通過EIGRP配置分支到分支的FlexVPN並對其進行故障排除

簡介

本文檔介紹使用IKEv2和NHRP為直接客戶端加密隧道部署和故障排除Cisco FlexVPN分支到分支路由器。

必要條件

• Flex VPN中心和Flex VPN客戶端配置

需求

思科建議您瞭解以下主題：

• IKEv2
• 路由型VPN
• 虛擬通道介面(VTI)
• NHRP
• IPSec
• EIGRP
• VRF-Lite

採用元件

本檔案中的資訊是根據： 

• Cisco IOS XE 17.9.4a

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

可擴充性

FlexVPN可輕鬆從小型辦公室擴展到大型企業網路。它可以管理許多VPN連線，而無需大量額外工作，這對於正在發展或擁有許多遠端使用者的組織來說非常棒。

主要功能

• 動態配置和按需隧道：
  • 虛擬通道介面(VTI):FlexVPN使用可根據需要建立和刪除的VTI。這意味著僅在存在流量時設定VPN隧道，並在不需要時將其刪除，從而節省資源並提高可擴充性。
  • 動態路由協定：它與OSPF、EIGRP和BGP over VPN隧道等路由協定配合使用。這樣可以自動更新路由資訊，這對於大型網路和動態網路非常重要。
• 部署靈活性：
  • 中心輻射型模型：一個中心集線器連線到多個分支機構。FlexVPN通過單個框架簡化了這些連線的設定，使其成為大型網路的理想選擇。
  • 全網狀和部分網狀拓撲：所有站點無需通過中心集線器即可直接通訊，從而減少延遲並提高效能。
• 高可用性和冗餘：
  • 冗餘集線器：支援多個集線器進行備份。如果一個集線器發生故障，分支機構可以連線到另一個集線器，確保連續連線。
  • 負載平衡：在多個裝置之間分配VPN連線，以避免任何單個裝置過載，這對於在大型部署中保持效能至關重要。
• 可擴展的身份驗證和授權：
  • AAA整合：與Cisco ISE或RADIUS等AAA伺服器配合使用，集中管理使用者憑證和策略，這對於大規模使用至關重要。
  • PKI和證書：支援用於安全身份驗證的公鑰基礎架構(PKI)和數位證書，其可擴充性比使用預共用金鑰更高，尤其是在大型環境中。

背景資訊

FlexVPN和NHRP

FlexVPN伺服器提供FlexVPN的伺服器端功能。FlexVPN客戶端在FlexVPN客戶端和另一個FlexVPN伺服器之間建立安全IPsec VPN隧道。

NHRP是一種類似地址解析協定(ARP)的協定，可緩解非廣播多路訪問(NBMA)網路問題。通過NHRP，連線到NBMA網路的NHRP實體動態學習屬於該網路的其他實體的NBMA地址，從而允許這些實體直接通訊，而不需要流量使用中間跳。

FlexVPN分支到分支功能整合了NHRP和FlexVPN客戶端（分支），以便與現有FlexVPN網路中的其他客戶端建立直接加密通道。連線是使用虛擬通道介面(VTI)、IKEv2和NHRP構建的，其中NHRP用於解析網路中的FlexVPN客戶端。

思科建議確保：

• 分支之間不交換路由條目。一個關鍵的考慮因素，稍後將在我們排除基於EIGRP的拓撲故障時說明。

• 輻條使用不同的配置檔案，沒有為輻條配置config-exchange命令。

NHRP流程

此圖演示了分支1和分支2之間的流量流，網路為198.51.100.0/29/24和198.51.100.8/29，兩者都通過EIGRP通告通過集線器直接與分支。下面是建立輻條1(198.51.100.0/29/24)和輻條2(198.51.100.8/29)之間通訊時的流量狀態。

