Cisco IOS/CCP — 使用Cisco CP配置DMVPN

下載選項

PDF (1.7 MB)
在多種裝置上使用 Adobe Reader 檢視
ePub (2.0 MB)
在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上的各種應用程式中檢視
Mobi (Kindle) (2.2 MB)
在 Kindle 裝置或多部裝置的 Kindle 應用程式上檢視

已更新: 2011 年 9 月 27 日

文件 ID:113265

無偏見用語

本產品的文件集力求使用無偏見用語。針對本文件集的目的，無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言，或引用第三方產品的語言，因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。

關於此翻譯

思科已使用電腦和人工技術翻譯本文件，讓全世界的使用者能夠以自己的語言理解支援內容。請注意，即使是最佳機器翻譯，也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責，並建議一律查看原始英文文件（提供連結）。

簡介

本文檔提供使用Cisco Configuration Professional(Cisco CP)在中心路由器與分支路由器之間配置動態多點VPN(DMVPN)隧道的示例。動態多點VPN技術整合了GRE、IPSec加密、NHRP和路由等不同概念，可提供複雜的解決方案，使終端使用者能夠通過動態建立的輻條到輻條IPSec隧道進行有效通訊。

必要條件

需求

要獲得最佳DMVPN功能，建議您運行Cisco IOS®軟體版本12.4 mainline、12.4T及更高版本。

採用元件

本文中的資訊係根據以下軟體和硬體版本：

採用軟體版本12.4(22)的Cisco IOS路由器3800系列
採用軟體版本12.3(8)的Cisco IOS路由器1800系列
思科組態專業版2.5

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路正在作用，請確保您已瞭解任何指令可能造成的影響。

慣例

請參閱思科技術提示慣例以瞭解更多有關文件慣例的資訊。

背景資訊

本文檔提供有關如何使用Cisco CP將路由器配置為分支路由器並將另一路由器配置為集線器的資訊。最初顯示輻條配置，但稍後在文檔中會詳細顯示與集線器相關的配置，以便更好地理解。也可使用類似的方法配置其它輻條以連線到集線器。當前方案使用以下引數：

集線器路由器公共網路 — 209.165.201.0
隧道網路 — 192.168.10.0
使用的路由協定 — OSPF

要啟動Cisco CP應用並啟動DMVPN嚮導，請轉至Configure > Security > VPN > Dynamic Multipoint VPN。然後，選擇在DMVPN中建立輻條選項，然後單擊Launch the selected task。
按一下Next開始。
選擇Hub and Spoke network選項，然後按一下Next。
指定與集線器相關的資訊，例如集線器路由器的公共介面和集線器路由器的隧道介面。
指定分支的隧道介面詳細資訊和分支的公共介面。然後按一下Advanced。
驗證隧道引數和NHRP引數，並確保它們與Hub引數完全匹配。
指定預共用金鑰並按一下下一步。
按一下Add以新增單獨的IKE提議。
指定加密、驗證和雜湊引數。然後，按一下OK。
此處可以看到新建立的IKE策略。按「Next」（下一步）。
按一下下一步繼續使用預設轉換集。
選擇所需的路由協定。此處選擇了OSPF。
指定OSPF進程ID和區域ID。按一下Add以新增要由OSPF通告的網路。
新增隧道網路，然後按一下OK。
在分支路由器後面新增專用網路。然後，按一下下一步。
按一下完成完成嚮導配置。
按一下Deliver執行命令。如果要儲存配置，請選中Save running config to device's startup config覈取方塊。

分支的CLI配置

相關CLI配置如下所示：

分支路由器
crypto ipsec transform-set ESP-3DES-SHA esp-sha-hmac esp-3des mode transport exit crypto ipsec profile CiscoCP_Profile1 set transform-set ESP-3DES-SHA exit interface Tunnel0 exit default interface Tunnel0 interface Tunnel0 bandwidth 1000 delay 1000 ip nhrp holdtime 360 ip nhrp network-id 100000 ip nhrp authentication DMVPN_NW ip ospf network point-to-multipoint ip mtu 1400 no shutdown ip address 192.168.10.5 255.255.255.0 ip tcp adjust-mss 1360 ip nhrp nhs 192.168.10.2 ip nhrp map 192.168.10.2 209.165.201.2 tunnel source FastEthernet0 tunnel destination 209.165.201.2 tunnel protection ipsec profile CiscoCP_Profile1 tunnel key 100000 exit router ospf 10 network 192.168.10.0 0.0.0.255 area 2 network 172.16.18.0 0.0.0.255 area 2 exit crypto isakmp key ******** address 209.165.201.2 crypto isakmp policy 2 authentication pre-share encr aes 192 hash sha group 1 lifetime 86400 exit crypto isakmp policy 1 authentication pre-share encr 3des hash sha group 2 lifetime 86400 exit

