Introdução DMVPN

8/18/2019 Introdução DMVPN

1/12

Introdução

Dynamic Multipoint VPN (DMVPN) é a resposta da Cisco para a

crescente demanda de empresas corporativas para ser capaz deinterconectar localidades remotas, mantendo os custos baixos,minimizando a complexidade de confura!"o e aumentar a#exibilidade$

Com DMVPN, um roteador central, eralmente instalados no siteprincipal, assume o papel do %&' enuanto todos os outrosroteadores de localidades remotas assume o papel de P*+, estesse conectam ao roteador %&' para aprender como estabelecer t-neisdin.micos e aos demais P*+ para acessar os recursos daempresa$

* desin DMVPN consiste de duas aruiteturas prim/rias0

1$ DMVPN Hub & Spoke, usado para conectar o site principal aslocalidade remotas$

2$ DMVPN Spoke -to-Spoke, usado para conectar interconectarlocalidades remotas$

DMVPN combina m-ltiplos t-neis 34 (m34), 5Pec e criptorafa,

utilizando o N%4P (Next %op 4esolution Protocol) para realizar o seutrabal6o e poupar o administrador de ter de defnir v/rios mapas decriptorafa est/tica e din.mica além de descoberta de extremidadesdo t-nel$

7 8eature DMVPN n"o altera t-neis VPN padr"o 5Psec, mas altera omodo como estes s"o confurados$ *s spo9es mantém um t-nel5Psec permanente com o %&', porém, n"o entre eles$ :uando umspo9e precisa enviar um pacote com destino a outro spo9e, ele realizauma busca na base de dados N%4P para identifcar o endere!op-blico (rote/vel) do spo9e em uest"o$ * t-nel entre os spo9es éent"o estabelecido via inter8ace m34$ * router %ub executa a8un!"o do servidor, enuanto os roteadores po9es atuam comoclientes$ * %ub mantém um banco de dados N%4P especial com osendere!os 5P p-blicos de todos os po9es confurados$

;-nel m34 é utilizado para permitir ue uma -nica inter8ace 34suporte m-ltiplos t-neis 5Pec simplifcando drasticamente acomplexidade e taman6o da confura!"o para m-ltiplas VPNs$

Di8eren!a entre 34 e m340

340


2/12

ndere!o 5P ;-nel *riem ;-nel destino

m340 ndere!o 5P ;-nel *riem ;-nel multipoint importante notar ue as inter8aces m34

n"o tem um destino defnido$ ste tipo de t-nel utiliza o N%4Ppara defni!"o do destino dizendo para onde o m34 deveenviar os pacotes$

Benefícios1$ Confura!"o -nica do %&'2$ em necessidade de m-ltiplas pol?ticas por t-nel@$ Confura!"o do %ub permanece inalterada independentemente

do n-mero de po9esA$ &tiliza!"o de endere!os p-blicosB est/ticos ou din.micos$ Constru!"o de t-neis din.micos entre roteadores consultando

N%4P$ 7dministra!"o simplifcada

Ex. Temos hoje 28 localidades com circuitos Internet Oi ativados ouem ativação. Cada confguração de V! consome em m"dia #$ linhas

de confguração no modelo site2site% teremos então $&' linhas deconfguração% se (ensarmos em )* localidades% ter+amos ,)* linhasde confguração% e assim (or diante... Evidentemente isso difculta a

administração -em como a (erormance da caixa.

Conguração mGR !"#$%'H(B-"C

interface )astt*ernet+,+ description E7NFNetGor9 ip address 1HI$1H$1$@ 2$2$2$22A duplex auto speed autoJinterface )astt*ernet+,

description K7NFNetGor9 ip address 2LL$1$1A$222 2$2$2$22


3/12

duplex auto speed auto.interface /unne0+ description %&' ;unnel m34 < DMVPN

ip address 12$1H$222$1 no ip redirects/ 0esativa os redirecionamentos... Ex. IC1 redirect ip n6rp aut6entication secs3nc4 / 5utenticação (ara consultas e atuali6ação no -anco de dados!7% garante 9ue consultas indesejadas não orneçam dados so-retoda a rede. ip n6rp map multicast dynamic/ ermite o encaminhamento de tr:ego multicast. !ormalmenteexigido (elo O;< e EI=% utili6amos (rotocolos din>micos (araenviar e rece-er atuali6aç?es de redes internas.

