Guía de configuración de la Seguridad de Cisco IOS: Conectividad segura, versión 12.2SR
Dynamic Multipoint VPN (DMVPN)
2 Agosto 2013 - Traducción Automática | Otras Versiones: PDFpdf 460 KB | Inglés (26 Marzo 2008) | Comentarios

Contenidos

Dynamic Multipoint VPN (DMVPN)

Encontrar la información de la característica

Contenido

Prerrequisitos de Dynamic Multipoint VPN (DMVPN)

Restricciones de Dynamic Multipoint VPN (DMVPN)

Soporte DMVPN en el Cisco 6500 y el Cisco 7600

Información sobre VPN Multipunto Dinámica (DMVPN)

Ventajas de Dynamic Multipoint VPN (DMVPN)

Diseño de la Función Dynamic Multipoint VPN (DMVPN)

Perfiles de ipsec

DMVPN Integrado VRF

DMVPN — Habilitar la segmentación del tráfico dentro del DMVPN

DMVPN que Reconoce la Transparencia NAT

Control de Admisión de Llamadas con DMVPN

Mecanismo de Limitación de Velocidad NHRP

Cómo Configurar Dynamic Multipoint VPN (DMVPN)

Configurar un perfil de ipsec

Prerrequisitos

Pasos Siguientes

Configurar el concentrador para el DMVPN

Configurar el spoke para el DMVPN

Configurar la expedición de los paquetes IP de los datos del texto claro en un VRF

Configurar la expedición de los paquetes del túnel encriptado en un VRF

Configuración de DMVPN — Traffic Segmentation Within DMVPN

Prerrequisitos

Habilitación de MPLS en el Túnel VPN

Configuración de BGP Multiprotocolo en el Router del Hub

Configuración de BGP Multiprotocolo en los Routers Spoke

Troubleshooting de VPN Multipunto Dinámica (DMVPN)

Pasos Siguientes

Ejemplos de Configuración de la Función Dynamic Multipoint VPN (DMVPN)

Ejemplo: Configuración del hub para el DMVPN

Ejemplo: Configuración radial para el DMVPN

Ejemplo: VRF DMVPN enterado

Ejemplo: 2547oDMVPN con la segmentación del tráfico (con el BGP solamente)

Ejemplo: 2547oDMVPN con la segmentación del tráfico (Central corporativa)

Referencias adicionales

Documentos Relacionados

Estándares

MIB

RFC

Asistencia Técnica

Información sobre la Función Dynamic Multipoint VPN (DMVPN)

Glosario


Dynamic Multipoint VPN (DMVPN)


Primera publicación: De noviembre el 25 de 2002
Última actualización: 3 de febrero de 2009

La característica del Dynamic Multipoint VPN (DMVPN) permite que los usuarios escalen mejor el Redes privadas virtuales (VPN) grande y pequeño de la seguridad IP (IPSec) combinando los túneles, la encripción de IPSec, y el Next Hop Resolution Protocol (NHRP) del Generic Routing Encapsulation (GRE).

Encontrar la información de la característica

Su versión de software puede no soportar todas las características documentadas en este módulo. Para la últimas información y advertencias de la característica, vea los Release Note para su plataforma y versión de software. Para encontrar la información sobre las características documentadas en este módulo, y ver una lista de las versiones en las cuales se soporta cada característica, vea “información de la característica para la sección del Dynamic Multipoint VPN (DMVPN)”.

Utilice el Cisco Feature Navigator para encontrar la información sobre el soporte del Soporte de la plataforma y de la imagen del software de Cisco. Para acceder a Cisco Feature Navigator, vaya a http://www.cisco.com/go/cfn. Una cuenta en el cisco.com no se requiere.

Contenido

Prerrequisitos de Dynamic Multipoint VPN (DMVPN)

Restricciones de Dynamic Multipoint VPN (DMVPN)

Información sobre VPN Multipunto Dinámica (DMVPN)

Cómo Configurar Dynamic Multipoint VPN (DMVPN)

Ejemplos de Configuración de la Función Dynamic Multipoint VPN (DMVPN)

Referencias adicionales

Información sobre la Función Dynamic Multipoint VPN (DMVPN)

Glosario

Prerrequisitos de Dynamic Multipoint VPN (DMVPN)

Antes de un GRE de múltiples puntos (mGRE) y del túnel IPsec puede ser establecido, usted debe definir una directiva del Internet Key Exchange (IKE) usando crypto isakmp policy el comando.

Para que la mejora enterada de la Transparencia NAT trabaje, usted debe utilizar al modo de transporte de IPSec en el conjunto de la transformación. También, aunque la Transparencia NAT puede apoyar a dos pares (IKE y IPSec) que es traducida al la misma dirección IP (usando el protocolo UDP [UDP] vira hacia el lado de babor para distinguirlo [that is, Peer Address Translation (PAT)]), estas funciones no se soportan para el DMVPN. Todos los spokes DMVPN deben tener una dirección IP después de que hayan sido traducidos por NAT. Pueden tener la misma dirección IP antes de su traducción con NAT.

Para habilitar 2547oDMPVN — Segmentación del tráfico dentro del DMVPN usted debe configurar el Multiprotocol Label Switching (MPLS) usando mpls ip el comando.

Restricciones de Dynamic Multipoint VPN (DMVPN)

Si usted utiliza la creación dinámica para el spoke al spoke hace un túnel la ventaja de esta característica, usted debe utilizar las claves del preshared de los Certificados o del comodín IKE para la autenticación del protocolo internet security association key management (ISAKMP).


Notase recomienda altamente que usted no utiliza las claves del preshared del comodín porque el atacante tendrá acceso al VPN si comprometen a un router radial.


El Keepalives del túnel GRE (es decir, keepalive el comando bajo interfaz GRE) no se soporta en los túneles GRE de punto a punto o de múltiples puntos en una red DMVPN.

Para las mejores funciones DMVPN, se recomienda que usted funciona con el último Cisco IOS Software Release 12.4 mainline,12.4T, o 12.2(18)SXF.

Si un spoke está detrás de un dispositivo NAT y otro diverso spoke está detrás de otro dispositivo NAT, y traducción de la dirección de peer (PALMADITA) es el tipo de NAT usado en ambos dispositivos NAT, después una sesión iniciada entre los dos spokes no puede ser establecida.

Un ejemplo de una configuración de la PALMADITA en una interfaz NAT es:

ip nat inside source list nat_acl interface FastEthernet0/1 overload

Soporte DMVPN en el Cisco 6500 y el Cisco 7600

Intercambio de la Cuchilla-a-cuchilla en el Cisco 6500 y el Cisco 7600

El DMVPN no soporta el intercambio de la cuchilla-a-cuchilla en el Cisco 6500 y el Cisco 7600.

Cisco 6500 o Cisco 7600 como concentrador DMVPN

Un Cisco 6500 o Cisco 7600 que está funcionando pues un concentrador DMVPN no se puede establecer detrás de un router NAT.

Si un Cisco 6500 o el Cisco 7600 está funcionando como un concentrador DMVPN, el spoke detrás del NAT debe ser un Cisco 6500 o el Cisco 7600, respectivamente, o el router se debe actualizar al Cisco IOS Software Release 12.3(11)T02 o a una versión posterior.

Cisco 6500 o Cisco 7600 como spoke DMVPN

Si un Cisco 6500 o el Cisco 7600 está funcionando como un spoke, el concentrador no puede estar detrás de NAT.

Si un Cisco 6500 o el Cisco 7600 está funcionando como un DMVPN habló detrás del NAT, el concentrador debe ser un Cisco 6500 o el Cisco 7600, respectivamente, o el router se debe actualizar al Cisco IOS Release 12.3(11)T02 o a una versión posterior.

Supervisor Engine del concentrador o del spoke DMVPN

Solamente un Supervisor Engine 720 se puede utilizar como un concentrador o spoke DMVPN. Un Supervisor Engine 2 no puede ser utilizado.

Multicast cifrado con el GRE

El Multicast cifrado con el GRE no se soporta en el Cisco 6500 ni en el Cisco 7600.

interfaces del mGRE

Si hay dos interfaces del mGRE en el mismo nodo DMVPN y ambas no tienen una clave del túnel, las dos interfaces del mGRE deben cada uno tener una dirección de origen del túnel único (o interfaz) configurada.

En el Cisco 6500 y el Cisco 7600, cada interfaz GRE (de múltiples puntos o de punto a punto) debe tener una dirección de origen del túnel único (o interfaz).

Los siguientes comandos no se soportan bajo el mGRE con el DMVPN: ip tcp adjust-mss qos pre-classify tunnel vrf tunnel path-mtu-discovery, y tunnel vrf.

Calidad del servicio (QoS)

Usted no puede utilizar QoS para los paquetes DMVPN en un Cisco 6500 o el Cisco 7600.

Clave del túnel

El uso de una clave del túnel en una interfaz (de múltiples puntos o de punto a punto) GRE no se soporta en el Hardware Switching Asics en las Plataformas del Cisco 6500 y del Cisco 7600. Si se configura una clave del túnel, el desempeño del rendimiento de procesamiento se reduce grandemente.

En el Cisco IOS Release 12.3(11)T3 y la versión 12.3(14)T, el requisito que una interfaz del mGRE debe tener una clave del túnel fue quitado. Por lo tanto, en una red DMVPN que incluya un Cisco 6500 o el Cisco 7600 como nodo DMVPN, usted debe quitar la clave del túnel de todos los Nodos DMVPN en la red DMVPN, así preservando el desempeño del rendimiento de procesamiento en las Plataformas del Cisco 6500 y del Cisco 7600.

Si la clave del túnel no se configura en ningún nodo DMVPN dentro de una red DMVPN, no debe ser configurada en todos los Nodos DMVPN con la red DMVPN.

Escenarios que reconoce VRF DMVPN

mls mpls tunnel-recir El comando se debe configurar en el concentrador del equipo del proveedor (PE) DMVPN si necesidad del spokes del equipo del cliente (CE) DMVPN “de hablar” con otros CE a través de la nube MPLS.

La interfaz del mGRE se debe configurar con bastante grande una unidad máxima de transmisión IP (1400 paquetes a evitar tener el Route Processor que hace la fragmentación.

El Enhanced Interior Gateway Routing Protocol (EIGRP) debe ser evitado.

Información sobre VPN Multipunto Dinámica (DMVPN)

Ventajas de Dynamic Multipoint VPN (DMVPN)

Diseño de la Función Dynamic Multipoint VPN (DMVPN)

Perfiles de ipsec

DMVPN Integrado VRF

DMVPN — Enabling Traffic Segmentation Within DMVPN

DMVPN que Reconoce la Transparencia NAT

Control de Admisión de Llamadas con DMVPN

Mecanismo de Limitación de Velocidad NHRP

Ventajas de Dynamic Multipoint VPN (DMVPN)

Reducción de la configuración del router de eje de conexión

Actualmente, para cada router radial, hay un bloque separado de las líneas de configuración en el router de eje de conexión que definen las características de la correspondencia de criptografía, la lista de acceso crypto, y la interfaz de túnel GRE. Esta característica permite que los usuarios configuren una sola interfaz de túnel MGRE, un solo perfil de ipsec, y ningunas Listas de acceso crypto en el router de eje de conexión para manejar todos los routeres radiales. Así, los tamaños de la configuración en el router de eje de conexión siguen siendo constantes incluso si agregan a los routeres radiales a la red.

La arquitectura DMVPN puede agrupar mucho spokes en una sola interfaz de múltiples puntos GRE, quitando la necesidad de una comprobación distinta o la interfaz lógica para cada spoke en una instalación nativa del IPSec.

Iniciación automática de encripción de IPsec

El GRE tiene las direcciones de origen y de destino del par configuradas o resueltas con el NHRP. Así, esta característica permite que el IPSec sea accionado inmediatamente para la tunelización GRE de punto a punto o cuando resuelven a la dirección de peer GRE vía el NHRP para el túnel GRE de múltiples puntos.

Soporte para los routeres radiales dinámicamente dirigidos

Al usar las redes VPN del Punto a punto GRE y del hub-and-spoke del IPSec, la dirección IP de la interfaz física de los routeres radiales debe ser sabida al configurar el router de eje de conexión porque la dirección IP se debe configurar como la dirección destino del túnel GRE. Esta característica permite que los routeres radiales tengan IP Addresses dinámicos de la interfaz física (comunes para el cable y las conexiones DSL). Cuando viene el router radial en línea, enviará los paquetes de inscripción al router de eje de conexión: dentro de estos paquetes de inscripción, es la dirección IP actual de la interfaz física de este spoke.

Creación dinámica para los túneles del spoke al spoke

Esta característica elimina la necesidad de la configuración del spoke al spoke para los túneles directos. Cuando un router radial quiere transmitir un paquete a otro router radial, puede ahora utilizar el NHRP para determinar dinámicamente el direccionamiento de destino requerido del router radial de la blanco. (El router de eje de conexión actúa como el servidor NHRP, manejando el pedido el router radial de la fuente.) Los dos routeres radiales crean dinámicamente un túnel IPsec entre ellos así que los datos pueden ser transferidos directamente.

DMVPN Integrado VRF

Los DMVPN se pueden utilizar para extender las redes del Multiprotocol Label Switching (MPLS) que son desplegadas por los proveedores de servicio para aprovecharse de la facilidad de la configuración del concentrador y del spokes, para proporcionar el soporte para el Customer Premises Equipment dinámicamente dirigido (CPEs), y para proporcionar el aprovisionamiento del cero-tacto para agregar el nuevo spokes en un DMVPN.

