理論視頻hcp-hcie hcnp4.7ds技術(shù)

1、GREOverIPSec原理介NHRPGREOverIPSec原理介NHRP協(xié)議原IPSec安全封應(yīng)用場景配置細第2IPSec隧道集中在Hub點，所有流量都穿越Hub第3GREOverIPSec原理NHRP協(xié)議GREOverIPSec原理NHRP協(xié)議原IPSec安全封應(yīng)用場景配置細第4（DynamicSmarts），動態(tài)。GRE），多點GRE（DynamicSmarts），動態(tài)。GRE），多點GRENHRP協(xié)議（Next Hop Resolution Protocol ），下一跳地。協(xié)可選的IPSec封裝，實現(xiàn)數(shù)據(jù)的安全傳輸與特性相關(guān)的參考標(biāo)準(zhǔn)與協(xié)議如下RFC2332：TheNextHopRe

2、solutionRFC1701：GenericRouting第5GRE隧Generic Routing Encapsulation）點到多點靜態(tài)隧GRE隧Generic Routing Encapsulation）點到多點靜態(tài)隧動態(tài)隧第6GREOverIPSec原理NHRP協(xié)GREOverIPSec原理NHRP協(xié)議原IPSec安全封應(yīng)用場景配置細第7NHRP（Next Hop Resolution Protocol）即下一跳地協(xié)議NHRP（Next Hop Resolution Protocol）即下一跳地協(xié)議基本原理源Spoke（隧道發(fā)起方）以到目的Spoke（隧道響應(yīng)方）引，向目的Spok

3、e發(fā)送NHRP地請求，目的Spoke收到該地址請求后將源Spoke返回其公網(wǎng)地址。源Spoke獲取到目的Spoke的公網(wǎng)地址后，兩者之將建立動態(tài)的MGRE隧道主要功能解決非點到點直連網(wǎng)絡(luò)跨互聯(lián)在中網(wǎng)絡(luò)中，源Spoke利用NHRP協(xié)議獲取對端Spoke的公網(wǎng)地址，類似于MAC或IPDHCI號的對應(yīng)關(guān)系解決動態(tài)IP第8第9第9表表是有關(guān)Tunnel地址和公網(wǎng)地址關(guān)系表表表是有關(guān)Tunnel地址和公網(wǎng)地址關(guān)系表中的表項按照生成方式的不同，分為靜態(tài)表和動態(tài)表項兩種新到第10下一目的地公網(wǎng)接口（靜態(tài)公網(wǎng)接口（動態(tài)公網(wǎng)地Tunnel表公網(wǎng)靜態(tài)MGRE請下一目的地公網(wǎng)接口（靜態(tài)公網(wǎng)接口（動態(tài)公網(wǎng)地Tunne

4、l表公網(wǎng)靜態(tài)MGRE請請求應(yīng)1122公網(wǎng)公網(wǎng)路由路由表表第11Tunnel公網(wǎng)地Tunnel公網(wǎng)目的下一目的地Spoke與Hub之間的MGRE隧道Spoke與Hub之間的MGRE隧道建立完成后，Spoke與之間將通過該隧道，發(fā)送NHRP地址對端的公網(wǎng)地址，并生成NHRP 請求給對方，獲取表，然后建立SpokeSpoke與Spoke之間建立MGRE隧道的方式按照路由部署方的不同，分為如下兩種方式Normal第12表24315表243156表表第13MGRE隧道報文封裝過15表3第14MGRE隧道報文封裝過15表3第1424dst:192.168.2.1 NHRP重定向消Tunnel表請24351

5、6NHRP重定向消Tunnel表請243516Tunnel7表表第15MGRE隧道報文封裝過14表2第16MGRE隧道報文封裝過14表2第163dst:192.168.2.1 GREOverIPSec原理NHRP協(xié)GREOverIPSec原理NHRP協(xié)議原IPSec安全封應(yīng)用場景配置細第17保護的時候，可以在部署的同時綁定IPSec安全框架分支間同時動態(tài)建立起MGRE隧道保護的時候，可以在部署的同時綁定IPSec安全框架分支間同時動態(tài)建立起MGRE隧道和IPSec隧道如第16頁中，Spoke與Spoke間建立MGRE隧道并啟用IPSec后的報文第18srcdst srcdst GREOverI