ip n6rp netGor9Fid 1/ Identifca a nuvem 01V!% todos os roteadores devem estar com omesmo I0 (ara esta-elecimento de V!. tunnel source 2LL$1$1A$222 tunnel mode re multipoint/ Interaces t@nel m=E não tem um destino defnido. Este ti(o det@nel utili6a o !7 (ara defnição do destino di6endo (ara onde om=E deve enviar os (acotes.5p n6rp 6oldtime LL5p mtu 1ALL

S%12-)31

interface Gigabit*ernet +, description E7NFNetGor9 ip address 12$1H$1AH$A 2$2$2$L duplex auto speed autoJinterface Gigabit*ernet +,+45+++ description K7NFNetGor9

ip address 1H$I$I$21H 2$2$2$22 duplex auto speed autoJinterface /unne0+ description OE* t-nel m34 F DMVPN ip address 12$1H$222$2 no ip redirects/ 0esativa os redirecionamentos... Ex. redirecionamento IC1ip n6rp aut6entication secs3nc4

/ 5utenticação (ara consultas e atuali6ação no -anco de dados!7% garante 9ue consultas indesejadas não orneçam dados so-retoda a rede.


4/12

ip n6rp map multicast dynamic Permite o encamin6amento de tr/8eo multicast$ Normalmenteexiido pelo *PO e 534P, utilizamos protocolos din.micos paraenviar e receber atualiza!Qes de redes internas$ ip n6rp map multicast 2LL$1$1A$222

arante o tr/8eo multicast é enviado apenas a partir de spo9epara o %&' centro e nunca entre spo9es$ ;odo o tr/8eo multicastdeve ser recebido pelo 6ub, processados e, em seuida, asatualiza!Qes s"o enviadas para os spo9es$ip n6rp n6s 12$1H$222$1 Defne o endere!o para o N% (Next %op erver)$ip n6rp map 12$1H$222$1 2LL$1$1A$222 Mapeia o endere!o p-blico para o endere!o associado no N%$ip n6rp netGor9Fid 1

5dentifca a nuvem DMVPN, todos os roteadores devem estar com omesmo 5D para estabelecimento de VPN$ tunnel source 3iabit6ernet LRL$2LLL tunnel mode re multipoint 5nter8aces t-nel m34 n"o tem um destino defnido$ ste tipo det-nel utiliza o N%4P para defni!"o do destino dizendo para onde om34 deve enviar os pacotes$5p n6rp 6oldtime LL5p mtu 1ALL

S%12-G1I

interface Gigabit*ernet +,+ description E7NFNetGor9 ip address 12$1H$12$A 2$2$2$L duplex auto speed autoJinterface Gigabit*ernet +,45+++ description K7NFNetGor9 ip address 1H$@L$1@2$2@A 2$2$2$22 duplex auto speed auto

Jinterface /unne0+ description OE* t-nel m34 F DMVPN ip address 12$1H$222$@ no ip redirects/ 0esativa os redirecionamentos... Ex. redirecionamento IC1ip n6rp aut6entication secs3nc4

/ 5utenticação (ara consultas e atuali6ação no -anco de dados!7% garante 9ue consultas indesejadas não orneçam dados so-retoda a rede. ip n6rp map multicast dynamic


5/12

Permite o encamin6amento de tr/8eo multicast$ Normalmenteexiido pelo *PO e 534P, utilizamos protocolos din.micos paraenviar e receber atualiza!Qes de redes internas$ ip n6rp map multicast 2LL$1$1A$222 arante o tr/8eo multicast é enviado apenas a partir de spo9e

para o %&' centro e nunca entre spo9es$ ;odo o tr/8eo multicastdeve ser recebido pelo 6ub, processados e, em seuida, asatualiza!Qes s"o enviadas para os spo9es$ip n6rp n6s 12$1H$222$1 Defne o endere!o para o N% (Next %op erver)$ip n6rp map 12$1H$222$1 2LL$1$1A$222 Mapeia o endere!o p-blico para o endere!o associado no N%$ip n6rp netGor9Fid 1