Diseño de la Función Dynamic Multipoint VPN (DMVPN)

La característica del Dynamic Multipoint VPN (DMVPN) combina los túneles GRE, la encripción de IPSec, y la encaminamiento NHRP para proporcionar a los usuarios una facilidad de la configuración vía los perfiles crypto — que reemplazan el requisito para definir las correspondencias de criptografía estática — y de la detección dinámica de puntos finales del túnel.

Esta característica confía en las dos Tecnologías estándar aumentadas Cisco siguientes:

NHRP: un protocolo de cliente y servidor donde el hub es el servidor y las radios son los clientes. El hub mantiene una base de datos NHRP de las direcciones de interfaz pública de cada radio. Cada spoke registra su dirección real cuando arranca y consulta en la base de datos NHRP las direcciones reales de los spokes de destino con el fin de crear túneles directos.

interfaz de túnel MGRE — Permite que una sola interfaz GRE soporte los túneles IPsec múltiples y simplifica los tamaños y la complejidad de la configuración.

La topología mostrada en el cuadro 1 y los puntos negros correspondientes explican cómo esta característica trabaja.

Figura 1

MGRE de la muestra y topología de la integración del IPSec

Cada spoke tiene un túnel IPsec permanente al concentrador, no al otro spokes dentro de la red. Cada radio se registra como cliente del servidor NHRP.

Cuando una radio necesita enviar un paquete a una subred (privada) de destino en otra radio, consulta al servidor NHRP para obtener la dirección (externa) real de la radio de destino.

Después de que el spoke que origina “aprenda” a la dirección de peer del spoke de la blanco, puede iniciar un túnel IPsec dinámico al spoke de la blanco.

El túnel del spoke al spoke se construye sobre la interfaz de múltiples puntos GRE.

Los links de radio a radio se establecen según la demanda cada vez que hay tráfico entre radios. Después de eso, los paquetes pueden desviar el concentrador y utilizar el túnel del spoke al spoke.


Observedespués de una cantidad preconfigurada de inactividad en los túneles del spoke al spoke, el router derribará esos túneles para salvar los recursos ([SAs] de las asociaciones de seguridad IPSec).


Perfiles de ipsec

Los perfiles de ipsec resumen la información de política del IPSec en una sola entidad de configuración, que puede ser referida por nombre de otras partes de la configuración. Por lo tanto, los usuarios pueden configurar las funciones tales como protección del túnel GRE con una sola línea de la configuración. Refiriéndose a un perfil de ipsec, el usuario no tiene que configurar una configuración entera de la correspondencia de criptografía. Un perfil de ipsec contiene solamente la información de IPSec; es decir, no contiene ninguna información de la lista de acceso o la información del peering.

DMVPN Integrado VRF

El VPN Routing and Forwarding (VRF) DMVPN integrado permite a los usuarios para asociar las interfaces multipunto DMVPN en el MPLS VPNs. Esta asignación permite que los Proveedores de servicios de Internet (ISP) amplíen sus servicios existentes del MPLS VPN asociando los sitios fuera de la red (típicamente una sucursal) a su MPLS VPNs respectivo. Terminan al Routers del equipo del cliente (CE) en el router DMVPN PE, y el tráfico se pone en el caso VRF de un MPLS VPN.

El DMVPN puede obrar recíprocamente con el MPLS VPNs de dos maneras:

1. ip vrf forwarding Se utiliza el comando de inyectar los paquetes IP de los datos (esos paquetes dentro del túnel del mGRE+IPsec) en el MPLS VPN. ip vrf forwarding El comando se soporta para el DMVPN en el Cisco IOS Release 12.3(6) y la versión 12.3(7)T.

2. tunnel vrf Se utiliza el comando de transportar (ruta) el paquete del túnel sí mismo del mGRE+IPsec dentro de un MPLS VPN. tunnel vrf El comando se soporta en el Cisco IOS Release 12.3(11)T pero no en el Cisco IOS Release 12.2(18)SXE.


Los paquetesIP de los datos del texto claro de la nota se remiten en un VRF usando ip vrf forwarding el comando, y los paquetes IP del túnel encriptado se remiten en un VRF usando tunnel vrf el comando.


ip vrf forwarding Y tunnel vrf los comandos puede ser utilizado al mismo tiempo. Si se utilizan al mismo tiempo, el nombre VRF de cada comando puede ser el lo mismo o diferente.

Para la información sobre configurar la expedición de los paquetes IP de los datos del texto claro en un VRF, vea la sección el “configurar de la expedición de los paquetes IP de los datos del texto claro en un VRF.” Para la información sobre configurar la expedición de los paquetes del túnel encriptado en un VRF, vea la sección el “configurar de la expedición de los paquetes del túnel encriptado en un VRF.”

Para más información sobre configurar el VRF, vea que la referencia en “relacionó la sección de los documentos”.

El cuadro 2 ilustra un escenario integrado VRF típico DMVPN.

Cuadro 2 VRF DMVPN integrado

DMVPN — Habilitar la segmentación del tráfico dentro del DMVPN

El Cisco IOS Release 12.4(11)T proporciona una mejora que permita que usted divida el tráfico VPN en segmentos dentro de un túnel DMVPN. Los casos VRF se etiquetan, usando el MPLS, para indicar su fuente y destino.

El diagrama en el cuadro 3 y los puntos negros correspondientes explican cómo la segmentación del tráfico dentro del DMVPN trabaja.

Cuadro 3 segmentación del tráfico con el DMVPN

El concentrador mostrado en el diagrama es un WAN-PE y un reflector de ruta, y el spokes (Routers PE) es clientes.

Hay tres VRF, señalados “rojo,” “verde,” y “azul.”

Cada spoke tiene una relación de vecino con el concentrador ([MP-iBGP] multiprotocol del protocolo Protocolo de la puerta de enlace marginal (BGP) que mira) y un túnel GRE al concentrador.

Cada spoke hace publicidad de sus rutas y prefijos del VPNv4 al concentrador.

El concentrador fija su propia dirección IP mientras que la ruta del Next-Hop para todo el VPNv4 lo dirige aprende del spokes y asigna una escritura de la etiqueta local MPLS para cada VPN cuando hace publicidad de las rutas de nuevo al spokes. Como consecuencia, el tráfico de habló A al spoke B se rutea vía el concentrador.

Un ejemplo ilustra el proceso:

1.Habló A hace publicidad de una ruta del VPNv4 al concentrador, y aplica la escritura de la etiqueta X al VPN.

2. El concentrador cambia la escritura de la etiqueta a Y cuando el concentrador hace publicidad de la ruta al spoke B.

3. Cuando el spoke B tiene el tráfico a enviar a habló A, aplica Y la escritura de la etiqueta, y el tráfico va al concentrador.

4. El concentrador intercambia la escritura de la etiqueta VPN, quitando Y la escritura de la etiqueta y aplicando X una escritura de la etiqueta, y envía el tráfico al spoke A.

DMVPN que Reconoce la Transparencia NAT

El spokes DMVPN se sitúa a menudo detrás de un router NAT (que sea controlado a menudo por el ISP para el sitio radial) con la dirección de interfaz externa del router radial que es asignado dinámicamente por el ISP usando un IP Address privado (por de la Fuerza de tareas de ingeniería en Internet (IETF) el RFC 1918 [IETF]).

Antes del Cisco IOS Release 12.3(6) y de 12.3(7)T, estos routeres radiales tuvieron que utilizar el modo del túnel IPsec para participar en una red DMVPN. Además, su interfaz exterior asignada IP address privado tuvo que ser única a través de la red DMVPN. Aunque el ISAKMP y el IPSec negociarían el NAT-T y “aprenda” a la dirección pública correcta NAT para el IP address privado de este spoke, el NHRP podría “ver” y utilizar solamente el IP Address privado del spoke para sus entradas de la asignación. Eficaz con la mejora enterada de la Transparencia NAT DMVPN, el NHRP puede ahora aprender y utilizar a la dirección pública NAT para sus asignaciones mientras utilicen al modo de transporte de IPSec (que es el modo IPsec de la recomendación para las redes DMVPN). Se ha quitado la restricción que la dirección IP de la interfaz privada del spoke debe ser única a través de la red DMVPN. Se recomienda que actualicen a todo el Routers DMVPN al nuevo código antes de que usted intente utilizar las nuevas funciones aunque los routeres radiales que no están detrás de NAT no necesitan ser actualizados. Además, usted no puede convertir a los routeres radiales actualizados que están detrás de NAT a la nueva configuración (modo de transporte de IPSec) hasta que se hayan actualizado los routeres de eje de conexión.

También se agrega en los Cisco IOS Releases 12.3(9a) y 12.3(11)T la capacidad para tener el router del concentrador DMVPN detrás del NAT estático. Esto era un cambio en el soporte ISAKMP NAT-T. Para que estas funciones sean utilizadas, todos los routeres radiales y los routeres de eje de conexión DMVPN deben ser actualizados, y el IPSec debe utilizar el modo de transporte.

Para que estas mejoras enteradas de la Transparencia NAT trabajen, usted debe utilizar al modo de transporte de IPSec en el conjunto de la transformación. También, aunque la Transparencia NAT (IKE y IPSec) puede apoyar a dos pares (IKE y IPSec) que son traducidos a la misma dirección IP (usando el UDP vira hacia el lado de babor para distinguirlos), estas funciones no se soportan para el DMVPN. Todos los spokes DMVPN deben tener una dirección IP después de que hayan sido traducidos por NAT. Pueden tener la misma dirección IP antes de su traducción con NAT.

El cuadro 4 ilustra un escenario enterado de la Transparencia NAT DMVPN.


Observeen el Cisco IOS Release 12.4(6)T o Anterior, spokes DMVPN detrás del NAT no participará en los túneles directos dinámicos del spoke al spoke. Cualquier tráfico a o desde un spoke que esté detrás de NAT será remitido usando los routeres de eje de conexión DMVPN. El spokes DMVPN que no está detrás de NAT en la misma red DMVPN puede crear los túneles directos dinámicos del spoke al spoke entre uno a.

En las versiones del Cisco IOS Release 12.4(6)T o Posterior, el spokes DMVPN detrás del NAT participará en los túneles directos dinámicos del spoke al spoke. El spokes debe estar detrás de los cuadros NAT que están preformando el NAT, no patente. El cuadro NAT debe traducir habló a la misma dirección IP exterior NAT para las conexiones del spoke-spoke como el cuadro NAT hace para la conexión del spoke-concentrador. Si hay más de un DMVPN habló detrás del mismo cuadro NAT, después el cuadro NAT debe traducir el spokes DMVPN a diversos IP Addresses exteriores NAT. Es también probable que usted no pueda poder construir un túnel directo del spoke-spoke entre este spokes. Si un túnel del spoke-spoke no puede formar, después los paquetes del spoke-spoke continuarán siendo remitidos vía la trayectoria del spoke-concentrador-spoke.


Cuadro 4 Transparencia NAT DMVPN enterado

Control de Admisión de Llamadas con DMVPN

En una red DMVPN, es fácil que un router DMVPN “abrumarse” con el número de túneles que está intentando construir. El control de admisión de llamadas se puede utilizar para limitar el número de túneles que se puedan construir a cualquier momento, así protegiendo la memoria del router y de los recursos de la CPU.

Es más probable que el control de admisión de llamadas será utilizado en un DMVPN habló para limitar el número total de sesiones ISAKMP (túneles DMVPN) que un router radial intente iniciar o validar. Esto que limita es lograda configurando un límite IKE SA bajo control de admisión de llamadas, que configura al router para caer las nuevas peticiones de la sesión ISAKMP (entrante y saliente) si el número actual de ISAKMP SA excede el límite.

Es más probable que el control de admisión de llamadas será utilizado en un concentrador DMVPN al límite de velocidad el número de túneles DMVPN que estén intentando ser construidos al mismo tiempo. La limitación de la tarifa es lograda configurando un límite de los recursos del sistema bajo control de admisión de llamadas, que configura al router para caer las nuevas peticiones de la sesión ISAKMP (nuevos túneles DMVPN) cuando la utilización del sistema está sobre un porcentaje especificado. Los pedidos de sesión caídos permiten que el router de eje de conexión DMVPN complete las peticiones actuales de la sesión ISAKMP, y cuando la utilización del sistema cae, puede procesar las sesiones previamente caídas cuando se reintentan.

No se requiere ninguna configuración especial para utilizar el control de admisión de llamadas con el DMVPN. Para la información sobre configurar el control de admisión de llamadas, vea que la referencia en la sección “relacionó los documentos.”

Mecanismo de Limitación de Velocidad NHRP

El NHRP tiene un mecanismo de limitación de velocidad que restrinja el número total de paquetes nhrp de cualquier interfaz dada. Los valores predeterminados, que se fijan usando el comando ip nhrp max-send, son 100 paquetes cada 10 segundos por la interfaz. Si se excede el límite, usted conseguirá el mensaje del sistema siguiente:

%NHRP-4-QUOTA: Max-send quota of [int]pkts/[int]Sec. exceeded on [chars]

Para más información sobre este mensaje del sistema, vea la guía de mensajes del sistema del documento 12.4T.