1. 主機1將流量傳送到主機2。主機1上的路由查詢導致將其轉發到集線器隧道介面，因為集線器正在通過EIGRP通告該網路。
2. 當流量到達中心時，中心端路由查詢會確認分支2網路198.51.100.8/29是通過分支2虛擬訪問獲知的。
3. 集線器啟動NHRP重新導向，因為兩個虛擬訪問介面（分支1和分支2）屬於同一個NHRP網路，具有相同的NHRP網路ID。
4. 收到重定向後，Spoke1通過隧道介面（接收重定向的同一介面）發起對分支2網路的解析請求。 分支2對分支1網路的解析請求重複相同的過程。
5. Spoke2在隧道介面上接收解析請求並檢索配置中定義的虛擬模板編號。虛擬模板編號用於建立虛擬訪問介面，以便在兩個分支之間建立加密會話。一旦兩個分支之間的加密SA啟動，兩個分支都會安裝通過IPSEC在建立虛擬訪問介面後獲知的下一跳IP地址的路由。
6. 然後，兩個輻條都會繼續驗證下一跳的可達性，然後再通過新建立的用於輻條到輻條連線的介面虛擬訪問向外傳送解析回覆。
7. 到達下一躍點後，兩個輻條會互相傳送解析回覆。
8. 現在，兩個分支都可以覆蓋其每個網路下一跳IP地址，以便通過NHO進行虛擬訪問。
9. Spoke1為Spoke2的下一跳IP及其網路安裝必要的快取條目。Spoke1也會刪除指向集線器的臨時快取條目，以便解析隧道介面1下的網路。
10. 分支2重複相同步驟，它還為分支1下一跳IP及其網路安裝快取條目，從而通過隧道刪除舊的中心條目。
11. NHRP新增快捷方式路由作為下一跳覆蓋(NHO)或H(NHRP)路由。

使用EIGRP配置FlexVPN分支到分支

拓撲圖表

基於EIGRP的拓撲的關鍵注意事項

在繼續配置之前，我們必須瞭解一些關鍵概念：

• 對於任何EIGRP部署，如果分支接收的是包含其他分支的完整路由表或僅是總結路由，則需要在中心端安裝字首清單進行出站路由更新，以過濾要通告給彼此的分支的隧道IP地址。

• EIGRP中的水準分割與IBGP中的水準分割不同。EIGRP僅停止從從其獲知的介面通告網路。例如，集線器有兩個分支，一個通過virtual-access 1連線，另一個通過virtual-access 2介面連線。中心通過節點1從分支1獲知的路由通過VA 2通告回分支2，反之亦然，因為VA 1和VA 2是不同的介面。在IBGP的情況下，它不會將從其對等體獲知的任何網路通告給另一個對等體。在類似的示例中，配置了IBGP的集線器不會將其從VA 1獲知的網路通告回VA 2，反之亦然。

• EIGRP中的此行為會在下一跳IP地址（分支到分支隧道的虛擬訪問介面的IP地址）的CEF鄰接中產生衝突，因為首先使用中心隧道介面通過EIGRP獲知，然後使用虛擬訪問介面通過IPsec獲知。這會導致NHRP流量的非對稱路由，還會導致NHRP表中的重複NHRP條目和路由表中的重複NHO條目，以及下一跳介面（通過集線器的隧道）和（通過分支的虛擬訪問）的重複NHO條目。

• 由於我們希望過濾傳出EIGRP更新，以確保中心與分支EIGRP對等不受影響，因此中心端虛擬模板需要來自與分支通道介面不同的池的IP。

以下兩個示例展示如何在FlexVPN伺服器和FlexVPN客戶端上使用EIGRP配置FlexVPN分支到分支。我們遵循了將底層流量和重疊流量隔離到特定VRF中的最佳實踐。VRF A用於襯底，而B用於覆蓋。

示例1 — 利用NHO（下一跳覆蓋）進行分支到分支通訊

FlexVPN伺服器

ip local pool FLEXPOOL 192.0.2.129 192.0.2.254

crypto ikev2 authorization policy CISCO_FLEX
 pool FLEXPOOL
 def-domain cisco.com
 route set interface

crypto ikev2 proposal CISCO_PROP
 encryption aes-gcm-256
 prf sha256
 group 21

crypto ikev2 policy CISCO_POL 
 match fvrf A
 proposal CISCO_PROP

crypto ikev2 profile CISCO_IKEV2
 match fvrf A
 match identity remote fqdn domain cisco.com
 identity local fqdn hub.cisco.com
 authentication remote pre-share key cisco
 authentication local pre-share key cisco
 aaa authorization group psk list default CISCO_FLEX
 virtual-template 1