分支路由器

crypto ipsec transform-set ESP-3DES-SHA esp-sha-hmac esp-3des
 mode transport
 exit
crypto ipsec profile CiscoCP_Profile1
 set transform-set ESP-3DES-SHA
 exit
interface Tunnel0
 exit
default interface Tunnel0
interface Tunnel0
 bandwidth 1000
 delay 1000
 ip nhrp holdtime 360
 ip nhrp network-id 100000
 ip nhrp authentication DMVPN_NW
 ip ospf network point-to-multipoint
 ip mtu 1400
 no shutdown
 ip address 192.168.10.5 255.255.255.0
 ip tcp adjust-mss 1360
 ip nhrp nhs 192.168.10.2
 ip nhrp map 192.168.10.2 209.165.201.2
 tunnel source FastEthernet0
 tunnel destination 209.165.201.2
 tunnel protection ipsec profile CiscoCP_Profile1
 tunnel key 100000
 exit
router ospf 10
 network 192.168.10.0 0.0.0.255 area 2
 network 172.16.18.0 0.0.0.255 area 2
 exit
crypto isakmp key ******** address 209.165.201.2
crypto isakmp policy 2
 authentication pre-share
 encr aes 192
 hash sha
 group 1
 lifetime 86400
 exit
crypto isakmp policy 1
 authentication pre-share
 encr 3des
 hash sha
 group 2
 lifetime 86400
 exit

使用Cisco CP的集線器配置

本節介紹了如何為DMVPN配置中心路由器的逐步方法。

轉至Configure > Security > VPN > Dynamic Multipoint VPN，然後選擇Create a hub in a DMVPN選項。，按一下Launch the selected task。
按「Next」（下一步）。
選擇Hub and Spoke network選項，然後按一下Next。
選擇Primary Hub。然後，按一下下一步。
指定Tunnel介面引數，然後按一下Advanced。
指定隧道引數和NHRP引數。然後，按一下OK。
根據您的網路設定指定選項。
選擇Pre-shared Keys並指定預共用金鑰。然後，按一下下一步。
按一下Add以新增單獨的IKE提議。
指定加密、驗證和雜湊引數。然後，按一下OK。
此處可以看到新建立的IKE策略。按「Next」（下一步）。
按一下下一步繼續使用預設轉換集。
選擇所需的路由協定。此處選擇了OSPF。
指定OSPF進程ID和區域ID。按一下Add以新增要由OSPF通告的網路。
新增隧道網路，然後按一下OK。
在中心路由器後面新增專用網路，然後按一下下一步。
按一下完成完成嚮導配置。
按一下Deliver執行命令。

集線器的CLI配置

相關CLI配置如下所示：

集線器路由器
! crypto isakmp policy 1 encr 3des authentication pre-share group 2 ! crypto isakmp policy 2 encr aes 192 authentication pre-share crypto isakmp key abcd123 address 0.0.0.0 0.0.0.0 ! crypto ipsec transform-set ESP-3DES-SHA esp-3des esp-sha-hmac mode transport ! crypto ipsec profile CiscoCP_Profile1 set transform-set ESP-3DES-SHA ! interface Tunnel0 bandwidth 1000 ip address 192.168.10.2 255.255.255.0 no ip redirects ip mtu 1400 ip nhrp authentication DMVPN_NW ip nhrp map multicast dynamic ip nhrp network-id 100000 ip nhrp holdtime 360 ip tcp adjust-mss 1360 ip ospf network point-to-multipoint delay 1000 tunnel source GigabitEthernet0/0 tunnel mode gre multipoint tunnel key 100000 tunnel protection ipsec profile CiscoCP_Profile1 ! router ospf 10 log-adjacency-changes network 172.16.20.0 0.0.0.255 area 2 network 192.168.10.0 0.0.0.255 area 2 !

集線器路由器

!
crypto isakmp policy 1
 encr 3des
 authentication pre-share
 group 2
!
crypto isakmp policy 2
 encr aes 192
 authentication pre-share
crypto isakmp key abcd123 address 0.0.0.0 0.0.0.0
!
crypto ipsec transform-set ESP-3DES-SHA esp-3des esp-sha-hmac
 mode transport
!
crypto ipsec profile CiscoCP_Profile1
 set transform-set ESP-3DES-SHA
!
interface Tunnel0
 bandwidth 1000
 ip address 192.168.10.2 255.255.255.0
 no ip redirects
 ip mtu 1400
 ip nhrp authentication DMVPN_NW
 ip nhrp map multicast dynamic
 ip nhrp network-id 100000
 ip nhrp holdtime 360
 ip tcp adjust-mss 1360
 ip ospf network point-to-multipoint
 delay 1000
 tunnel source GigabitEthernet0/0
 tunnel mode gre multipoint
 tunnel key 100000
 tunnel protection ipsec profile CiscoCP_Profile1
!
router ospf 10
 log-adjacency-changes
 network 172.16.20.0 0.0.0.255 area 2
 network 192.168.10.0 0.0.0.255 area 2
!