Cómo Configurar Dynamic Multipoint VPN (DMVPN)

Para habilitar el mGRE y tunelización de IPSec para el Routers del hub and spoke, usted debe configurar un perfil de ipsec que utilice una plantilla de política global del IPSec y configura su túnel del mGRE para la encripción de IPSec. Esta sección contiene los siguientes procedimientos:

Configurando un perfil de ipsec (requerido)

Configurando el concentrador para el DMVPN (requerido)

Configurando el spoke para el DMVPN (requerido)

Configurando la expedición de los paquetes IP de los datos del texto claro en un VRF (opcional)

Configurando la expedición de los paquetes del túnel encriptado en un VRF (opcional)

Configuración de DMVPN — Traffic Segmentation Within DMVPN

Localización de averías del Dynamic Multipoint VPN (DMVPN) (opcional)

Configurar un perfil de ipsec

El perfil de ipsec comparte la mayor parte de los mismos comandos con la configuración de la correspondencia de criptografía, pero solamente un subconjunto de los comandos es válido en un perfil de ipsec. Los únicos comandos que pertenecen a una directiva del IPSec se pueden publicar bajo perfil de ipsec; usted no puede especificar el direccionamiento o el Access Control List (ACL) del peer IPSec para hacer juego los paquetes que deben ser cifrados.

Prerrequisitos

Antes de configurar un perfil de ipsec, usted debe definir una transformación fijada usando crypto ipsec transform-set el comando.

PASOS SUMARIOS

1. enable

2. configure terminal

3. crypto ipsec profile name

4. set transform-set transform-set-name

5. set identity

6.set security association lifetime {seconds seconds | kilobytes kilobytes}

7.set pfs [group1 | group2]

PASOS DETALLADOS

 
Comando o acción
Propósito

Paso 1 

enable

Example:

Router> enable

Habilita niveles de privilegio más altos, como el modo EXEC privilegiado.

Ingrese su contraseña si se le pide que lo haga.

Paso 2 

configure terminal

Example:

Router# configure terminal

Ingresa en el modo de configuración global.

Paso 3 

crypto ipsec profile name

Example:

Router(config)# crypto ipsec profile vpnprof

Define los parámetros de IPSec que deben ser utilizados para la encripción de IPSec entre “spoke y concentrador” y el Routers del “spoke y del spoke”.

Este comando ingresa al modo de configuración de la correspondencia de criptografía.

name El argumento especifica el nombre del perfil de ipsec.

Paso 4 

set transform-set transform-set-name

Example:

Router(config-crypto-map)# set transform-set trans2

Especifica cuáles transforman los conjuntos se pueden utilizar con el perfil de ipsec.

transform-set-name El argumento especifica el nombre del conjunto de la transformación.

Paso 5 

set identity

Example:

El router (config-crypto-mapa) # fijó la identidad

(Opcional) especifica las restricciones de la identidad que se utilizarán con el perfil de ipsec.

Paso 6 

set security association lifetime {seconds seconds | kilobytes kilobytes}

Example:

El router (config-crypto-mapa) # fijó los segundos 1800 del curso de la vida de la asociación de seguridad

(Opcional) reemplaza el valor global del curso de la vida para el perfil de ipsec.

seconds seconds La opción especifica el número de segundos que una asociación de seguridad vivirá antes de expirar; kilobytes kilobytes la opción especifica el volumen de tráfico (en los kilobytes) que puede pasar entre los peeres IPSecs que usan a una asociación de seguridad dada antes que expira la asociación de seguridad.

El valor por defecto para seconds el argumento es 3600 segundos.

Paso 7 

set pfs [group1 | group2]

Example:

Router(config-crypto-map)# set pfs group2

(Opcional) especifica que el IPSec debe pedir el Confidencialidad directa perfecta (PFS) al pedir a las nuevas asociaciones de seguridad para este perfil de ipsec. Si este comando no se especifica, el valor por defecto (group1) será habilitado.

group1 La palabra clave especifica que el IPSec debe utilizar el grupo del módulo de la prima del Diffie-Hellman (DH) del 768-bit al realizar el nuevo intercambio DH; group2 la palabra clave especifica el grupo del módulo de la prima 1024-bit DH.


Pasos Siguientes

Proceden a las secciones siguientes “configurar el concentrador para el DMVPN” y “configurar el spoke para el DMVPN.”

Configurar el concentrador para el DMVPN

Para configurar el router de eje de conexión para el mGRE y la integración del IPSec (es decir, asocie el túnel al perfil de ipsec configurado en el procedimiento previo), utilice los siguientes comandos:


La red NHRPID de la nota es localmente - significativo y puede ser diferente. Tiene sentido de una perspectiva del despliegue y del mantenimiento de utilizar los números de ID de la red única (usando ip nhrp network-id el comando) a través de todo el Routers en una red DMVPN, pero no es necesario que sean lo mismo.


PASOS SUMARIOS

1. enable

2. configure terminal

3. interface tunnel number

4.ip address ip-address mask []secondary

5. ip mtu bytes

6. ip nhrp authentication string

7. ip nhrp map multicast dynamic

8. ip nhrp network-id number

9.tunnel source {ip-address | type number}

10. tunnel key key-number

11. tunnel mode gre multipoint

12. tunnel protection ipsec profile name

13. bandwidth kbps

14. ip tcp adjust-mss max-segment-size

15. ip nhrp holdtime seconds

16. delay number

PASOS DETALLADOS

 
Comando o acción
Propósito

Paso 1 

enable

Example:

Router> enable

Habilita niveles de privilegio más altos, como el modo EXEC privilegiado.

Ingrese su contraseña si se le pide que lo haga.

Paso 2 

configure terminal

Example:

Router# configure terminal

Ingresa en el modo de configuración global.

Paso 3 

interface tunnel number

Example:

Router(config)# interface tunnel 5

Configura una interfaz del túnel y ingresa al modo de configuración de la interfaz

number El argumento especifica el número de la interfaz del túnel que usted quiere crear o configurar. No existe límite en el número de interfaces de túnel que se pueden crear.

Paso 4 

ip address ip-address mask [secondary]

Example:

Router(config-if)# ip address 10.0.0.1 255.255.255.0

Establece una dirección IP primaria o secundaria para la interfaz de túnel.

Observetodo el Hubs y el spokes que está en la misma red DMVPN se debe dirigir en la misma subred IP.

Paso 5 

ip mtu bytes
Example:

Router(config-if)# ip mtu 1400

Fija los Tamaños de la unidad máxima de transmisión (MTU), en los bytes, de los paquetes IP enviados en una interfaz.

Paso 6 

ip nhrp authentication string
Example:

Router(config-if)# ip nhrp authentication donttell

Configura la cadena de la autenticación de una interfaz usando NHRP.

Observeautenticación nhrp la cadena debe ser fijado al mismo valor en todo el Hubs y spokes que estén en la misma red DMVPN.

Paso 7 

ip nhrp map multicast dynamic

Example:

Router (config-if) # Multicast de la correspondencia del nhrp del IP dinámico

Permite que el NHRP agregue automáticamente a los routeres radiales a los mapeos NHRP del Multicast.

Paso 8 

ip nhrp network-id number
Example:

Router(config-if)# ip nhrp network-id 99

Habilita NHRP en una interfaz.

number El argumento especifica el identificador de red de 32 bits único a global - de una red del acceso múltiple sin broadcast (NBMA). El rango es a partir la 1 a 4294967295.

Paso 9 

tunnel source {ip-address | type number}

Example:

Router (config-if)# tunnel source Ethernet0

Fija a la dirección de origen para una interfaz del túnel.

Paso 10 

tunnel key key-number

Example:

Router (config-if)# tunnel key 100000

(Opcional) habilita una clave ID para una interfaz del túnel.

key-number El argumento especifica un número a partir de la 0 a 4.294.967.295 que identifica la clave del túnel.

Observeel número dominante debe ser fijado al mismo valor en todo el Hubs y spokes que estén en la misma red DMVPN.

Observeeste comando no debe ser configurado si usted está utilizando una plataforma del Cisco 6500 o del Cisco 7600.

Paso 11 

tunnel mode gre multipoint

Example:

Router (config-if) # gre del modo túnel de múltiples puntos

Establece el modo de encapsulación en mGRE de la interfaz de túnel.

Paso 12 

tunnel protection ipsec profile name

Example:

Router(config-if)# tunnel protection ipsec profile vpnprof

Asocia una interfaz de túnel con un perfil IPSec.

name El argumento especifica el nombre del perfil de ipsec; este valor debe hacer juego name especificado en crypto ipsec profile name el comando.

Paso 13 

bandwidth kbps

Example:

Router(config-if)# bandwidth 1000

Fija el valor de ancho de banda actual para una interfaz en protocolos de mayor nivel.

kbps El argumento especifica el ancho de banda en los kilobites por segundo. El valor predeterminado es 9. El valor de ancho de banda recomendado es 1000 o mayor.

La determinación del valor de ancho de banda por lo menos a 1000 es crítica si el EIGRP se utiliza sobre la interfaz del túnel. Los valores del ancho de banda mayor pueden ser necesarios dependiendo del número de spokes soportado por un concentrador.

Paso 14 

ip tcp adjust-mss max-segment-size

Example:

Router(config-if)# ip tcp adjust-mss 1360

Ajusta el valor del Tamaño de segmento máximo (MSS) de los paquetes TCP que pasan por un router.

max-segment-size El argumento especifica el Maximum Segment Size, en los bytes. El rango es a partir el 500 a 1460.

El valor recomendado es 1360 cuando el número de bytes IP MTU se fija a 1400. Con esta configuración recomendada, las sesiones TCP se vuelven a escalar rápidamente a paquetes IP de 1400 bytes para que éstos “quepan” en el túnel.

Paso 15 

ip nhrp holdtime seconds

Example:

Router(config-if)# ip nhrp holdtime 450

Cambia el número de segundos que se anuncian las direcciones NHRP NBMA como válidas en las respuestas NHRP autorizadas.

seconds El argumento especifica el tiempo en los segundos de que los direccionamientos NBMA se hacen publicidad como válidos en las respuestas autoritarias positivas NHRP. El valor recomendado se sitúa entre 300 y 600 segundos.

Paso 16 

delay number

Example:

Router(config-if)# delay 1000

(Opcional) Se utiliza para cambiar la métrica de ruteo EIGRP para las rutas aprendidas sobre la interfaz de túnel.

number El argumento especifica el tiempo de retraso en los segundos. El valor recomendado es 1000.


Configurar el spoke para el DMVPN

Para configurar a los routeres radiales para el mGRE y la integración del IPSec, utilice los siguientes comandos.


La red NHRPID de la nota es localmente - significativo y puede ser diferente. Tiene sentido de una perspectiva del despliegue y del mantenimiento de utilizar los números de ID de la red única (usando ip nhrp network-id el comando) a través de todo el Routers en una red DMVPN, pero no es necesario que sean lo mismo.


PASOS SUMARIOS

1. enable

2. configure terminal

3. interface tunnel number

4.ip address ip-address mask []secondary

5. ip mtu bytes

6. ip nhrp authentication string

7. ip nhrp map hub-tunnel-ip-address hub-physical-ip-address

8. ip nhrp map multicast hub-physical-ip-address

9. ip nhrp nhs hub-tunnel-ip-address

10. ip nhrp network-id number

11tunnel source {ip-address | type number}

12. tunnel key key-number

13. tunnel mode gre multipoint

o

tunnel destination hub-physical-ip-address

14. tunnel protection ipsec profile name

15. bandwidth kbps

16. ip tcp adjust-mss max-segment-size

17. ip nhrp holdtime seconds

18. delay number

PASOS DETALLADOS

 
Comando o acción
Propósito

Paso 1 

enable

Example:

Router> enable

Habilita niveles de privilegio más altos, como el modo EXEC privilegiado.

Ingrese su contraseña si se le pide que lo haga.

Paso 2 

configure terminal

Example:

Router# configure terminal

Ingresa en el modo de configuración global.

Paso 3 

interface tunnel number

Example:

Router(config)# interface tunnel 5

Configura una interfaz de túnel e ingresa en el modo de configuración de la interfaz.

number El argumento especifica el número de la interfaz del túnel que usted quiere crear o configurar. No existe límite en el número de interfaces de túnel que se pueden crear.

Paso 4 

ip address ip-address mask [secondary]

Example:

Router(config-if)# ip address 10.0.0.2 255.255.255.0

Establece una dirección IP primaria o secundaria para la interfaz de túnel.

Observetodo el Hubs y el spokes que está en la misma red DMVPN se debe dirigir en la misma subred IP.

Paso 5 

ip mtu bytes
Example:

Router(config-if)# ip mtu 1400

Fija la talla del MTU, en los bytes, de los paquetes IP enviados en una interfaz.

Paso 6 

ip nhrp authentication string
Example:

Router(config-if)# ip nhrp authentication donttell

Configura la cadena de la autenticación de una interfaz usando NHRP.

Observeautenticación nhrp la cadena se fije al mismo valor en todo el Hubs y spokes que estén en la misma red DMVPN.

Paso 7 

ip nhrp map hub-tunnel-ip-address hub-physical-ip-address

Example:

Router (config-if) # correspondencia 10.0.0.1 172.17.0.1 del nhrp del IP

Configura estáticamente la correspondencia de direcciones IP-a-NBMA de los destinos IP conectados con una red MBMA.

hub-tunnel-ip-address — Define el servidor NHRP en el concentrador, que se asocia permanentemente al IP Address público estático del concentrador.

hub-physical-ip-address — Define al IP Address público estático del concentrador.

Paso 8 

ip nhrp map multicast hub-physical-ip-address

Example:

Router (config-if) # Multicast 172.17.0.1 de la correspondencia del nhrp del IP

Habilita el uso de un Dynamic Routing Protocol entre el spoke y el concentrador, y envía los paquetes de multidifusión al router de eje de conexión.

Paso 9 

ip nhrp nhs hub-tunnel-ip-address
Example:

Router (config-if) # nhs 10.0.0.1 del nhrp del IP

Configura el router de eje de conexión como el servidor de Next Hop NHRP.