crypto ipsec transform-set CISCO_TRANSFORM esp-aes 256 esp-sha256-hmac 
 mode transport

crypto ipsec profile CISCO_PROF
 set transform-set CISCO_TRANSFORM 
 set pfs group19
 set ikev2-profile CISCO_IKEV2

interface Loopback0
 ip vrf forwarding B
 ip address 192.0.2.1 255.255.255.255

interface GigabitEthernet1
 ip vrf forwarding A
 ip address 203.0.113.2 255.255.255.252

interface Virtual-Template1 type tunnel
 ip vrf forwarding B
 ip unnumbered Loopback0
 ip nhrp network-id 1
 ip nhrp redirect
 tunnel vrf A
 tunnel protection ipsec profile CISCO_PROF

ip prefix-list CISCO_PREFIX seq 5 deny 192.0.2.128/25 le 32
ip prefix-list CISCO_PREFIX seq 6 permit 0.0.0.0/0 le 32

router eigrp B
!
address-family ipv4 unicast vrf B autonomous-system 1
!
af-interface default
hello-interval 2
hold-time 10
exit-af-interface
!
topology base
distribute-list prefix CISCO_PREFIX out 
exit-af-topology
network 192.0.2.128 0.0.0.127
network 192.0.2.1 0.0.0.0
exit-address-family

FlexVPN客戶端1

ip host vrf A hub.cisco.com 203.0.113.2

crypto ikev2 authorization policy CISCO_FLEX
 route set interface

crypto ikev2 proposal CISCO_PROP
 encryption aes-gcm-256
 prf sha256
 group 21

crypto ikev2 policy CISCO_POL 
 match fvrf A
 proposal CISCO_PROP

crypto ikev2 client flexvpn CISCO_CLIENT
 peer 1 fqdn hub.cisco.com dynamic
 client connect Tunnel1

crypto ikev2 profile CISCO_IKEV2
 match fvrf A
 match identity remote fqdn domain cisco.com
 identity local fqdn spoke1.cisco.com
 authentication remote pre-share key cisco
 authentication local pre-share key cisco
 aaa authorization group psk list default CISCO_FLEX
 virtual-template 1

crypto ipsec transform-set CISCO_TRANSFORM esp-aes 256 esp-sha256-hmac 
 mode transport

crypto ipsec profile CISCO_PROF
 set transform-set CISCO_TRANSFORM 
 set pfs group19
 set ikev2-profile CISCO_IKEV2

interface Tunnel1
 ip vrf forwarding B
 ip address negotiated
 ip nhrp network-id 1
 ip nhrp shortcut virtual-template 1
 tunnel source GigabitEthernet1
 tunnel destination dynamic
 tunnel vrf A
 tunnel protection ipsec profile CISCO_PROF
end

interface GigabitEthernet1
 ip vrf forwarding A
 ip address 203.0.113.6 255.255.255.252

interface Loopback1
 ip vrf forwarding B
 ip address 198.51.100.1 255.255.255.248

interface Virtual-Template1 type tunnel
 ip vrf forwarding B
 ip unnumbered Tunnel1
 ip nhrp network-id 1
 ip nhrp shortcut virtual-template 1
 tunnel vrf A
 tunnel protection ipsec profile CISCO_PROF

router eigrp B
 address-family ipv4 unicast vrf B autonomous-system 1

 af-interface default
  hello-interval 2
  hold-time 10
  passive-interface
 exit-af-interface

 af-interface Tunnel1
  no passive-interface
 exit-af-interface

  topology base
  exit-af-topology
  network 198.51.100.0 0.0.0.7
  network 192.0.2.128 0.0.0.127
 exit-address-family