5dentifca a nuvem DMVPN, todos os roteadores devem estar com omesmo 5D para estabelecimento de VPN$ tunnel source 3iabit6ernet LRL$2LLL tunnel mode re multipoint 5nter8aces t-nel m34 n"o tem um destino defnido$ ste tipo det-nel utiliza o N%4P para defni!"o do destino dizendo para onde om34 deve enviar os pacotes$5p n6rp 6oldtime LL5p mtu 1ALL

$ericação "#$%

6H(BR/+6s*o7 dm8pn

Eeend0 7ttrb FF= F tatic, D F Dynamic, 5 F 5ncomplete N F N7;ed, E F Eocal, S F No oc9et nt FF= Number o8 N%4P entries Git6 same N'M7 peer N% tatus0 FF= xpectin 4eplies, 4 FF= 4espondin &pDn ;ime FF= &p or DoGn ;ime 8or a ;unnelTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTT

5nter8ace0 ;unnelL, 5PvA N%4P Details ;ype0%ub, N%4P Peers02,

nt Peer N'M7 7ddr Peer ;unnel 7dd tate &pDn ;m 7ttrb FFFFF FFFFFFFFFFFFFFF FFFFFFFFFFFFFFF FFFFF FFFFFFFF FFFFF 1 1H$I$I$21H 12$1H$222$2 &P LL0L@02@ D 1 1H$@L$1@2$2@A 12$1H$222$@ &P LL0L20A D

6S%12R/1-I/-C9/)316 s*o7 dm8pn

Eeend0 7ttrb FF= F tatic, D F Dynamic, 5 F 5ncompleteN F N7;ed, E F Eocal, S F No oc9et nt FF= Number o8 N%4P entries Git6 same N'M7 peer


6/12

N% tatus0 FF= xpectin 4eplies, 4 FF= 4espondin&pDn ;ime FF= &p or DoGn ;ime 8or a ;unnel

TTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTT5nter8ace0 ;unnelL, 5PvA N%4P Details ;ype0po9e, N%4P Peers01,

nt Peer N'M7 7ddr Peer ;unnel 7dd tate &pDn ;m 7ttrb FFFFF FFFFFFFFFFFFFFF FFFFFFFFFFFFFFF FFFFF FFFFFFFF FFFFF 1 2LL$1$1A$222 12$1H$222$1 &P LL0L0L@

6S%12R/1:I/:C9/G1I6s*o7 dm8pn

Eeend0 7ttrb FF= F tatic, D F Dynamic, 5 F 5ncompleteN F N7;ed, E F Eocal, S F No oc9et nt FF= Number o8 N%4P entries Git6 same N'M7 peerN% tatus0 FF= xpectin 4eplies, 4 FF= 4espondin&pDn ;ime FF= &p or DoGn ;ime 8or a ;unnel

TTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTT5nter8ace0 ;unnelL, 5PvA N%4P Details ;ype0po9e, N%4P Peers01,

nt Peer N'M7 7ddr Peer ;unnel 7dd tate &pDn ;m 7ttrb FFFFF FFFFFFFFFFFFFFF FFFFFFFFFFFFFFF FFFFF FFFFFFFF FFFFF 1 2LL$1$1A$222 12$1H$222$1 &P LL0LL0@

Conguração I%SC sobre "#$% ; /


7/12

6S%12

crypto isa9mp policy 1 encr aes 2

6as6 s6a aut6entication preFs6are li8etime HALL roup 2crypto isa9mp 9ey HH;UDMVPN L$L$L$L L$L$L$L Caso trabal6emos com conceito de peer din.mico, no nosso modelodefniremos o peer manualmente, como seue$$$crypto isa9mp 9ey HH;UDMVPN address 2LL$1$1A$222 %&' Data Centercrypto ipsec trans8ormFset DMVPN espFaes espFs6aF6mac

crypto ipsec profle DMVPNset securityFassociation li8etime seconds HALLset trans8ormFset DMVPN