Paso 10 

ip nhrp network-id number
Example:

Router(config-if)# ip nhrp network-id 99

Habilita NHRP en una interfaz.

number El argumento especifica el identificador de red de 32 bits único a global - de una red NBMA. El rango es a partir la 1 a 4294967295.

Paso 11 

tunnel source {ip-address | type number}

Example:

Router (config-if)# tunnel source Ethernet0

Fija la dirección de origen para una interfaz de túnel.

Paso 12 

tunnel key key-number

Example:

Router (config-if)# tunnel key 100000

(Opcional) habilita una clave ID para una interfaz del túnel.

key-number El argumento especifica un número a partir de la 0 a 4.294.967.295 que identifica la clave del túnel.

El número dominante se debe fijar al mismo valor en todo el Hubs y spokes que estén en la misma red DMVPN.

Observeeste comando no debe ser configurado si usted está utilizando una plataforma del Cisco 6500 o del Cisco 7600.

Paso 13 

tunnel mode gre multipoint

o

tunnel destination hub-physical-ip-address

Example:

Router (config-if) # gre del modo túnel de múltiples puntos

o

Router (config-if) # destino del túnel 172.17.0.1

Establece el modo de encapsulación en mGRE de la interfaz de túnel.

Utilice este comando si el tráfico de datos puede utilizar el tráfico dinámico del spoke al spoke.

Especifica el destino para una interfaz de túnel.

Utilice este comando si el tráfico de datos puede utilizar los túneles del hub-and-spoke.

Paso 14 

tunnel protection ipsec profile name

Example:

Router(config-if)# tunnel protection ipsec profile vpnprof

Asocia una interfaz de túnel con un perfil IPSec.

name El argumento especifica el nombre del perfil de ipsec; este valor debe hacer juego name especificado en crypto ipsec profile name el comando.

Paso 15 

bandwidth kbps

Example:

Router(config-if)# bandwidth 1000

Fija el valor de ancho de banda actual para una interfaz en protocolos de mayor nivel.

kbps El argumento especifica el ancho de banda en los kilobites por segundo. El valor predeterminado es 9. El valor de ancho de banda recomendado es 1000 o mayor.

La configuración de ancho de banda para el spoke no necesita igualar la configuración de ancho de banda para el concentrador DMVPN. Es generalmente más fácil si todo el uso del spokes el mismo o el valor similar.

Paso 16 

ip tcp adjust-mss max-segment-size

Example:

Router(config-if)# ip tcp adjust-mss 1360

Ajusta el valor del Tamaño de segmento máximo (MSS) de los paquetes TCP que pasan por un router.

max-segment-size El argumento especifica el Maximum Segment Size, en los bytes. El rango es a partir el 500 a 1460.

El valor de la cantidad recomendada es 1360 cuando el número de bytes IP MTU se fija a 1400. Con esta configuración recomendada, las sesiones TCP se vuelven a escalar rápidamente a paquetes IP de 1400 bytes para que éstos “quepan” en el túnel.

Paso 17 

ip nhrp holdtime seconds

Example:

Router(config-if)# ip nhrp holdtime 450

Cambia el número de segundos que se anuncian las direcciones NHRP NBMA como válidas en las respuestas NHRP autorizadas.

seconds El argumento especifica el tiempo en los segundos de que los direccionamientos NBMA se hacen publicidad como válidos en las respuestas autoritarias positivas NHRP. El valor recomendado se sitúa entre 300 y 600 segundos.

Paso 18 

delay number

Example:

Router(config-if)# delay 1000

(Opcional) Se utiliza para cambiar la métrica de ruteo EIGRP para las rutas aprendidas sobre la interfaz de túnel.

number El argumento especifica el tiempo de retraso en los segundos. El valor recomendado es 1000.


Configurar la expedición de los paquetes IP de los datos del texto claro en un VRF

Para configurar la expedición de los paquetes IP de la fecha del texto claro en un VRF, realice los pasos siguientes. Esta configuración asume que el VRF BLUE se ha configurado ya.

PASOS SUMARIOS

1. enable

2. configure terminal

3. interface type number

4. ip vrf forwarding vrf-name

PASOS DETALLADOS

 
Comando o acción
Propósito

Paso 1 

enable

Example:

Router> enable

Habilita niveles de privilegio más altos, como el modo EXEC privilegiado.

Ingrese su contraseña si se le pide que lo haga.

Paso 2 

configure terminal

Example:

Router# configure terminal

Ingresa en el modo de configuración global.

Paso 3 

interface type number

Example:

Router (config)# interface tunnel0

Configura un tipo de interfaz e ingresa en el modo de configuración de la interfaz.

Paso 4 

ip vrf forwarding vrf-name

Example:

Router (config-if) # IP VRF remitiendo el AZUL

Asocia un VRF de VPN a una interfaz o subinterfaz.


Configurar la expedición de los paquetes del túnel encriptado en un VRF

Para configurar la expedición de los paquetes del túnel encriptado en un VRF, realice los pasos siguientes. Esta configuración asume que el ROJO VRF se ha configurado ya.

PASOS SUMARIOS

1. enable

2. configure terminal

3.interfaz type number

4. tunnel vrf vrf-name

PASOS DETALLADOS

 
Comando o acción
Propósito

Paso 1 

enable

Example:

Router> enable

Habilita niveles de privilegio más altos, como el modo EXEC privilegiado.

Ingrese su contraseña si se le pide que lo haga.

Paso 2 

configure terminal

Example:

Router# configure terminal

Ingresa en el modo de configuración global.

Paso 3 

interface type number

Example:

Router (config)# interface tunnel0

Configura un tipo de interfaz e ingresa en el modo de configuración de la interfaz.

Paso 4 

tunnel vrf vrf-name

Example:

Router (config-if)# tunnel vrf RED

Asocia un caso VPN VRF a un destino del túnel, a una interfaz, o a una subinterfaz específica.


Configuración de DMVPN — Traffic Segmentation Within DMVPN

No hay comandos new de utilizar para configurar la segmentación del tráfico, sino que hay le encarga debe completar para dividir el tráfico en segmentos dentro de un túnel DMVPN:

Habilitación de MPLS en el Túnel VPN

Configuración de BGP Multiprotocolo en el Router del Hub

Configuración de BGP Multiprotocolo en los Routers Spoke

Prerrequisitos

Las tareas que siguen asumen que el túnel y los VRF “rojo” y “azul” DMVPN se han configurado ya.

Para la información sobre configurar un túnel DMVPN, vea “configurando el concentrador para la sección DMVPN” y “configurando el spoke para la sección DMVPN”. Para más información sobre la configuración de VRF, vea “configurando la expedición de los paquetes IP de los datos del texto claro en la sección VRF” y “configurando la expedición de los paquetes del túnel encriptado en la sección VRF”.

Habilitación de MPLS en el Túnel VPN

Porque la segmentación del tráfico dentro de un túnel DMVPN depende del MPLS, usted debe configurar el MPLS para cada caso VRF en el cual el tráfico sea dividido en segmentos. Para información detallada sobre configurar el MPLS, vea la guía de configuración del Multiprotocol Label Switching del Cisco IOS, la versión 12,4.

PASOS SUMARIOS

1. enable

2. configure terminal

3.interfaz type number

4. mpls ip

PASOS DETALLADOS

 
Comando o acción
Propósito

Paso 1 

enable

Example:

Router> enable

Habilita niveles de privilegio más altos, como el modo EXEC privilegiado.

Ingrese su contraseña si se le pide que lo haga.

Paso 2 

configure terminal

Example:

Router# configure terminal

Ingresa en el modo de configuración global.

Paso 3 

interface type number

Example:

Router (config)# interface tunnel0

Configura un tipo de interfaz e ingresa en el modo de configuración de la interfaz.

Paso 4 

mpls ip

Example:

Router (config-if)# mpls ip

El marcar con etiqueta de los permisos MPLS de los paquetes en la interfaz del túnel especificado.


Configuración de BGP Multiprotocolo en el Router del Hub

Usted debe configurar el iBGP multiprotocol (MP-iBGP) para habilitar el anuncio de los prefijos y de las escrituras de la etiqueta del VPNv4 que se aplicarán al tráfico VPN. Utilice el BGP para configurar el concentrador como reflector de ruta. Para forzar todo el tráfico a ser ruteado vía el concentrador, configure el reflector de la ruta BGP para cambiar el salto siguiente a sí mismo cuando hace publicidad de los prefijos del VPNv4 a los Route Reflector Client (spokes).

Para más información sobre el Routing Protocol BGP, vea “el capítulo del mapa de ruta de las características BGP” en el Routing IP del Cisco IOS: Guía de configuración BGP.

PASOS SUMARIOS

1. enable

2. configure terminal

3. router bgp

4.neighbor ipaddresstelecontrol-comoas -number

5.neighbor ipaddressactualización-fuente interface

6. address-family vpnv4

7. neighbor ipaddress activate

8. neighbor ipaddress send-community extended

9. neighbor ipaddress route-reflector-client

10. neighbor ipaddress route-map nexthop out

11. exit-address family

12. address-family ipv4 vrf-name

13. redistribute connected

14. route-map

15. set ip next-hop ipaddress

PASOS DETALLADOS

 
Comando o acción
Propósito

Paso 1 

enable

Example:

Router> enable

Habilita niveles de privilegio más altos, como el modo EXEC privilegiado.

Ingrese su contraseña si se le pide que lo haga.

Paso 2 

configure terminal

Example:

Router# configure terminal

Ingresa en el modo de configuración global.

Paso 3 

router bgp

Example:

Router (config)# router bgp

Ingresa al modo de configuración de BGP.

Paso 4 

neighbor ipaddress remote-as as-number

Example:

Router (config)# neighbor 10.0.0.11 remote-as 1

Añade una entrada al BGP o a la tabla de vecinos BGP multiprotocolo.

Paso 5 

neighbor ipaddress update-source interface

Example:

Router (config)# neighbor 10.10.10.11 update-source Tunnel1

Configura el software de Cisco IOS para permitir que las sesiones BGP utilicen cualquier interfaz operativa para las conexiones TCP.

Paso 6 

address-family vpnv4

Example:

Router (config)# address-family vpnv4

Ingresa al modo de configuración de la familia de direcciones para configurar una sesión de ruteo usando prefijos de dirección de VPN (Virtual Private Network) Versión 4.

Paso 7 

neighbor ipaddress activate

Example:

Router (config)# neighbor 10.0.0.11 activate

Habilita el intercambio de información con un vecino BGP.

Paso 8 

neighbor ipaddress send-community extended

Example:

Router (config)# neighbor 10.0.0.11 send-community extended

Especifica que los atributos de la comunidad ampliada se deben enviar a un vecino BGP.

Paso 9 

neighbor ipaddress route-reflector-client

Example:

Router (config)# neighbor 10.0.0.11 route-reflector-client

Configura el router como reflector de ruta BGP y configura al vecino especificado como su cliente.

Paso 10 

neighbor ipaddress route-map nexthop out

Example:

Router (config)# neighbor 10.0.0.11 route-map nexthop out

Fuerza todo el tráfico a ser ruteado vía el concentrador.

Paso 11 

exit-address-family

Example:

Router (config)# exit-address-family

Da salida al modo de configuración de la familia del direccionamiento para el VPNv4.

Paso 12 

address-family ipv4 vrf-name

Example:

Router (config)# address-family ipv4 vrf red

Ingresa en el modo de configuración de la familia de direcciones para configurar una sesión de ruteo usando prefijos de dirección IP estándar de la versión 4.

Paso 13 

redistribute connected

Example:

Router (config)# redistribute connected

Redistribuye las rutas que se establecen automáticamente en virtud de haber habilitado IP en una interfaz de un dominio de ruteo en otro dominio de ruteo.

Paso 14 

route-map

Example:

Router (config)# route-map nexthop permit 10

Ingresa al modo de configuración del Route Map para configurar el Next-Hop que será hecho publicidad al spokes.

Paso 15 

set ip next-hop ipaddress

Example:

Router (config)# set ip next-hop 10.0.0.1

Fija el salto siguiente para ser el concentrador.


Configuración de BGP Multiprotocolo en los Routers Spoke

el Multiprotocol-iBGP (MP-iBGP) se debe configurar en los routeres radiales y el concentrador. Siga los pasos abajo para cada router radial en el DMVPN.

PASOS SUMARIOS

1. enable

2. configure terminal

3. router bgp

4.neighbor ipaddresstelecontrol-comoas -number

5.neighbor ipaddressactualización-fuente interface

6. address-family vpnv4

7. neighbor ipaddress activate

8. neighbor ipaddress send-community extended

9. exit-address-family

10. address-family ipv4 vrf-name

11. redistribute connected

12. exit-address-family

PASOS DETALLADOS

 
Comando o acción
Propósito

Paso 1 

enable

Example:

Router> enable

Habilita niveles de privilegio más altos, como el modo EXEC privilegiado.

Ingrese su contraseña si se le pide que lo haga.

Paso 2 

configure terminal

Example:

Router# configure terminal

Ingresa en el modo de configuración global.

Paso 3 

router bgp

Example:

Router (config)# router bgp 1

Ingresa al modo de configuración de BGP.

Paso 4 

neighbor ipaddress remote-as as-number

Example:

Router (config)# neighbor 10.0.0.1 remote-as 1

Añade una entrada al BGP o a la tabla de vecinos BGP multiprotocolo.

Paso 5 

neighbor ipaddress update-source interface

Example:

Router (config)# neighbor 10.10.10.1 update-source Tunnel1

Configura el software de Cisco IOS para permitir que las sesiones BGP utilicen cualquier interfaz operativa para las conexiones TCP.

