSec-Tunnel zu kommunizieren.

Voraussetzungen

Anforderungen

Für eine optimale DMVPN-Funktionalität wird empfohlen, die Cisco IOS® Software Release 12.4 Mainline, 12.4T und höher auszuführen.

Verwendete Komponenten

Die Informationen in diesem Dokument basierend auf folgenden Software- und Hardware-Versionen:

- Cisco IOS Router der Serie 3800 mit Softwareversion 12.4 (22)

- Cisco IOS Router der Serie 1800 mit Softwareversion 12.3 (8)

- Cisco Configuration Professional Version 2.5

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netz Live ist, überprüfen Sie, ob Sie die mögliche Auswirkung jedes möglichen Befehls verstehen.

Konventionen

Weitere Informationen zu Dokumentkonventionen finden Sie in den Cisco Technical Tips Conventions (Technische Tipps zu Konventionen von Cisco).

Hintergrundinformationen

Dieses Dokument enthält Informationen zum Konfigurieren eines Routers als Spoke-Router und eines anderen Routers als Hub mit Cisco CP. Die erste Spoke-Konfiguration wird angezeigt, später wird jedoch im Dokument die Hub-bezogene Konfiguration detailliert dargestellt, um ein besseres Verständnis zu ermöglichen. Andere Stationen können ebenfalls mit dem gleichen Ansatz für die Verbindung mit dem Hub konfiguriert werden. Im aktuellen Szenario werden folgende Parameter verwendet:

- Öffentliches Hub-Router-Netzwerk - 209.165.201.0

- Tunnel Network - 192.168.10.0

- Verwendetes Routing-Protokoll - OSPF

Konfigurieren

In diesem Abschnitt erfahren Sie, wie Sie die in diesem Dokument beschriebenen Funktionen konfigurieren können.

Hinweis: Verwenden Sie das Command Lookup Tool (nur registrierte Kunden), um weitere Informationen zu den in diesem Abschnitt verwendeten Befehlen zu erhalten.

Netzwerkdiagramm

In diesem Dokument wird die folgende Netzwerkeinrichtung verwendet:

Spoke-Konfiguration mit Cisco CP

In diesem Abschnitt wird die Konfiguration eines Routers als Spoke mit dem Schritt-für-Schritt-DMVPN-Assistenten im Cisco Configuration Professional beschrieben.

1. Um die Cisco CP-Anwendung zu starten und den DMVPN-Assistenten zu starten, gehen Sie zu Konfigurieren > Sicherheit > VPN > Dynamic Multipoint VPN. Wählen Sie dann die Option Create a Spoke in a DMVPN (Spoke in einem DMVPN erstellen) aus und klicken Sie auf Launch the selected task (Ausgewählte Aufgabe starten).

2. Klicken Sie zum Starten auf Weiter.

3. Wählen Sie die Option Hub-and-Spoke-Netzwerk aus, und klicken Sie auf Weiter.

4. Geben Sie die Hub-bezogenen Informationen an, z. B. die öffentliche Schnittstelle des Hub-Routers und die Tunnelschnittstelle des Hub-Routers.

5. Geben Sie die Details der Tunnelschnittstelle für das Spoke und die öffentliche Schnittstelle des Spokes an. Klicken Sie anschließend auf Erweitert.

6. Überprüfen Sie die Tunnelparameter und NHRP-Parameter, und stellen Sie sicher, dass sie den Hub-Parametern entsprechen.

7. Geben Sie den vorinstallierten Schlüssel an, und klicken Sie auf Weiter.

8. Klicken Sie auf Hinzufügen, um ein separates IKE-Angebot hinzuzufügen.

9. Geben Sie die Verschlüsselungs-, Authentifizierungs- und Hash-Parameter an. Klicken Sie anschließend auf OK.

10. Die neu erstellte IKE-Richtlinie ist hier zu sehen. Klicken Sie auf Weiter.

11. Klicken Sie auf Weiter, um mit dem standardmäßigen Umwandlungssatz fortzufahren.

12. Wählen Sie das gewünschte Routing-Protokoll aus. Hier wird OSPF ausgewählt.

13. Geben Sie die OSPF-Prozess-ID und die Area-ID an. Klicken Sie auf Hinzufügen, um die Netzwerke hinzuzufügen, die von OSPF angekündigt werden sollen.