inter8ace tunnel Ltunnel protection ipsec profle DMVPN

$ericação IS2#%,I%SC

6H(Bs6 crypto isa9mp sa

5PvA Crypto 57+MP 7dst src state connFid status2LL$1$1A$222 1H$@L$1@2$2@A :MW5DE 1LL2 7C;5V2LL$1$1A$222 1H$I$I$21H :MW5DE 1LL1 7C;5V5Pv Crypto 57+MP 7

s6 crypto ipsec sa peer =>4?+4?545?@

inter8ace0 ;unnelL Crypto map ta0 ;unnelLF6eadFL, local addr 2LL$1$1A$222 protected vr80 (none) local ident (addrRmas9RprotRport)0 (2LL$1$1A$222R2$2$2$2RAIRL ) remote ident (addrRmas9RprotRport)0 (1H$@L$1@2$2@AR2$2$2$2RAIRL ) currentWpeer 1H$@L$1@2$2@A port LL P4M5;, #asTXoriinWisWacl,Y p9ts encaps0 1, p9ts encrypt0 1, p9ts diest0 1 p9ts decaps0 2, p9ts decrypt0 2, p9ts veri8y0 2 p9ts compressed0 L, p9ts decompressed0 L p9ts not compressed0 L, p9ts compr$ 8ailed0 L p9ts not decompressed0 L, p9ts decompress 8ailed0 L send errors 1, recv errors L

local crypto endpt$0 2LL$1$1A$222, remote crypto endpt$0 1H$@L$1@2$2@A pat6 mtu 1LL, ip mtu 1LL, ip mtu idb Oastt6ernetLR1 current outbound spi0 Lx7DOOO(2121LH1)

http://200.169.145.222/255.255.255.255/47/0http://189.30.132.234/255.255.255.255/47/0http://200.169.145.222/255.255.255.255/47/0http://189.30.132.234/255.255.255.255/47/0


8/12

PO (ZRN)0 N, D% roup0 none

inbound esp sas0 spi0 LxOAOLH(A11IL@@LAH) trans8orm0 espFaes espFs6aF6mac , in use settins TX;unnel, Y

conn id0 2LL@, #oGWid0 OP370@, siblinW#as HLLLLLA, crypto map0 ;unnelLF6eadFL sa timin0 remainin 9ey li8etime (9Rsec)0 (A@HL1RH21L) 5V size0 1 bytes replay detection support0 Z tatus0 7C;5V

inbound a6 sas0

inbound pcp sas0

outbound esp sas0 spi0 Lx7DOOO(2121LH1)

trans8orm0 espFaes espFs6aF6mac , in use settins TX;unnel, Y conn id0 2LLA, #oGWid0 OP370A, siblinW#as HLLLLLA, crypto map0 ;unnelLF6eadFL sa timin0 remainin 9ey li8etime (9Rsec)0 (A@HL1RH21L) 5V size0 1 bytes replay detection support0 Z tatus0 7C;5V

outbound a6 sas0

outbound pcp sas0

s6 crypto ipsec sa peer =>4A4A45=

inter8ace0 ;unnelL Crypto map ta0 ;unnelLF6eadFL, local addr 2LL$1$1A$222

protected vr80 (none) local ident (addrRmas9RprotRport)0 (2LL$1$1A$222R2$2$2$2RAIRL ) remote ident (addrRmas9RprotRport)0 (1H$I$I$21HR2$2$2$2RAIRL ) currentWpeer 1H$I$I$21H port LL P4M5;, #asTXoriinWisWacl,Y p9ts encaps0 1, p9ts encrypt0 1, p9ts diest0 1 p9ts decaps0 1, p9ts decrypt0 1, p9ts veri8y0 1

p9ts compressed0 L, p9ts decompressed0 L p9ts not compressed0 L, p9ts compr$ 8ailed0 L p9ts not decompressed0 L, p9ts decompress 8ailed0 L send errors L, recv errors L