Paso 6 

address-family vpnv4

Example:

Router (config)# address-family vpnv4

Ingresa al modo de configuración de la familia de direcciones para configurar una sesión de ruteo usando prefijos de dirección de VPN (Virtual Private Network) Versión 4.

Paso 7 

neighbor ipaddress activate

Example:

Router (config)# neighbor 10.0.0.1 activate

Habilita el intercambio de información con un vecino BGP.

Paso 8 

neighbor ipaddress send-community extended

Example:

Router (config)# neighbor 10.0.0.1 send-community extended

Especifica que los atributos de la comunidad ampliada se deben enviar a un vecino BGP.

Paso 9 

exit-address-family

Example:

Router (config)# exit-address-family

Sale del modo de configuración de la familia de direcciones.

Paso 10 

address-family ipv4 vrf-name

Example:

Router (config)# address-family ipv4 vrf red

Ingresa en el modo de configuración de la familia de direcciones para configurar una sesión de ruteo usando prefijos de dirección IP estándar de la versión 4.

Paso 11 

redistribute connected

Example:

Router (config)# redistribute connected

Redistribuye las rutas que se establecen automáticamente en virtud de haber habilitado IP en una interfaz de un dominio de ruteo en otro dominio de ruteo.

Paso 12 

exit-address-family

Example:

Router (config)# exit-address-family

Sale del modo de configuración de la familia de direcciones.

Observerelanzan los pasos 10-12 para cada VRF.


Troubleshooting de VPN Multipunto Dinámica (DMVPN)

Después de configurar el DMVPN, para verificar que el DMVPN está actuando correctamente, para borrar las estadísticas DMVPN o las sesiones, o para hacer el debug del DMVPN, usted puede realizar los pasos opcionales siguientes:

PASOS SUMARIOS

1.clear dmvpn session [peer {nbma | tunnel} ip-address] []interface tunnel numberdel []vrf vrf-namedel [{}]static

2.clear dmvpn statistics [peer {nbma | tunnel} ip-address] []interface tunnel numberdel [{}]vrf vrf-name

3.debug dmvpn {[{[]condition unmatched | [peer [nbma | tunnel {ip-address}]] | [{}]vrf vrf-name | [{}]interface tunnel number}] | [{error | detail | packet | all} {nhrp | crypto | tunnel | socket | all}]}

4. debug nhrp condition

5. debug nhrp error

6.logging dmvpn []rate-limit seconds

7.show crypto ipsec sa [active | standby]

8. show crypto isakmp sa

9. show crypto map

10.show dmvpn [peer [nbma | tunnel {ip-address}] | []network ip-addressdel []del []vrf-namedel [{}]interface tunnel numberdel [vrf {}]detail del [{} {mask}]static]debug-condition

11show ip nhrp traffic [{}]interface tunnel number

PASOS DETALLADOS


clear dmvpn session Paso 1Se utiliza el comando de borrar las sesiones DMVPN.

El siguiente ejemplo borra solamente las sesiones dinámicas DMVPN:

Router- clear dmvpn session peer nbma

El siguiente ejemplo borra todas las sesiones DMVPN, estáticas y dinámicas, para el túnel especificado:

Router- clear dmvpn session interface tunnel 100 static

clear dmvpn statistics Paso 2Se utiliza el comando de borrar los contadores relacionados DMVPN. El siguiente ejemplo muestra cómo borrar los contadores relacionados DMVPN de la sesión para la interfaz del túnel especificado:

Router- clear dmvpn statistics peer tunnel 192.0.2.3

debug dmvpn Paso 3Se utiliza el comando de hacer el debug de las sesiones DMVPN. Usted puede habilitar o inhabilitar el debugging DMVPN basado en una condición específica. Hay tres niveles de debugging DMVPN, enumerados en la orden de los detalles de lo más bajo posible a lo más arriba posible:

Nivel de error

Detalle llano

Paquete llano

Las demostraciones del siguiente ejemplo cómo habilitar el debugging condicional DMVPN que visualiza todo el error hacen el debug de para el protocolo next hop routing (NHRP), los socketes, la protección del túnel y la información crypto:

Router- debug dmvpn error all

debug nhrp condition Paso 4El comando habilita o inhabilita el debugging basado en una condición específica. El siguiente ejemplo muestra cómo habilitar el debugging condicional NHRP:

Router- debug nhrp condition

debug nhrp error Paso 5El comando visualiza la información sobre la actividad del error NHRP. El siguiente ejemplo muestra cómo habilitar el debugging para los mensajes de error NHRP:

Router- debug nhrp error

logging dmvpn Paso 6Se utiliza el comando de habilitar el Registro del sistema DMVPN. El siguiente comando muestra cómo habilitar el Registro del sistema DMVPN al índice de 1 mensaje cada 20 segundos:

Router(config)# logging dmvpn rate-limit 20

El siguiente ejemplo muestra un registro del sistema de la muestra con los mensajes DMVPN:

%DMVPN-7-CRYPTO_SS: Tunnel101-192.0.2.1 socket is UP
%DMVPN-5-NHRP_NHS: Tunnel101 192.0.2.251 is UP
%DMVPN-5-NHRP_CACHE: Client 192.0.2.2 on Tunnel1 Registered.
%DMVPN-5-NHRP_CACHE: Client 192.0.2.2 on Tunnel101 came UP.
%DMVPN-3-NHRP_ERROR: Registration Request failed for 192.0.2.251 on Tunnel101

show crypto ipsec sa Paso 7El comando visualiza las configuraciones usadas por los SA actuales. La salida de siguiente ejemplo muestra el estatus IPSec SA solamente del dispositivo activo:



interface: Ethernet0/0
    Crypto map tag: to-peer-outside, local addr 209.165.201.3
   protected vrf: (none
   local  ident (addr/mask/prot/port): (192.168.0.1/255.255.255.255/0/0) 
   remote ident (addr/mask/prot/port): (172.16.0.1/255.255.255.255/0/0)
   current_peer 209.165.200.225 port 500
     PERMIT, flags={origin_is_acl,}
    #pkts encaps: 3, #pkts encrypt: 3, #pkts digest: 3
    #pkts decaps: 4, #pkts decrypt: 4, #pkts verify: 4
    #pkts compressed: 0, #pkts decompressed: 0
    #pkts not compressed: 0, #pkts compr. failed: 0
    #pkts not decompressed: 0, #pkts decompress failed: 0
    #send errors 0, #recv errors 0
     local crypto endpt.: 209.165.201.3, remote crypto endpt.: 209.165.200.225
     path mtu 1500, media mtu 1500
     current outbound spi: 0xD42904F0(3559458032)
     inbound esp sas:
      spi: 0xD3E9ABD0(3555306448)
        transform: esp-3des ,
        in use settings ={Tunnel, }
        conn id: 2006, flow_id: 6, crypto map: to-peer-outside
        sa timing: remaining key lifetime (k/sec): (4586265/3542)
        HA last key lifetime sent(k): (4586267)
        ike_cookies: 9263635C CA4B4E99 C14E908E 8EE2D79C
        IV size: 8 bytes
        replay detection support: Y
        Status: ACTIVE

show crypto isakmp sa Paso 8El comando visualiza todo el IKE actual SA en un par. Por ejemplo, se visualiza la salida de muestra siguiente después de que las negociaciones IKE hayan completado con éxito entre dos pares.

Router# show crypto isakmp sa

dst             src             state           conn-id    slot
172.17.63.19    172.16.175.76   QM_IDLE               2       0
172.17.63.19    172.17.63.20    QM_IDLE               1       0
172.16.175.75   172.17.63.19    QM_IDLE               3       0

show crypto map Paso 9El comando visualiza la configuración de la correspondencia de criptografía.

Se visualiza la salida de muestra siguiente después de que se haya configurado una correspondencia de criptografía:

Router# show crypto map

Crypto Map "Tunnel5-head-0" 10 ipsec-isakmp
        Profile name: vpnprof
        Security association lifetime: 4608000 kilobytes/3600 seconds
        PFS (Y/N): N
        Transform sets={trans2, }

Crypto Map "Tunnel5-head-0" 20 ipsec-isakmp
        Map is a PROFILE INSTANCE.
        Peer = 172.16.175.75
        Extended IP access list 
            access-list permit gre host 172.17.63.19 host 172.16.175.75
        Current peer: 172.16.175.75
        Security association lifetime: 4608000 kilobytes/3600 seconds
        PFS (Y/N): N
        Transform sets={trans2, }

Crypto Map "Tunnel5-head-0" 30 ipsec-isakmp
        Map is a PROFILE INSTANCE.
        Peer = 172.17.63.20
        Extended IP access list 
            access-list permit gre host 172.17.63.19 host 172.17.63.20
        Current peer: 172.17.63.20
        Security association lifetime: 4608000 kilobytes/3600 seconds
        PFS (Y/N): N
        Transform sets={trans2, }

Crypto Map "Tunnel5-head-0" 40 ipsec-isakmp
        Map is a PROFILE INSTANCE.
        Peer = 172.16.175.76
        Extended IP access list 
            access-list permit gre host 172.17.63.19 host 172.16.175.76
        Current peer: 172.16.175.76
        Security association lifetime: 4608000 kilobytes/3600 seconds
        PFS (Y/N): N
        Transform sets={trans2, }
        Interfaces using crypto map Tunnel5-head-0:
        Tunnel5

show dmvpn Paso 10El comando visualiza la información de la sesión del específico DMVPN. El siguiente ejemplo muestra el resumen de resultado del ejemplo:

Router# show dmvpn

Legend: Attrb --> S - Static, D - Dynamic, I - Incomplete
        N - NATed, L - Local, X - No Socket
        # Ent --> Number of NHRP entries with same NBMA peer

! The line below indicates that the sessions are being displayed for Tunnel1. 
! Tunnel1 is acting as a spoke and is a peer with three other NBMA peers.

Tunnel1, Type: Spoke, NBMA Peers: 3,
 # Ent  Peer NBMA Addr Peer Tunnel Add State  UpDn Tm Attrb
 ----- --------------- --------------- ----- -------- -----
     2      192.0.2.21     192.0.2.116   IKE     3w0d D    
     1     192.0.2.102      192.0.2.11  NHRP 02:40:51 S    
     1     192.0.2.225      192.0.2.10    UP     3w0d S    

Tunnel2, Type: Spoke, NBMA Peers: 1, 
 # Ent  Peer NBMA Addr Peer Tunnel Add State  UpDn Tm Attrb
 ----- --------------- --------------- ----- -------- -----
     1        192.0.2.25      192.0.2.171   IKE    never S 

show ip nhrp traffic Paso 11El comando visualiza las estadísticas NHRP. El siguiente ejemplo muestra la salida de un túnel específico, tunnel7:

Router- show ip nhrp traffic interface tunnel7

Tunnel7: Max-send limit:100Pkts/10Sec, Usage:0%
   Sent: Total 79
         18 Resolution Request  10 Resolution Reply  42 Registration Request
         0 Registration Reply    3 Purge Request      6 Purge Reply 
         0 Error Indication      0 Traffic Indication 
   Rcvd: Total 69
         10 Resolution Request  15 Resolution Reply  0 Registration Request 
         36 Registration Reply   6 Purge Request     2 Purge Reply 
         0 Error Indication      0 Traffic Indication

Pasos Siguientes

Si usted ha localizado averías su configuración DMVPN y procede al Soporte técnico del contacto, show tech-support el comando incluye la información para las sesiones DMVPN. Para más información, vea show tech-support el comando en la referencia de comandos de los fundamentales de la configuración del Cisco IOS.

Ejemplos de Configuración de la Función Dynamic Multipoint VPN (DMVPN)

Esta sección proporciona los ejemplos siguientes de la configuración general:

Ejemplo: Configuración del hub para el DMVPN

Ejemplo: Configuración radial para el DMVPN

Ejemplo: VRF DMVPN enterado

Ejemplo: Configuración del hub para el DMVPN

En el siguiente ejemplo, que configura el router de eje de conexión para la integración de múltiples puntos GRE y del IPSec, no hay líneas de la Configuración explícita necesarias para cada spoke; es decir, el concentrador se configura con una plantilla de política global del IPSec con la cual todos los routeres radiales puedan hablar. En este ejemplo, el EIGRP se configura para funcionar con encima la interfaz física privada y la interfaz del túnel.

crypto isakmp policy 1
 authentication pre-share
crypto isakmp key cisco47 address 0.0.0.0
!
crypto ipsec transform-set trans2 esp-des esp-md5-hmac
mode transport
!
crypto ipsec profile vpnprof
 set transform-set trans2
!
interface Tunnel0
 bandwidth 1000
 ip address 10.0.0.1 255.255.255.0
! Ensures longer packets are fragmented before they are encrypted; otherwise, the 
receiving router would have to do the reassembly.
 ip mtu 1400
! The following line must match on all nodes that "want to use" this mGRE tunnel:
 ip nhrp authentication donttell
! Note that the next line is required only on the hub.
 ip nhrp map multicast dynamic
! The following line must match on all nodes that want to use this mGRE tunnel:
 ip nhrp network-id 99
 ip nhrp holdtime 300
! Turns off split horizon on the mGRE tunnel interface; otherwise, EIGRP will not 
advertise routes that are learned via the mGRE interface back out that interface.
 no ip split-horizon eigrp 1
! Enables dynamic, direct spoke-to-spoke tunnels when using EIGRP.
 no ip next-hop-self eigrp 1
 ip tcp adjust-mss 1360
 delay 1000
! Sets IPsec peer address to Ethernet interface's public address.
 tunnel source Ethernet0
 tunnel mode gre multipoint
! The following line must match on all nodes that want to use this mGRE tunnel.
 tunnel key 100000
 tunnel protection ipsec profile vpnprof
!
interface Ethernet0
 ip address 172.17.0.1 255.255.255.0
!
interface Ethernet1
 ip address 192.168.0.1 255.255.255.0
!
router eigrp 1
 network 10.0.0.0 0.0.0.255 
 network 192.168.0.0 0.0.0.255 
!

