Cisco IOS/CCP:Cisco CPによるDMVPNの設定

概要

このドキュメントでは、Cisco Configuration Professional(Cisco CP)を使用したハブルータとスポークルータ間のダイナミックマルチポイントVPN(DMVPN)トンネルの設定例を紹介します。 Dynamic Multipoint VPN は、エンド ユーザがダイナミックに作成されたスポーク間の IPSec トンネルを介して効率的に通信できる高度なソリューションを提供するように、GRE、IPSec 暗号化、NHRP およびルーティングなどの異なる概念を統合するテクノロジーです。

前提条件

要件

最適なDMVPN機能を得るには、Cisco IOS®ソフトウェアリリース12.4メインライン、12.4T以降を実行することを推奨します。

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づいています。

• Cisco IOSルータ3800シリーズ(ソフトウェアリリース12.4(22))

• Cisco IOSルータ1800シリーズ(ソフトウェアリリース12.3(8))

• Cisco Configuration Professionalバージョン2.5

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。対象のネットワークが実稼働中である場合には、どのようなコマンドについても、その潜在的な影響について確実に理解しておく必要があります。

表記法

ドキュメント表記の詳細については、『シスコ テクニカル ティップスの表記法』を参照してください。

背景説明

このドキュメントでは、Cisco CPを使用してルータをスポークとして、別のルータをハブとして設定する方法について説明します。最初のスポークの設定は示されていますが、このドキュメントの後半では、ハブ関連の設定も詳細に示され、より理解を深めることができます。他のスポークも、同様の方法でハブに接続するように設定できます。現在のシナリオでは、次のパラメータを使用します。

• ハブルータパブリックネットワーク – 209.165.201.0

• トンネルネットワーク：192.168.10.0

• 使用されるルーティングプロトコル – OSPF

設定

このセクションでは、このドキュメントで説明する機能を設定するために必要な情報を提供しています。

注：このセクションで使用されているコマンドの詳細を調べるには、Command Lookup Tool（登録ユーザ専用）を参照してください。一部ツールについては、ゲスト登録のお客様にはアクセスできない場合がありますことをご了承ください。

ネットワーク図

このドキュメントでは、次のネットワーク セットアップを使用します。

Cisco CPを使用したスポークの設定

このセクションでは、Cisco Configuration ProfessionalのDMVPNウィザードを使用して、スポークとしてルータを設定する方法を示します。

1. Cisco CPアプリケーションを起動してDMVPNウィザードを起動するには、[Configure] > [Security] > [VPN] > [Dynamic Multipoint VPN]に移動します。次に、[Create a spoke in a DMVPN]オプションを選択し、[Launch the selected task]をクリックします。

   

2. [次へ]をクリックして開始してください。

   

3. [ハブとスポーク]ネットワークオプションを選択し、[次へ]をクリックします。

   

4. ハブルータのパブリックインターフェイスやハブルータのトンネルインターフェイスなど、ハブ関連情報を指定します。

   

5. スポークのトンネルインターフェイスの詳細と、スポークのパブリックインターフェイスを指定します。次に、[詳細]をクリックします。

   

6. トンネルパラメータとNHRPパラメータを確認し、それらがハブパラメータに完全に一致していることを確認します。

   

7. 事前共有キーを指定し、[次へ]をクリックします。

   

8. 別のIKEプロポーザルを追加するには、[Add]をクリックします。

   

9. 暗号化、認証、およびハッシュパラメータを指定します。次に、[OK] をクリックします。

   

10. 新しく作成されたIKEポリシーは、ここで確認できます。[next] をクリックします。

    

11. [次へ]をクリックし、デフォルトトランスフォームセットを続行します。

    

12. 必要なルーティングプロトコルを選択します。ここでは、OSPFが選択されています。

    

13. OSPFプロセスIDとエリアIDを指定します。[Add] をクリックして、OSPFによってアドバタイズされるネットワークを追加します。

    

14. トンネルネットワークを追加し、[OK]をクリックします。

    

15. スポークルータの背後にプライベートネットワークを追加します。次に、[Next] をクリックします。

    

16. [完了]をクリックして、ウィザードの構成を完了します。

    

17. 「配信」をクリックして、コマンドを実行します。設定を保存する場合は、[Save running config to device's startup config]チェックボックスをオンにします。

    

スポークのCLI設定

関連するCLI設定を次に示します。

crypto ipsec transform-set ESP-3DES-SHA esp-sha-hmac esp-3des
 mode transport
 exit
crypto ipsec profile CiscoCP_Profile1
 set transform-set ESP-3DES-SHA
 exit
interface Tunnel0
 exit
default interface Tunnel0
interface Tunnel0
 bandwidth 1000
 delay 1000
 ip nhrp holdtime 360
 ip nhrp network-id 100000
 ip nhrp authentication DMVPN_NW
 ip ospf network point-to-multipoint
 ip mtu 1400
 no shutdown
 ip address 192.168.10.5 255.255.255.0
 ip tcp adjust-mss 1360
 ip nhrp nhs 192.168.10.2
 ip nhrp map 192.168.10.2 209.165.201.2
 tunnel source FastEthernet0
 tunnel destination 209.165.201.2
 tunnel protection ipsec profile CiscoCP_Profile1
 tunnel key 100000
 exit
router ospf 10
 network 192.168.10.0 0.0.0.255 area 2
 network 172.16.18.0 0.0.0.255 area 2
 exit
crypto isakmp key ******** address 209.165.201.2
crypto isakmp policy 2
 authentication pre-share
 encr aes 192
 hash sha
 group 1
 lifetime 86400
 exit
crypto isakmp policy 1
 authentication pre-share
 encr 3des
 hash sha
 group 2
 lifetime 86400
 exit