local crypto endpt$0 2LL$1$1A$222, remote crypto endpt$0 1H$I$I$21H pat6 mtu 1LL, ip mtu 1LL, ip mtu idb Oastt6ernetLR1 current outbound spi0 LxOA7HH@H(1HI112) PO (ZRN)0 N, D% roup0 none

inbound esp sas0 spi0 LxCDDO@I(@I@@LHLI) trans8orm0 espFaes espFs6aF6mac , in use settins TX;unnel, Y conn id0 2LL1, #oGWid0 OP3701, siblinW#as HLLLLLA, crypto map0 ;unnelLF

http://200.169.145.222/255.255.255.255/47/0http://189.75.57.218/255.255.255.255/47/0http://200.169.145.222/255.255.255.255/47/0http://189.75.57.218/255.255.255.255/47/0


9/12

6eadFL sa timin0 remainin 9ey li8etime (9Rsec)0 (AIAILRHH) 5V size0 1 bytes replay detection support0 Z tatus0 7C;5V

inbound a6 sas0

inbound pcp sas0

outbound esp sas0 spi0 LxOA7HH@H(1HI112) trans8orm0 espFaes espFs6aF6mac , in use settins TX;unnel, Y conn id0 2LL2, #oGWid0 OP3702, siblinW#as HLLLLLA, crypto map0 ;unnelLF6eadFL sa timin0 remainin 9ey li8etime (9Rsec)0 (AIAILRHH) 5V size0 1 bytes replay detection support0 Z

tatus0 7C;5V

outbound a6 sas0

outbound pcp sas0

6S%12

4;*W5N;WC7;3*5s6 crypto isa9mp sa

5PvA Crypto 57+MP 7

dst src state connFid status2LL$1$1A$222 1H$@L$1@2$2@A :MW5DE 1LL1 7C;5V5Pv Crypto 57+MP 7

4;*W5N;WC7;3*5s6 crypto ipsec sa

inter8ace0 ;unnelL Crypto map ta0 ;unnelLF6eadFL, local addr 1H$@L$1@2$2@A

protected vr80 (none) local ident (addrRmas9RprotRport)0 (1H$@L$1@2$2@AR2$2$2$2RAIRL ) remote ident (addrRmas9RprotRport)0 (2LL$1$1A$222R2$2$2$2RAIRL ) currentWpeer 2LL$1$1A$222 port LL P4M5;, #asTXoriinWisWacl,Y p9ts encaps0 2, p9ts encrypt0 2, p9ts diest0 2 p9ts decaps0 1, p9ts decrypt0 1, p9ts veri8y0 1 p9ts compressed0 L, p9ts decompressed0 L p9ts not compressed0 L, p9ts compr$ 8ailed0 L p9ts not decompressed0 L, p9ts decompress 8ailed0 L send errors L, recv errors L

local crypto endpt$0 1H$@L$1@2$2@A, remote crypto endpt$0 2LL$1$1A$222 pat6 mtu 1LL, ip mtu 1LL, ip mtu idb 3iabitt6ernetLR1$2LLL current outbound spi0 LxOAOLH(A11IL@@LAH) PO (ZRN)0 N, D% roup0 none

inbound esp sas0 spi0 Lx7DOOO(2121LH1)


10/12

trans8orm0 espFaes espFs6aF6mac , in use settins TX;unnel, Y conn id0 2LL1, #oGWid0 *nboard VPN01, siblinW#as HLLLLLA, crypto map0 ;unnelLF6eadFL sa timin0 remainin 9ey li8etime (9Rsec)0 (AIRH1) 5V size0 1 bytes

replay detection support0 Z tatus0 7C;5V

inbound a6 sas0

inbound pcp sas0

outbound esp sas0 spi0 LxOAOLH(A11IL@@LAH) trans8orm0 espFaes espFs6aF6mac , in use settins TX;unnel, Y conn id0 2LL2, #oGWid0 *nboard VPN02, siblinW#as HLLLLLA, crypto map0 ;unnelLF6eadFL

sa timin0 remainin 9ey li8etime (9Rsec)0 (AIRH1) 5V size0 1 bytes replay detection support0 Z tatus0 7C;5V

outbound a6 sas0

outbound pcp sas0

4;*F5N;FC7;OE*s6 crypto isa9mp sa

5PvA Crypto 57+MP 7dst src state connFid status2LL$1$1A$222 1H$I$I$21H :MW5DE 1LL1 7C;5V5Pv Crypto 57+MP 7