Para la información sobre la definición y configurar de los perfiles ISAKMP, vea que las referencias en “relacionaron la sección de los documentos”.

Ejemplo: Configuración radial para el DMVPN

En el siguiente ejemplo, todo el spokes se configura lo mismo a excepción del direccionamiento del túnel y de la interfaz local, de tal modo, reduciendo las configuraciones necesarias para el usuario:

crypto isakmp policy 1
 authentication pre-share
crypto isakmp key cisco47 address 0.0.0.0
!
crypto ipsec transform-set trans2 esp-des esp-md5-hmac
 mode transport
!
crypto ipsec profile vpnprof
 set transform-set trans2
!
interface Tunnel0
 bandwidth 1000
 ip address 10.0.0.2 255.255.255.0
 ip mtu 1400
! The following line must match on all nodes that want to use this mGRE tunnel:
 ip nhrp authentication donttell
! Definition of NHRP server at the hub (10.0.0.1), which is permanently mapped to the 
static public address of the hub (172.17.0.1).
 ip nhrp map 10.0.0.1 172.17.0.1
! Sends multicast packets to the hub router, and enables the use of a dynamic routing 
protocol between the spoke and the hub.
 ip nhrp map multicast 172.17.0.1
! The following line must match on all nodes that want to use this mGRE tunnel:
 ip nhrp network-id 99 
 ip nhrp holdtime 300
! Configures the hub router as the NHRP next-hop server.
 ip nhrp nhs 10.0.0.1
 ip tcp adjust-mss 1360
 delay 1000
 tunnel source Ethernet0
 tunnel mode gre multipoint
! The following line must match on all nodes that want to use this mGRE tunnel:
 tunnel key 100000
 tunnel protection ipsec profile vpnprof
!
! This is a spoke, so the public address might be dynamically assigned via DHCP.
interface Ethernet0
 ip address dhcp hostname Spoke1
!
interface Ethernet1
 ip address 192.168.1.1 255.255.255.0
!
! EIGRP is configured to run over the inside physical interface and the tunnel.
router eigrp 1
 network 10.0.0.0 0.0.0.255
 network 192.168.1.0 0.0.0.255

Ejemplo: VRF DMVPN enterado

Al configurar VRF DMVPN enterado, usted debe crear una red DMVPN separada para cada caso VRF. En el siguiente ejemplo, hay dos redes DMVPN: AZUL y ROJO. Además, una interfaz de origen separada se ha utilizado en el concentrador para cada túnel DMVPN — una necesidad para el Cisco IOS Release 12.2(18)SXE. Para otras versiones del Cisco IOS, usted puede configurar el mismo origen de túnel para ambas interfaces del túnel, pero usted debe configurar tunnel key y tunnel protection (tunnel protection ipsec profile {name} shared) los comandos.


Observesi usted utilizan shared la palabra clave, después usted debe ser Cisco IOS Release 12.4(5) o la versión corriente 12.4(6)T, o una versión posterior. Si no los túneles IPsec/GRE bajo dos interfaces de túnel MGRE pueden no funcionar correctamente.


Configuración del hub

interface Tunnel0
! Note the next line.
   ip vrf forwarding BLUE
   bandwidth 1000
   ip address 10.0.0.1 255.255.255.0
   ip mtu 1436
   ! Note the next line.
   ip nhrp authentication BLUE!KEY
   ip nhrp map multicast dynamic
   ! Note the next line
   ip nhrp network-id 100000
   ip nhrp holdtime 600
   no ip split-horizon eigrp 1
   no ip next-hop-self eigrp 1
   ip tcp adjust-mss 1360
   delay 1000
   ! Note the next line.
   tunnel source Ethernet0
   tunnel mode gre multipoint
   tunnel protection ipsec profile vpnprof!
   interface Tunnel1
   ! Note the next line.
   ip vrf forwarding RED
   bandwidth 1000
   ip address 10.0.0.1 255.255.255.0
   ip mtu 1436
   ! Note the next line.
   ip nhrp authentication RED!KEY
   ip nhrp map multicast dynamic
   ! Note the next line.
   ip nhrp network-id 20000
   ip nhrp holdtime 600
   no ip split-horizon eigrp 1
   no ip next-hop-self eigrp 1
   ip tcp adjust-mss 1360
   delay 1000
   ! Note the next line.
   tunnel source Ethernet1
   tunnel mode gre multipoint
   tunnel protection ipsec profile vpnprof!
   interface Ethernet0
   ip address 172.17.0.1 255.255.255.0
   interface Ethernet1
   ip address 192.0.2.171 255.255.255.0

Observepara la Configuración del hub mostrada arriba, una red DMVPN separada se configura para cada VPN. La red NHRP ID y las claves de autenticación deben ser únicas en las dos interfaces del mGRE.


Configuración EIGRP en el concentrador

router eigrp 1
auto-summary
!
address-family ipv4 vrf BLUE
network 10.0.0.0 0.0.0.255
no auto-summary
autonomous-system 1
exit-address-family
!
address-family ipv4 vrf RED
network 10.0.0.0 0.0.0.255
no auto-summary
autonomous-system 1
exit-address-family

Configuraciones de Spoke

Spoke1:

interface Tunnel0
   bandwidth 1000
   ip address 10.0.0.2 255.255.255.0
   ip mtu 1436
   ! Note the next line.
   ip nhrp authentication BLUE!KEY
   ip nhrp map 10.0.0.1 172.17.0.1
   ip nhrp network-id 100000
   ip nhrp holdtime 300
   ip nhrp nhs 10.0.0.1
   ip tcp adjust-mss 1360
   delay 1000
   tunnel mode gre multipoint
   tunnel source Ethernet0
   tunnel destination 172.17.0.1
   tunnel protection ipsec profile vpnprof

Spoke2

interface Tunnel0
   bandwidth 1000
   ip address 10.0.0.2 255.255.255.0
   ip mtu 1436
   ip nhrp authentication RED!KEY
   ip nhrp map 10.0.0.1 192.0.2.171
   ip nhrp network-id 200000
   ip nhrp holdtime 300
   ip nhrp nhs 10.0.0.1
   ip tcp adjust-mss 1360
   delay 1000
   tunnel source Ethernet0
   tunnel destination 192.0.2.171
   tunnel protection ipsec profile vpnprof!

Ejemplo: 2547oDMVPN con la segmentación del tráfico (con el BGP solamente)

La demostración del siguiente ejemplo una configuración de la segmentación del tráfico en la cual el tráfico se divide en segmentos entre dos spokes que sirve como dispositivos del borde del proveedor (PE).

Configuración del hub

hostname hub-pe1

boot-start-marker
boot-end-marker

no aaa new-model

resource policy

clock timezone EST 0
ip cef
no ip domain lookup

!This section refers to the forwarding table for VRF blue:
ip vrf blue
 rd 2:2
 route-target export 2:2
 route-target import 2:2

!This section refers to the forwarding table for VRF red:
ip vrf red
 rd 1:1
 route-target export 1:1
 route-target import 1:1

mpls label protocol ldp

crypto isakmp policy 1
 authentication pre-share
crypto isakmp key cisco address 0.0.0.0 0.0.0.0

crypto ipsec transform-set t1 esp-des 
 mode transport

crypto ipsec profile prof
 set transform-set t1 

interface Tunnel1
 ip address 10.9.9.1 255.255.255.0
 no ip redirects
 ip nhrp authentication cisco
 ip nhrp map multicast dynamic
 ip nhrp network-id 1

!The command below enables MPLS on the DMVPN network:
mpls ip
 tunnel source Ethernet0/0
 tunnel mode gre multipoint
 tunnel protection ipsec profile prof

interface Loopback0
 ip address 10.0.0.1 255.255.255.255

interface Ethernet0/0
 ip address 172.0.0.1 255.255.255.0

!The multiprotocol BGP route reflector (the hub) configuration changes the next-hop 
information to set itself as the next-hop and assigns a new VPN label for the prefixes 
learned from the spokes and advertises the VPN prefix: 
router bgp 1
 no synchronization
 bgp log-neighbor-changes
 neighbor 10.0.0.11 remote-as 1
 neighbor 10.0.0.11 update-source Tunnel1
 neighbor 10.0.0.12 remote-as 1
 neighbor 10.0.0.12 update-source Tunnel1
 no auto-summary

 address-family vpnv4
 neighbor 10.0.0.11 activate
 neighbor 10.0.0.11 send-community extended
 neighbor 10.0.0.11 route-reflector-client
 neighbor 10.0.0.11 route-map NEXTHOP out
 neighbor 10.0.0.12 activate
 neighbor 10.0.0.12 send-community extended
 neighbor 10.0.0.12 route-reflector-client
 neighbor 10.0.0.12 route-map NEXTHOP out
 exit-address-family

 address-family ipv4 vrf red
 redistribute connected
 no synchronization
 exit-address-family

 address-family ipv4 vrf blue
 redistribute connected
 no synchronization
 exit-address-family

no ip http server
no ip http secure-server

!In this route map information, the hub sets the next hop to itself, and the VPN prefixes 
are advertised:
route-map NEXTHOP permit 10
 set ip next-hop 10.0.0.1

control-plane

line con 0
 logging synchronous
line aux 0
line vty 0 4
 no login

end

Configuraciones de Spoke

Spoke 2

hostname spoke-pe2

boot-start-marker
boot-end-marker

no aaa new-model

resource policy

clock timezone EST 0
ip cef
no ip domain lookup

!This section refers to the forwarding table for VRF blue:
ip vrf blue
 rd 2:2
 route-target export 2:2
 route-target import 2:2

!This section refers to the forwarding table for VRF red:
ip vrf red
 rd 1:1
 route-target export 1:1
 route-target import 1:1

mpls label protocol ldp

crypto isakmp policy 1
 authentication pre-share
crypto isakmp key cisco address 0.0.0.0 0.0.0.0

crypto ipsec transform-set t1 esp-des 
 mode transport

crypto ipsec profile prof
 set transform-set t1 

interface Tunnel1
 ip address 10.0.0.11 255.255.255.0
 no ip redirects
 ip nhrp authentication cisco
 ip nhrp map multicast dynamic
 ip nhrp map 10.0.0.1 172.0.0.1
 ip nhrp map multicast 172.0.0.1
 ip nhrp network-id 1
 ip nhrp nhs 10.0.0.1

!The command below enables MPLS on the DMVPN network:
 mpls ip
 tunnel source Ethernet0/0
 tunnel mode gre multipoint
 tunnel protection ipsec profile prof

interface Loopback0
 ip address 10.9.9.11 255.255.255.255

interface Ethernet0/0
 ip address 172.0.0.11 255.255.255.0
!
!
interface Ethernet1/0
 ip vrf forwarding red
 ip address 192.168.11.2 255.255.255.0

interface Ethernet2/0
 ip vrf forwarding blue
 ip address 192.168.11.2 255.255.255.0

!The multiprotocol BGP route reflector (the hub) configuration changes the next-hop 
information to set itself as the next-hop and assigns a new VPN label for the prefixes 
learned from the spokes and advertises the VPN prefix:
router bgp 1
 no synchronization
 bgp log-neighbor-changes
 neighbor 10.0.0.1 remote-as 1
 neighbor 10.0.0.1 update-source Tunnel1
 no auto-summary

 address-family vpnv4
 neighbor 10.0.0.1 activate
 neighbor 10.0.0.1 send-community extended
 exit-address-family

!
 address-family ipv4 vrf red
 redistribute connected
 no synchronization
 exit-address-family

 !
 address-family ipv4 vrf blue
 redistribute connected
 no synchronization
 exit-address-family

no ip http server
no ip http secure-server

control-plane

line con 0
 logging synchronous
line aux 0
line vty 0 4
 no login

end

Spoke 3

hostname spoke-PE3

boot-start-marker
boot-end-marker

no aaa new-model

resource policy

clock timezone EST 0
ip cef
no ip domain lookup

!This section refers to the forwarding table for VRF blue:
ip vrf blue
 rd 2:2
 route-target export 2:2
 route-target import 2:2

!This section refers to the forwarding table for VRF red:
ip vrf red
 rd 1:1
 route-target export 1:1
 route-target import 1:1

mpls label protocol ldp

crypto isakmp policy 1
 authentication pre-share
crypto isakmp key cisco address 0.0.0.0 0.0.0.0

crypto ipsec transform-set t1 esp-des 
 mode transport

crypto ipsec profile prof
 set transform-set t1 

interface Tunnel1
 ip address 10.0.0.12 255.255.255.0
 no ip redirects
 ip nhrp authentication cisco
 ip nhrp map multicast dynamic
 ip nhrp map 10.0.0.1 172.0.0.1
 ip nhrp map multicast 172.0.0.1
 ip nhrp network-id 1
 ip nhrp nhs 10.0.0.1

!The command below enables MPLS on the DMVPN network:
 mpls ip
 tunnel source Ethernet0/0
 tunnel mode gre multipoint
 tunnel protection ipsec profile prof
!
interface Loopback0
 ip address 10.9.9.12 255.255.255.255

interface Ethernet0/0
 ip address 172.0.0.12 255.255.255.0

interface Ethernet1/0
 ip vrf forwarding red
 ip address 192.168.12.2 255.255.255.0

interface Ethernet2/0
 ip vrf forwarding blue
 ip address 192.168.12.2 255.255.255.0

!The multiprotocol BGP route reflector (the hub) configuration changes the next-hop 
information to set itself as the next-hop and assigns a new VPN label for the prefixes 
learned from the spokes and advertises the VPN prefix:
router bgp 1
 no synchronization
 bgp log-neighbor-changes
 neighbor 10.0.0.1 remote-as 1
 neighbor 10.0.0.1 update-source Tunnel1
 no auto-summary

 address-family vpnv4
 neighbor 10.0.0.1 activate
 neighbor 10.0.0.1 send-community extended
 exit-address-family

 address-family ipv4 vrf red
 redistribute connected
 no synchronization
 exit-address-family

 address-family ipv4 vrf blue
 redistribute connected
 no synchronization
 exit-address-family

no ip http server
no ip http secure-server

control-plane

line con 0
 logging synchronous
line aux 0
line vty 0 4
 no login

end

Ejemplo: 2547oDMVPN con la segmentación del tráfico (Central corporativa)

El siguiente ejemplo muestra una configuración para dividir el tráfico en segmentos entre dos spokes situados en las sucursales de una empresa. En este ejemplo, el EIGRP se configura para aprender las rutas para alcanzar a los vecinos BGP dentro del DMVPN.