14. Fügen Sie das Tunnelnetzwerk hinzu, und klicken Sie auf OK.

15. Fügen Sie das private Netzwerk hinter dem Spoke-Router hinzu. Klicken Sie anschließend auf Weiter.

16. Klicken Sie auf Fertig stellen, um die Assistentenkonfiguration abzuschließen.

17. Klicken Sie auf Deliver, um die Befehle auszuführen. Aktivieren Sie das Kontrollkästchen Aktuelle Konfiguration in der Startkonfiguration des Geräts speichern, wenn Sie die Konfiguration speichern möchten.

CLI-Konfiguration für Spoke

Die entsprechende CLI-Konfiguration wird hier angezeigt:

Spoke-Router

crypto ipsec transform-set ESP-3DES-SHA esp-sha-hmac esp-3des

mode transport

exit

crypto ipsec profile CiscoCP_Profile1

set transform-set ESP-3DES-SHA

exit

interface Tunnel0

exit

default interface Tunnel0

interface Tunnel0

bandwidth 1000

delay 1000

ip nhrp holdtime 360

ip nhrp network-id 100000

ip nhrp authentication DMVPN_NW

ip ospf network point-to-multipoint

ip mtu 1400

no shutdown

ip address 192.168.10.5 255.255.255.0

ip tcp adjust-mss 1360

ip nhrp nhs 192.168.10.2

ip nhrp map 192.168.10.2 209.165.201.2

tunnel source FastEthernet0

tunnel destination 209.165.201.2

tunnel protection ipsec profile CiscoCP_Profile1

tunnel key 100000

exit

router ospf 10

network 192.168.10.0 0.0.0.255 area 2

network 172.16.18.0 0.0.0.255 area 2

exit

crypto isakmp key ******** address 209.165.201.2

crypto isakmp policy 2

authentication pre-share

encr aes 192

hash sha

group 1

lifetime 86400

exit

crypto isakmp policy 1

authentication pre-share

encr 3des

hash sha

group 2

lifetime 86400

exit

Hub-Konfiguration mit Cisco CP

In diesem Abschnitt wird ein schrittweiser Ansatz zur Konfiguration des Hub-Routers für das DMVPN beschrieben.

1. Gehen Sie zu Configure > Security > VPN > Dynamic Multipoint VPN, und wählen Sie die Option Create a Hub in a DMVPN aus. Klicken Sie auf Ausgewählte Aufgabe starten.

2. Klicken Sie auf Weiter.

3. Wählen Sie die Option Hub-and-Spoke-Netzwerk aus, und klicken Sie auf Weiter.

4. Wählen Sie Primary Hub (Primärer Hub). Klicken Sie anschließend auf Weiter.

5. Geben Sie die Tunnel-Schnittstellenparameter an, und klicken Sie auf Erweitert.

6. Geben Sie die Tunnel-Parameter und NHRP-Parameter an. Klicken Sie anschließend auf OK.

7. Geben Sie die Option basierend auf Ihrer Netzwerkeinrichtung an.

8. Wählen Sie Pre-shared Keys (Vorinstallierte Schlüssel) aus, und geben Sie die vorinstallierten Schlüssel an. Klicken Sie anschließend auf Weiter.

9. Klicken Sie auf Hinzufügen, um ein separates IKE-Angebot hinzuzufügen.

10. Geben Sie die Verschlüsselungs-, Authentifizierungs- und Hash-Parameter an. Klicken Sie anschließend auf OK.

11. Die neu erstellte IKE-Richtlinie ist hier zu sehen. Klicken Sie auf Weiter.

12. Klicken Sie auf Weiter, um mit dem standardmäßigen Umwandlungssatz fortzufahren.

13. Wählen Sie das gewünschte Routing-Protokoll aus. Hier wird OSPF ausgewählt.

14. Geben Sie die OSPF-Prozess-ID und die Area-ID an. Klicken Sie auf Hinzufügen, um die Netzwerke hinzuzufügen, die von OSPF angekündigt werden sollen.