Cisco CPを使用したハブの設定

このセクションでは、DMVPN用にハブルータを設定する方法を段階的に説明します。

1. [Configure] > [Security] > [VPN] > [Dynamic Multipoint VPN]に移動し、[Create a hub in a DMVPN]オプションを選択します。で、[選択したタスクの起動]をクリックします。

   

2. [next] をクリックします。

   

3. [ハブとスポーク]ネットワークオプションを選択し、[次へ]をクリックします。

   

4. [プライマリハブ]を選択します。次に、[Next] をクリックします。

   

5. トンネルインターフェイスのパラメータを指定し、[Advanced]をクリックします。

   

6. トンネルパラメータとNHRPパラメータを指定します。次に、[OK] をクリックします。

   

7. ネットワーク設定に基づいてオプションを指定します。

   

8. [事前共有キー]を選択し、事前共有キーを指定します。次に、[Next] をクリックします。

   

9. 別のIKEプロポーザルを追加するには、[Add]をクリックします。

   

10. 暗号化、認証、およびハッシュパラメータを指定します。次に、[OK] をクリックします。

    

11. 新しく作成されたIKEポリシーは、ここで確認できます。[next] をクリックします。

    

12. [次へ]をクリックし、デフォルトトランスフォームセットを続行します。

    

13. 必要なルーティングプロトコルを選択します。ここでは、OSPFが選択されています。

    

14. OSPFプロセスIDとエリアIDを指定します。[Add] をクリックして、OSPFによってアドバタイズされるネットワークを追加します。

    

15. トンネルネットワークを追加し、[OK]をクリックします。

    

16. ハブルータの背後にプライベートネットワークを追加し、[Next]をクリックします。

    

17. [完了]をクリックして、ウィザードの構成を完了します。

    

18. 「配信」をクリックして、コマンドを実行します。

    

ハブのCLI設定

関連するCLI設定を次に示します。

!
crypto isakmp policy 1
 encr 3des
 authentication pre-share
 group 2
!
crypto isakmp policy 2
 encr aes 192
 authentication pre-share
crypto isakmp key abcd123 address 0.0.0.0 0.0.0.0
!
crypto ipsec transform-set ESP-3DES-SHA esp-3des esp-sha-hmac
 mode transport
!
crypto ipsec profile CiscoCP_Profile1
 set transform-set ESP-3DES-SHA
!
interface Tunnel0
 bandwidth 1000
 ip address 192.168.10.2 255.255.255.0
 no ip redirects
 ip mtu 1400
 ip nhrp authentication DMVPN_NW
 ip nhrp map multicast dynamic
 ip nhrp network-id 100000
 ip nhrp holdtime 360
 ip tcp adjust-mss 1360
 ip ospf network point-to-multipoint
 delay 1000
 tunnel source GigabitEthernet0/0
 tunnel mode gre multipoint
 tunnel key 100000
 tunnel protection ipsec profile CiscoCP_Profile1
!
router ospf 10
 log-adjacency-changes
 network 172.16.20.0 0.0.0.255 area 2
 network 192.168.10.0 0.0.0.255 area 2
!

CCPを使用したDMVPN設定の編集

トンネルインターフェイスを選択して[Edit]をクリックすると、既存のDMVPNトンネルパラメータを手動で編集できます。

MTUやトンネルキーなどのトンネルインターフェイスパラメータは、[General]タブで変更されます。

1. NHRP関連のパラメータは、[NHRP]タブの要件に従って検索および変更されます。スポークルータでは、ハブルータのIPアドレスとしてNHSを表示できます。NHRPマッピングを追加するには、[NHRP Map]セクションで[Add]をクリックします。

   

2. ネットワーク設定に応じて、次に示すようにNHRPマッピングパラメータを設定できます。

   

ルーティング関連のパラメータは、「ルーティング」(Routing)タブで表示および変更されます。

その他の情報

DMVPNトンネルは、次の2つの方法で設定します。

• ハブを介したスポーク間の通信

• ハブを使用しないスポーク間の通信

このドキュメントでは、最初の方法についてのみ説明します。スポーク間のダイナミックIPSecトンネルの確立を可能にするには、次のアプローチを使用してスポークをDMVPNクラウドに追加します。

1. DMVPNウィザードを起動し、[スポークの構成]オプションを選択します。

2. [DMVPN Network Topology]ウィンドウから、[Hub and Spoke network]オプションの代わりに[Full mesh network]オプションを選択してください。

   

3. このドキュメントの他の設定と同じ手順を使用して、残りの設定を完了します。

確認

現在、この設定に使用できる確認手順はありません。

関連情報

• Cisco Dynamic Multipoint VPN:シンプルでセキュアなブランチ間通信
• IOS 12.2 Dynamic Multipoint VPN(DMVPN)
• テクニカル サポートとドキュメント – Cisco Systems