Configuración del hub

hostname HUB

boot-start-marker
boot-end-marker

no aaa new-model

resource policy

clock timezone EST 0
ip cef
no ip domain lookup

!This section refers to the forwarding table for VRF blue:
ip vrf blue
 rd 2:2
 route-target export 2:2
 route-target import 2:2

!This refers to the forwarding table for VRF red:
ip vrf red
 rd 1:1
 route-target export 1:1
 route-target import 1:1

mpls label protocol ldp

crypto isakmp policy 1
 authentication pre-share
crypto isakmp key cisco address 0.0.0.0 0.0.0.0

crypto ipsec transform-set t1 esp-des 
 mode transport

crypto ipsec profile prof
 set transform-set t1 

interface Tunnel1
 ip address 10.0.0.1 255.255.255.0
 no ip redirects
 ip nhrp authentication cisco
 ip nhrp map multicast dynamic
 ip nhrp network-id 1

!EIGRP is enabled on the DMVPN network to learn the IGP prefixes:
no ip split-horizon eigrp 1

!The command below enables MPLS on the DMVPN network:
 mpls ip
 tunnel source Ethernet0/0
 tunnel mode gre multipoint
 tunnel protection ipsec profile prof

!This address is advertised by EIGRP and used as the BGP endpoint:
interface Loopback0
 ip address 10.9.9.1 255.255.255.255

interface Ethernet0/0
 ip address 172.0.0.1 255.255.255.0

!EIGRP is configured to learn the BGP peer addresses (10.9.9.x networks)
router eigrp 1
 network 10.9.9.1 0.0.0.0
 network 10.0.0.0 0.0.0.255
 no auto-summary

!The multiprotocol BGP route reflector (the hub) configuration changes the next-hop 
information to set itself as the next-hop and assigns a new VPN label for the prefixes 
learned from the spokes and advertises the VPN prefix: 
router bgp 1
 no synchronization
 bgp router-id 10.9.9.1
 bgp log-neighbor-changes
 neighbor 10.9.9.11 remote-as 1
 neighbor 10.9.9.11 update-source Loopback0
 neighbor 10.9.9.12 remote-as 1
 neighbor 10.9.9.12 update-source Loopback0
 no auto-summary

 address-family vpnv4
 neighbor 10.9.9.11 activate
 neighbor 10.9.9.11 send-community extended
 neighbor 10.9.9.11 route-reflector-client
 neighbor 10.9.9.12 activate
 neighbor 10.9.9.12 send-community extended
 neighbor 10.9.9.12 route-reflector-client
 exit-address-family

 address-family ipv4 vrf red
 redistribute connected
 no synchronization
 exit-address-family

 address-family ipv4 vrf blue
 redistribute connected
 no synchronization
 exit-address-family

no ip http server
no ip http secure-server

control-plane

line con 0
 logging synchronous
line aux 0
line vty 0 4
 no login

end

Configuraciones de Spoke

Spoke 2

hostname Spoke2

boot-start-marker
boot-end-marker

no aaa new-model

resource policy

clock timezone EST 0
ip cef
no ip domain lookup

!This section refers to the forwarding table for VRF blue:
ip vrf blue
 rd 2:2
 route-target export 2:2
 route-target import 2:2

!This section refers to the forwarding table for VRF red:
ip vrf red
 rd 1:1
 route-target export 1:1
 route-target import 1:1

mpls label protocol ldp

crypto isakmp policy 1
 authentication pre-share
crypto isakmp key cisco address 0.0.0.0 0.0.0.0

crypto ipsec transform-set t1 esp-des 
 mode transport

crypto ipsec profile prof
 set transform-set t1 

interface Tunnel1
 ip address 10.0.0.11 255.255.255.0
 no ip redirects
 ip nhrp authentication cisco
 ip nhrp map multicast dynamic
 ip nhrp map 10.0.0.1 172.0.0.1
 ip nhrp map multicast 172.0.0.1
 ip nhrp network-id 1
 ip nhrp nhs 10.0.0.1

!The command below enables MPLS on the DMVPN network:
 mpls ip
 tunnel source Ethernet0/0
 tunnel mode gre multipoint
 tunnel protection ipsec profile prof

!This address is advertised by EIGRP and used as the BGP endpoint:
interface Loopback0
 ip address 10.9.9.11 255.255.255.255

interface Ethernet0/0
 ip address 172.0.0.11 255.255.255.0

interface Ethernet1/0
 ip vrf forwarding red
 ip address 192.168.11.2 255.255.255.0

interface Ethernet2/0
 ip vrf forwarding blue
 ip address 192.168.11.2 255.255.255.0

!EIGRP is enabled on the DMVPN network to learn the IGP prefixes:
router eigrp 1
 network 10.9.9.11 0.0.0.0
 network 10.0.0.0 0.0.0.255
 no auto-summary

!The multiprotocol BGP route reflector (the hub) configuration changes the next-hop 
information to set itself as the next-hop and assigns a new VPN label for the prefixes 
learned from the spokes and advertises the VPN prefix:
router bgp 1
 no synchronization
 bgp router-id 10.9.9.11
 bgp log-neighbor-changes
 neighbor 10.9.9.1 remote-as 1
 neighbor 10.9.9.1 update-source Loopback0
 no auto-summary

 address-family vpnv4
 neighbor 10.9.9.1 activate
 neighbor 10.9.9.1 send-community extended
 exit-address-family

 address-family ipv4 vrf red
 redistribute connected
 no synchronization
 exit-address-family

 address-family ipv4 vrf blue
 redistribute connected
 no synchronization
 exit-address-family

no ip http server
no ip http secure-server

control-plane

line con 0
 logging synchronous
line aux 0
line vty 0 4
 no login

end

Spoke 3

hostname Spoke3

boot-start-marker
boot-end-marker

no aaa new-model

resource policy

clock timezone EST 0
ip cef
no ip domain lookup

!This section refers to the forwarding table for VRF blue:
ip vrf blue
 rd 2:2
 route-target export 2:2
 route-target import 2:2

!This section refers to the forwarding table for VRF red:
ip vrf red
 rd 1:1
 route-target export 1:1
 route-target import 1:1

mpls label protocol ldp

crypto isakmp policy 1
 authentication pre-share
crypto isakmp key cisco address 0.0.0.0 0.0.0.0

crypto ipsec transform-set t1 esp-des 
 mode transport

crypto ipsec profile prof
 set transform-set t1 

interface Tunnel1
 ip address 10.0.0.12 255.255.255.0
 no ip redirects
 ip nhrp authentication cisco
 ip nhrp map multicast dynamic
 ip nhrp map 10.0.0.1 172.0.0.1
 ip nhrp map multicast 172.0.0.1
 ip nhrp network-id 1
 ip nhrp nhs 10.0.0.1

!The command below enables MPLS on the DMVPN network:
 mpls ip
 tunnel source Ethernet0/0
 tunnel mode gre multipoint
 tunnel protection ipsec profile prof

!This address is advertised by EIGRP and used as the BGP endpoint:
interface Loopback0
 ip address 10.9.9.12 255.255.255.255

interface Ethernet0/0
 ip address 172.0.0.12 255.255.255.0

interface Ethernet1/0
 ip vrf forwarding red
 ip address 192.168.12.2 255.255.255.0

interface Ethernet2/0
 ip vrf forwarding blue
 ip address 192.168.12.2 255.255.255.0

!EIGRP is enabled on the DMVPN network to learn the IGP prefixes:
router eigrp 1
 network 10.9.9.12 0.0.0.0
 network 10.0.0.0 0.0.0.255
 no auto-summary

!The multiprotocol BGP route reflector (the hub) configuration changes the next-hop 
information to set itself as the next-hop and assigns a new VPN label for the prefixes 
learned from the spokes and advertises the VPN prefix:
router bgp 1
 no synchronization
 bgp router-id 10.9.9.12
 bgp log-neighbor-changes
 neighbor 10.9.9.1 remote-as 1
 neighbor 10.9.9.1 update-source Loopback0
 no auto-summary

 address-family vpnv4
 neighbor 10.9.9.1 activate
 neighbor 10.9.9.1 send-community extended
 exit-address-family

 address-family ipv4 vrf red
 redistribute connected
 no synchronization
 exit-address-family

 address-family ipv4 vrf blue
 redistribute connected
 no synchronization
 exit-address-family

no ip http server
no ip http secure-server

control-plane

line con 0
 logging synchronous
line aux 0
line vty 0 4
 no login

end

Salida del Comando de Ejemplo: show mpls ldp bindings

Spoke2# show mpls ldp bindings

  tib entry: 10.9.9.1/32, rev 8
        local binding:  tag: 16
        remote binding: tsr: 10.9.9.1:0, tag: imp-null
  tib entry: 10.9.9.11/32, rev 4
        local binding:  tag: imp-null
        remote binding: tsr: 10.9.9.1:0, tag: 16
  tib entry: 10.9.9.12/32, rev 10
        local binding:  tag: 17
        remote binding: tsr: 10.9.9.1:0, tag: 17
  tib entry: 10.0.0.0/24, rev 6
        local binding:  tag: imp-null
        remote binding: tsr: 10.9.9.1:0, tag: imp-null
  tib entry: 172.0.0.0/24, rev 3
        local binding:  tag: imp-null
        remote binding: tsr: 10.9.9.1:0, tag: imp-null
Spoke2#

Salida del Comando de Ejemplo: show mpls forwarding-table

Spoke2# show mpls forwarding-table 

Local  Outgoing    Prefix            Bytes tag  Outgoing   Next Hop    
tag    tag or VC   or Tunnel Id      switched   interface              
16     Pop tag     10.9.9.1/32        0          Tu1        10.0.0.1     
17     17          10.9.9.12/32       0          Tu1        10.0.0.1     
18     Aggregate   192.168.11.0/24[V]   \
                                     0                                  
19     Aggregate   192.168.11.0/24[V]   \
                                     0 
Spoke2#

Salida del Comando de Ejemplo: muestre el rojo del vrf de la ruta de IP

Spoke2# show ip route vrf red

Routing Table: red
Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area 
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2
       i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
       ia - IS-IS inter area, * - candidate default, U - per-user static route
       o - ODR, P - periodic downloaded static route

Gateway of last resort is not set

B    192.168.12.0/24 [200/0] via 10.9.9.12, 00:00:02
C    192.168.11.0/24 is directly connected, Ethernet1/0
Spoke2#

Salida del Comando de Ejemplo: muestre el azul del vrf de la ruta de IP

Spoke2# show ip route vrf blue

Routing Table: blue
Codes: C - connected, S - static, R - RIP, M - mobile, B - BGP
       D - EIGRP, EX - EIGRP external, O - OSPF, IA - OSPF inter area 
       N1 - OSPF NSSA external type 1, N2 - OSPF NSSA external type 2
       E1 - OSPF external type 1, E2 - OSPF external type 2
       i - IS-IS, su - IS-IS summary, L1 - IS-IS level-1, L2 - IS-IS level-2
       ia - IS-IS inter area, * - candidate default, U - per-user static route
       o - ODR, P - periodic downloaded static route

Gateway of last resort is not set

B    192.168.12.0/24 [200/0] via 10.9.9.12, 00:00:08
C    192.168.11.0/24 is directly connected, Ethernet2/0
Spoke2#
Spoke2# show ip cef vrf red 192.168.12.0

192.168.12.0/24, version 5, epoch 0
0 packets, 0 bytes
  tag information set
    local tag: VPN-route-head
    fast tag rewrite with Tu1, 10.0.0.1, tags imposed: {17 18}
  via 10.9.9.12, 0 dependencies, recursive
    next hop 10.0.0.1, Tunnel1 via 10.9.9.12/32
    valid adjacency
    tag rewrite with Tu1, 10.0.0.1, tags imposed: {17 18}
Spoke2#

Salida del Comando de Ejemplo: muestre a los vecinos BGP del IP

Spoke2# show ip bgp neighbors 

BGP neighbor is 10.9.9.1,  remote AS 1, internal link
  BGP version 4, remote router ID 10.9.9.1
  BGP state = Established, up for 00:02:09
  Last read 00:00:08, last write 00:00:08, hold time is 180, keepalive interval is 60 
seconds
  Neighbor capabilities:
    Route refresh: advertised and received(old & new)
    Address family IPv4 Unicast: advertised and received
    Address family VPNv4 Unicast: advertised and received
  Message statistics:
    InQ depth is 0
    OutQ depth is 0
                         Sent       Rcvd
    Opens:                  1          1
    Notifications:          0          0
    Updates:                4          4
    Keepalives:             4          4
    Route Refresh:          0          0
    Total:                  9          9
  Default minimum time between advertisement runs is 0 seconds