15. Fügen Sie das Tunnelnetzwerk hinzu, und klicken Sie auf OK.

16. Fügen Sie das private Netzwerk hinter dem Hub-Router hinzu, und klicken Sie auf Weiter.

17. Klicken Sie auf Fertig stellen, um die Assistentenkonfiguration abzuschließen.

18. Klicken Sie auf Deliver, um die Befehle auszuführen.

CLI-Konfiguration für Hub

Die entsprechende CLI-Konfiguration wird hier angezeigt:

Hub-Router

!

crypto isakmp policy 1

encr 3des

authentication pre-share

group 2

!

crypto isakmp policy 2

encr aes 192

authentication pre-share

crypto isakmp key abcd123 address 0.0.0.0 0.0.0.0

!

crypto ipsec transform-set ESP-3DES-SHA esp-3des esp-sha-hmac

mode transport

!

crypto ipsec profile CiscoCP_Profile1

set transform-set ESP-3DES-SHA

!

interface Tunnel0

bandwidth 1000

ip address 192.168.10.2 255.255.255.0

no ip redirects

ip mtu 1400

ip nhrp authentication DMVPN_NW

ip nhrp map multicast dynamic

ip nhrp network-id 100000

ip nhrp holdtime 360

ip tcp adjust-mss 1360

ip ospf network point-to-multipoint

delay 1000

tunnel source GigabitEthernet0/0

tunnel mode gre multipoint

tunnel key 100000

tunnel protection ipsec profile CiscoCP_Profile1

!

router ospf 10

log-adjacency-changes

network 172.16.20.0 0.0.0.255 area 2

network 192.168.10.0 0.0.0.255 area 2

!

Bearbeiten der DMVPN-Konfiguration mithilfe von CCP

Sie können die vorhandenen DMVPN-Tunnelparameter manuell bearbeiten, wenn Sie die Tunnelschnittstelle auswählen und auf Bearbeiten klicken.

Tunnel-Schnittstellenparameter wie MTU und Tunnel-Schlüssel werden auf der Registerkarte Allgemein geändert.

1. NHRP-bezogene Parameter werden gemäß den Anforderungen auf der Registerkarte NHRP gefunden und geändert. Bei einem Spoke-Router sollten Sie den NHS als IP-Adresse des Hub-Routers anzeigen können. Klicken Sie im Abschnitt NHRP-Karte auf Hinzufügen, um die NHRP-Zuordnung hinzuzufügen.

2. Je nach Netzwerkeinrichtung können die NHRP-Zuordnungsparameter wie folgt konfiguriert werden:

Die Routingparameter werden auf der Registerkarte Routing angezeigt und geändert.

Weitere Informationen

Die DMVPN-Tunnel werden auf zwei Arten konfiguriert:

- Spoke-to-Spoke-Kommunikation über den Hub

- Spoke-to-Spoke-Kommunikation ohne Hub

In diesem Dokument wird nur die erste Methode behandelt. Um die Einrichtung von Spoke-to-Spoke-dynamischen IPSec-Tunneln zu ermöglichen, wird dieser Ansatz verwendet, um die Spoke-to-Spoke-Topologie der DMVPN-Cloud hinzuzufügen:

1. Starten Sie den DMVPN-Assistenten, und wählen Sie die Option Spoke-Konfiguration aus.

2. Wählen Sie im Fenster DMVPN-Netzwerktopologie die Option Full Meshed Network (Vollvernetztes Netzwerk) anstelle der Option Hub and Spoke (Hub- und Spoke-Netzwerk) aus.

3. Schließen Sie die restliche Konfiguration mit den gleichen Schritten wie die anderen Konfigurationen in diesem Dokument ab.

Überprüfung

Für diese Konfiguration ist derzeit kein Überprüfungsverfahren verfügbar.

Zugehörige Informationen

- Cisco Dynamic Multipoint VPN: Einfache und sichere Kommunikation zwischen Zweigstellen

- IOS 12.2 Dynamic Multipoint VPN (DMVPN)

- Technischer Support und Dokumentation für Cisco Systeme