6、PSec原理介NHRPGREOverIPSec原理介NHRP協(xié)議原IPSec安全封應(yīng)用場景分配置細第19基本場適于中小型企業(yè)網(wǎng)絡(luò)，配置基本場適于中小型企業(yè)網(wǎng)絡(luò)，配置簡單，易于管理，但存在單點故障Hub主備備份場支持部署多臺Hub設(shè)備，用以提高總部的可靠Hub負載分擔(dān)場ub設(shè)備受性能制約，其下所能連接的Spoke數(shù)量有限，當(dāng)網(wǎng)絡(luò)中Spokeb級聯(lián)場Spokeb（總部）設(shè)備處理性能要第20基本場景總基本場景總隧道IP公網(wǎng)IP公網(wǎng)接口隧道IP公網(wǎng)IP公網(wǎng)接口第21Hub主備備份場景總Hub1（主HubHub主備備份場景總Hub1（主Hub（備隧道IP公網(wǎng)公網(wǎng)接分支分支機第22Hub負載分擔(dān)場景總Hu

7、b負載分擔(dān)場景總第23級聯(lián)場景（總部 隧道公網(wǎng)公網(wǎng)接口級部級聯(lián)場景（總部 隧道公網(wǎng)公網(wǎng)接口級部公網(wǎng)公網(wǎng)接口隧道公網(wǎng)公網(wǎng)接口 部 （部）（級部級部公網(wǎng)公網(wǎng)接口隧道公網(wǎng)公網(wǎng)接口 分支機 分支機公網(wǎng)公網(wǎng)接口 隧道公網(wǎng)公網(wǎng)接口 分支機分支機第24GREOverIPSec原理介NHRPGREOverIPSec原理介NHRP協(xié)議原IPSec安全封應(yīng)用場景配置第25配置Hub節(jié)點配置Hub節(jié)點架第26配置Spoke節(jié)點的MGRE隧道參數(shù)system-erface配置Spoke節(jié)點的MGRE隧道參數(shù)system-erfaceerface-tunnel-protocolgreipaddressip-addres

8、smask|mask-配置靜態(tài)nhrpentryprotocol-bma-addressnhrpentrymulticastnhrp第27配置Hub節(jié)點的MGRE隧道參數(shù)配置Hub節(jié)點的MGRE隧道參數(shù)system-erfaceerface-tunnel-protocolgrenhrpentrymulticastnhrp第28分支節(jié)點相互學(xué)習(xí)路由iproute-icip-addressmask分支節(jié)點相互學(xué)習(xí)路由iproute-icip-addressmask|mask-lengthnexthop-|erface-erface-numbernexthop-address ospfs-idnet

9、workaddresswildcard-erfaceerface-ospfnetwork-type第29分支節(jié)點路由匯聚到總iproute-icip-addressmask分支節(jié)點路由匯聚到總iproute-icip-addressmask|mask-lengthnexthop-|erface-erface-numbernexthop-address ospfs-idnetworkaddresswildcard-erfaceerface-ospfnetwork-type第30ipsecprofileprofile-在IPSec安全框架下綁定IKE對等體（對等體中無需配置本端和對端地址ike-i

10、psecprofileprofile-在IPSec安全框架下綁定IKE對等體（對等體中無需配置本端和對端地址ike-eer-alal-name1al-&1-erfaceerface-ipsecprofileprofile-第31第一步：定義ike ikealauthentication-algorithm sha2-egrity-algorithm hmac-sha2-第二步 定義ikeikepeerike-al第三步：定義ipsec ipsecal第一步：定義ike ikealauthentication-algorithm sha2-egrity-algorithm hmac-sha2-第二步 定義ikeikepeerike-al第三步：定義ipsec ipsecalesp authentication-algorithm sha2-第四步 定義ipsec ipsecprofile10 ike-peer fw2al第32erface 第33