 For address family: IPv4 Unicast
  BGP table version 1, neighbor version 1/0
 Output queue size : 0
  Index 1, Offset 0, Mask 0x2
  1 update-group member
                                 Sent       Rcvd
  Prefix activity:               ----       ----
    Prefixes Current:               0          0
    Prefixes Total:                 0          0
    Implicit Withdraw:              0          0
    Explicit Withdraw:              0          0
    Used as bestpath:             n/a          0
    Used as multipath:            n/a          0

                                   Outbound    Inbound
  Local Policy Denied Prefixes:    --------    -------
    Total:                                0          0
  Number of NLRIs in the update sent: max 0, min 0

 For address family: VPNv4 Unicast
  BGP table version 9, neighbor version 9/0
 Output queue size : 0
  Index 1, Offset 0, Mask 0x2
  1 update-group member
                                 Sent       Rcvd
  Prefix activity:               ----       ----
    Prefixes Current:               2          2 (Consumes 136 bytes)
    Prefixes Total:                 4          2
    Implicit Withdraw:              2          0
    Explicit Withdraw:              0          0
    Used as bestpath:             n/a          2
    Used as multipath:            n/a          0

                                   Outbound    Inbound
  Local Policy Denied Prefixes:    --------    -------
    ORIGINATOR loop:                    n/a          2
    Bestpath from this peer:              4        n/a
    Total:                                4          2
  Number of NLRIs in the update sent: max 1, min 1

  Connections established 1; dropped 0
  Last reset never
Connection state is ESTAB, I/O status: 1, unread input bytes: 0        
Connection is ECN Disabled
Local host: 10.9.9.11, Local port: 179
Foreign host: 10.9.9.1, Foreign port: 12365

Enqueued packets for retransmit: 0, input: 0  mis-ordered: 0 (0 bytes)

Event Timers (current time is 0x2D0F0):
Timer          Starts    Wakeups            Next
Retrans             6          0             0x0
TimeWait            0          0             0x0
AckHold             7          3             0x0
SendWnd             0          0             0x0
KeepAlive           0          0             0x0
GiveUp              0          0             0x0
PmtuAger            0          0             0x0
DeadWait            0          0             0x0

iss: 3328307266  snduna: 3328307756  sndnxt: 3328307756     sndwnd:  15895
irs: 4023050141  rcvnxt: 4023050687  rcvwnd:      16384  delrcvwnd:      0

SRTT: 165 ms, RTTO: 1457 ms, RTV: 1292 ms, KRTT: 0 ms
minRTT: 0 ms, maxRTT: 300 ms, ACK hold: 200 ms
Flags: passive open, nagle, gen tcbs
IP Precedence value : 6

Datagrams (max data segment is 536 bytes):
Rcvd: 13 (out of order: 0), with data: 7, total data bytes: 545
Sent: 11 (retransmit: 0, fastretransmit: 0, partialack: 0, Second Congestion: 0), with 
data: 6, total data bytes: 489
Spoke2# 

Referencias adicionales

Documentos Relacionados

Tema relacionado
Título del documento

Comandos de Cisco IOS

El Cisco IOS domina los comandos list, todos las versiones

Control de admisión de llamadas

Call Admission Control for IKE

Información del keepalive del túnel GRE

Keepalive de túnel del Generic Routing Encapsulation (GRE), Cisco IOS Release 12.2(8)T

Tareas de la configuración IKE tales como definición de una política IKE

El capítulo el “que configura intercambio de claves de Internet para el IPSec VPN” en la guía de configuración de la Seguridad de Cisco IOS: Conectividad segura

Tareas de la configuración IPSec

El capítulo Configurar directivo de seguridad para los VPN con el IPSec” en la guía de configuración de la Seguridad de Cisco IOS: Conectividad segura

Configurar el IPSec que reconoce VRF

El capítulo “IPSec que reconoce VRF” en la guía de configuración de la Seguridad de Cisco IOS: Conectividad segura

Configuración de MPLS

El capítulo el “que configura Multiprotocol Label Switching” en la guía de configuración del Multiprotocol Label Switching del Cisco IOS

Configuración de BGP

El capítulo “descripción de Cisco BGP” en el Routing IP del Cisco IOS: Guía de configuración de los protocolos BGP

Mensajes del sistema

Guía de mensajes del sistema

Definiendo y configurando los perfiles ISAKMP

“Certificado capítulo a la asignación del perfil ISAKMP” en la guía de configuración de la Seguridad de Cisco IOS: Conectividad segura


Estándares

Estándares
Título

Ninguno


MIB

MIB
Link del MIB

Ninguno

Para localizar y descargar el MIB para las plataformas elegidas, las versiones de software de Cisco, y los conjuntos de características, utilizan el localizador MIB de Cisco encontrado en el URL siguiente:

http://www.cisco.com/cisco/web/LA/support/index.html


RFC

RFC
Título

RFC 2547

BGP/MPLS VPN


Asistencia Técnica

Descripción
Link

El Web site del soporte y de la documentación de Cisco proporciona los recursos en línea para descargar la documentación, el software, y las herramientas. Utilice estos recursos para instalar y para configurar el software y para resolver problemas y para resolver los problemas técnicos con los Productos Cisco y las Tecnologías. El acceso a la mayoría de las herramientas en el Web site del soporte y de la documentación de Cisco requiere una identificación del usuario y una contraseña del cisco.com.

http://www.cisco.com/cisco/web/LA/support/index.html


Información sobre la Función Dynamic Multipoint VPN (DMVPN)

La tabla 1 muestra las funciones de este módulo y proporciona links a información de configuración específica.

Utilice el Cisco Feature Navigator para encontrar la información sobre el soporte del Soporte de la plataforma y de la imagen del software. El Cisco Feature Navigator le permite para determinar qué imágenes del software soportan una versión de software, un conjunto de características, o una plataforma específico. Para acceder a Cisco Feature Navigator, vaya a http://www.cisco.com/go/cfn. Una cuenta en el cisco.com no se requiere.


Observelas listas del cuadro 1 solamente la versión de software que introdujo el soporte para una característica dada en un tren de versión de software dado. A menos que se indicare en forma diferente, las versiones posteriores de ese tren de versión de software también soportan esa característica.

Información de la característica del cuadro 1 para el Dynamic Multipoint VPN (DMVPN) 

Nombre de la función
Versiones
Información sobre la Función

DMVPN — Habilitar la segmentación del tráfico dentro del DMVPN

12.4(11)T

La característica 2547oDMVPN permite que los usuarios dividan el tráfico VPN en segmentos dentro de un túnel DMVPN aplicando las escrituras de la etiqueta MPLS a los casos VRF para indicar la fuente y el destino de cada VRF.

Mejoras de Mangeability para el DMVPN

12.4(9)T

La sesión DMVPN manageabilty fue ampliada con los comandos específicos DMVPN para hacer el debug de, salida de la demostración, sesión y control de contador, e información del registro del sistema.

Las secciones siguientes proporcionan información acerca de esta función:

Troubleshooting de VPN Multipunto Dinámica (DMVPN)

Los siguientes comandos fueron introducidos o modificados por esta característica: clear dmvpn session, clear dmvpn statistics debug dmvpn debug nhrp condition debug nhrp error logging dmvpn show dmvpn show ip nhrp traffic.

Fase 2 DMVPN

12.2(18)SXE
12.3(9)a
12.3(8)T1

Las funciones del spoke al spoke DMVPN fueron hechas más producción lista. Si usted está utilizando estas funciones en una red de producción, la versión mínima es la versión 12.3(9a) o la versión 12.3(8)T1.

En la versión 12.2(18)SXE, el soporte fue agregado para el Cisco Catalyst 6500 Series Switch y el Cisco 7600 Series Router.

12.3(6)
12.3(7)T

El envío de la ruta virtual integró DMVPN y la Traducción-transparencia de la dirección de red (NAT-T) que las mejoras enteradas DMVPN fueron agregadas. Además, las funciones del Concentrador-a-spoke DMVPN fueron hechas más producción lista. Si usted está utilizando estas funciones en una red de producción, el requisito de la versión mínima es Cisco IOS Release12.3(6) o 12.3(7)T.

Las mejoras agregadas en el Cisco IOS Release 12.3(6) eran integradas en el Cisco IOS Release 12.3(7)T.

Dynamic Multipoint VPN (DMVPN) Phase 1

12.2(13)T

La característica del Dynamic Multipoint VPN (DMVPN) permite que los usuarios escalen mejor el Redes privadas virtuales (VPN) grande y pequeño del IPSec combinando los túneles del Generic Routing Encapsulation (GRE), el cifrado de la seguridad IP (IPSec), y el Next Hop Resolution Protocol (NHRP).



Glosario

— modo agresivo. Un modo durante la negociación IKE. Comparado al MM, la elimina varios pasos, haciéndolo más rápido pero los asegura menos que el MM. El Cisco IOS Software responderá en el modo agresivo a un par IKE que inicie al modo agresivo.

GRE: Generic Routing Encapsulation Túneles que proporcionan una ruta específica a través de WAN compartido y encapsulan el tráfico con los nuevos encabezados de paquete para asegurar la salida a los destinos específicos. La red es privada porque el tráfico puede ingresar un túnel solamente en un punto final. Los túneles no proporcionan la confidencialidad verdadera (el cifrado hace) pero pueden llevar el tráfico encriptado.

La tunelización GRE se puede también utilizar para encapsular el tráfico no IP en el IP y para enviarlo sobre Internet o la red del IP. El Internet Package Exchange (IPX) y los protocolos Appletalk son ejemplos del tráfico no IP.

IKE — Intercambio de claves de Internet. Un protocolo híbrido que implementa el intercambio de claves del Oakley y el intercambio de claves de Skeme dentro del marco ISAKMP. Aunque el IKE se pueda utilizar con otros protocolos, su instrumentación inicial está con el IPSec. El IKE proporciona la autenticación de los peeres IPSecs, negocia las claves del IPSec, y negocia a las asociaciones de seguridad IPSec.

IPSec — Seguridad IP. Un marco de los estándares abiertos desarrolló por la Fuerza de tareas de ingeniería en Internet (IETF) (IETF). El IPSec proporciona la seguridad para la transmisión de la información vulnerable sobre las redes no protegidas tales como Internet. El IPSec actúa en la capa de red, protegiendo y autenticando los paquetes IP entre los dispositivos participantes del IPSec (“pares”), por ejemplo los routeres Cisco.

ISAKMP — Protocolo internet security association key management. Una estructura del protocolo que define los formatos de carga, los mecánicos de implementar un Key Exchange Protocol, y la negociación de una asociación de seguridad.

MM — modo principal. Modo que es más lento que el modo agresivo pero más seguro y flexible que éste, porque puede ofrecer a un peer IKE más ofertas de seguridad. La acción predeterminada para la autenticación IKE (RSA-SIG, RSA-encr, o preshared) es iniciar al modo principal.

NHRP — Next Hop Resolution Protocol. El Routers, el Access Server, y los hosts pueden utilizar el NHRP para descubrir los direccionamientos de otro Routers y hosts conectados con una red NBMA.

La implementación de Cisco del NHRP soporta la versión 11 del borrador IETF del Next Hop Resolution Protocol (NHRP) NBMA.

La implementación de Cisco del NHRP soporta versión IP 4, las capas de red del Internet Packet Exchange (IPX), y, en la capa de link, la atmósfera, los Ethernetes, el S DS, y las redes de túneles de múltiples puntos. Aunque el NHRP esté disponible en los Ethernetes, el NHRP no necesita ser implementado sobre los medios Ethernet porque el Ethernet es capaz de la difusión. Los Ethernetes soportan son innecesarios (y no proporcionado) para el IPX.

PFS — Perfecta reserva hacia adelante. Una característica criptográfica se asoció a un valor derivado del secreto compartido. Con PFS, si se compromete una llave, las llaves anteriores y subsiguientes no se comprometen, porque las llaves subsiguientes no derivan de las llaves anteriores.

SA: Asociación de seguridad. Describe cómo dos o más entidades utilizarán los Servicios de seguridad para comunicar con seguridad. Por ejemplo, un SA IPSec define el algoritmo de encripción (si se utiliza), el algoritmo de autenticación y la llave de sesión compartida que se utilizarán durante la conexión IPSec.

IPSec e IKE requieren y utilizan SAs para identificar los parámetros de sus conexiones. IKE puede negociar y establecer su propia SA. El SA de IPSec se establece por el IKE o por la configuración de usuario manual.

transforme — La lista de operaciones hechas en un flujo de datos para proporcionar la autenticación de datos, la confidencialidad de los datos, y la Compresión de datos. Por ejemplo, una transformación es el protocolo ESP con el algoritmo de autenticación HMAC-MD5; otra transformación es el protocolo AH con el algoritmo de encripción DES de 56 bits y el protocolo ESP con el algoritmo de autenticación HMAC-SHA.

VPN — Red privada virtual. Un marco que consiste en los peeres múltiples que transmiten los datos privados con seguridad a uno otro sobre una infraestructura de otra manera pública. En este marco, el tráfico de red entrante y saliente se protege mediante protocolos que tunelizan y encriptan todos los datos. Este marco permite que las redes se extiendan más allá de su topología local, mientras ofrecen a los usuarios remotos el aspecto y la funcionalidad de una conexión de red directa.