4;*F5N;FC7;OE*s6 crypto ipsec sa

inter8ace0 ;unnelL Crypto map ta0 ;unnelLF6eadFL, local addr 1H$I$I$21H

protected vr80 (none) local ident (addrRmas9RprotRport)0 (1H$I$I$21HR2$2$2$2RAIRL )

remote ident (addrRmas9RprotRport)0 (2LL$1$1A$222R2$2$2$2RAIRL ) currentWpeer 2LL$1$1A$222 port LL P4M5;, #asTXoriinWisWacl,Y p9ts encaps0 1, p9ts encrypt0 1, p9ts diest0 1 p9ts decaps0 1, p9ts decrypt0 1, p9ts veri8y0 1 p9ts compressed0 L, p9ts decompressed0 L p9ts not compressed0 L, p9ts compr$ 8ailed0 L p9ts not decompressed0 L, p9ts decompress 8ailed0 L send errors L, recv errors L

local crypto endpt$0 1H$I$I$21H, remote crypto endpt$0 2LL$1$1A$222 pat6 mtu 1LL, ip mtu 1LL, ip mtu idb 3iabitt6ernetLRL$2LLL current outbound spi0 LxCDDO@I(@I@@LHLI) PO (ZRN)0 N, D% roup0 none


11/12

inbound esp sas0 spi0 LxOA7HH@H(1HI112) trans8orm0 espFaes espFs6aF6mac , in use settins TX;unnel, Y conn id0 2LL1, #oGWid0 *nboard VPN01, siblinW#as HLLLLLA, crypto map0 ;unnelLF6eadFL

sa timin0 remainin 9ey li8etime (9Rsec)0 (A@1A@RH1) 5V size0 1 bytes replay detection support0 Z tatus0 7C;5V

inbound a6 sas0

inbound pcp sas0

outbound esp sas0 spi0 LxCDDO@I(@I@@LHLI) trans8orm0 espFaes espFs6aF6mac , in use settins TX;unnel, Y

conn id0 2LL2, #oGWid0 *nboard VPN02, siblinW#as HLLLLLA, crypto map0 ;unnelLF6eadFL sa timin0 remainin 9ey li8etime (9Rsec)0 (A@1A@RH1)

Roteamento

6H(B

ip route 12$1H$1AH$L 2$2$2$L 12$1H$222$2

ip route 12$1H$12$L 2$2$2$L 12$1H$222$@

6S%12 )31

5p route 1HI$1H$1$L 2$2$2AL$L 12$1H$222$1

ip route 12$1H$12$L 2$2$2$L 12$1H$222$@

6S%12-G1I

5p route 1HI$1H$1$L 2$2$2AL$L 12$1H$222$1

ip route 12$1H$1AH$L 2$2$2$L 12$1H$222$2

$ericação roteamento

6S%12 )31

RTO-INT-CATFLO#sh dmvpnEeend0 7ttrb FF= F tatic, D F Dynamic, 5 F 5ncompleteN F N7;ed, E F Eocal, S F No oc9et nt FF= Number o8 N%4P entries Git6 same N'M7 peerN% tatus0 FF= xpectin 4eplies, 4 FF= 4espondin

&pDn ;ime FF= &p or DoGn ;ime 8or a ;unnel


12/12

TTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTTT5nter8ace0 ;unnelL, 5PvA N%4P Details ;ype0po9e, N%4P Peers02,

nt Peer N'M7 7ddr Peer ;unnel 7dd tate &pDn ;m 7ttrb FFFFF FFFFFFFFFFFFFFF FFFFFFFFFFFFFFF FFFFF FFFFFFFF FFFFF

1 2LL$1$1A$222 12$1H$222$1 &P L@0L20@ 1 1H$@L$1@2$2@A 12$1H$222$@ &P LL0LI0A@ DS

Introdução DMVPN

Documents

Transcript of Introdução DMVPN