FlexVPN客戶端2

ip host vrf A hub.cisco.com 203.0.113.2

crypto ikev2 authorization policy CISCO_FLEX
 route set interface

crypto ikev2 proposal CISCO_PROP
 encryption aes-gcm-256
 prf sha256
 group 21

crypto ikev2 policy CISCO_POL 
 match fvrf A
 proposal CISCO_PROP

crypto ikev2 client flexvpn CISCO_CLIENT
 peer 1 fqdn hub.cisco.com dynamic
 client connect Tunnel1

crypto ikev2 profile CISCO_IKEV2
 match fvrf A
 match identity remote fqdn domain cisco.com
 identity local fqdn spoke2.cisco.com
 authentication remote pre-share key cisco
 authentication local pre-share key cisco
 aaa authorization group psk list default CISCO_FLEX
 virtual-template 1

crypto ipsec transform-set CISCO_TRANSFORM esp-aes 256 esp-sha256-hmac 
 mode transport

crypto ipsec profile CISCO_PROF
 set transform-set CISCO_TRANSFORM 
 set pfs group19
 set ikev2-profile CISCO_IKEV2

interface Tunnel1
 ip vrf forwarding B
 ip address negotiated
 ip nhrp network-id 1
 ip nhrp shortcut virtual-template 1
 tunnel source GigabitEthernet1
 tunnel destination dynamic
 tunnel vrf A
 tunnel protection ipsec profile CISCO_PROF
end

interface GigabitEthernet1
 ip vrf forwarding A
 ip address 203.0.113.10 255.255.255.252

interface Loopback1
 ip vrf forwarding B
 ip address 198.51.100.9 255.255.255.248

interface Virtual-Template1 type tunnel
 ip vrf forwarding B
 ip unnumbered Tunnel1
 ip nhrp network-id 1
 ip nhrp shortcut virtual-template 1
 tunnel vrf A
 tunnel protection ipsec profile CISCO_PROF

router eigrp B
 address-family ipv4 unicast vrf B autonomous-system 1

 af-interface default
  hello-interval 2
  hold-time 10
  passive-interface
 exit-af-interface

 af-interface Tunnel1
  no passive-interface
 exit-af-interface

  topology base
  exit-af-topology
  network 198.51.100.8 0.0.0.7
  network 192.0.2.128 0.0.0.127
 exit-address-family

示例2 — 利用NHRP安裝的路由進行分支到分支通訊

FlexVPN伺服器

EIGRP配置中的唯一更改是在分支上引入總結路由，而不是完整的路由表。請確保關閉虛擬模板，以將摘要配置推送到EIGRP拓撲中。請參閱Cisco錯誤ID CSCwn84303。

router eigrp B
!
address-family ipv4 unicast vrf B autonomous-system 1
!
af-interface default
hello-interval 2
hold-time 10
exit-af-interface
!
af-interface Virtual-Template1
summary-address 198.51.100.0 255.255.255.0 <<<<<<<<<<< Summary address
exit-af-interface
!
topology base
distribute-list prefix CISCO_PREFIX out 
exit-af-topology
network 192.0.2.128 0.0.0.127
network 192.0.2.1 0.0.0.0
exit-address-family

驗證和疑難排解

示例1 — 利用NHO（下一跳覆蓋）進行分支到分支通訊

分支1（在分支之前，NHRP解析和隧道建立）

分支2（在分支之前NHRP解析和隧道建立）

分支1（在分支後NHRP解析和隧道建立）

發起ICMP以觸發分支到分支隧道：

驗證NHRP快捷方式：

驗證NHO路由後快捷方式的建立：

驗證NHRP計數器：

分支2（在分支後NHRP解析和隧道建立）

驗證NHRP快捷方式：

驗證NHO路由後快捷方式的建立：

驗證NHRP計數器：

以下逐步說明了如何藉助其中一個輻條上的調試來建立直接輻條到輻條隧道。

• 分支1已啟動ICMP:

Spoke1#ping vrf B 198.51.100.9 source 198.51.100.1 repeat 1
Type escape sequence to abort.
Sending 1, 100-byte ICMP Echos to 198.51.100.9, timeout is 2 seconds:
Packet sent with a source address of 198.51.100.1 
!
Success rate is 100 percent (1/1), round-trip min/avg/max = 111/111/111 ms

• 集線器收到ICMP並發起重新導向（流量指示）到兩個分支：

*Feb 3 16:15:35.280: NHRP: Receive Traffic Indication via Tunnel1 vrf: B(0x4), packet size: 104
.
*Feb 3 16:15:35.280: (M) traffic code: redirect(0)
*Feb 3 16:15:35.280: src NBMA: 203.0.113.2
*Feb 3 16:15:35.280: src protocol: 192.0.2.1, dst protocol: 198.51.100.1
.
*Feb 3 16:15:35.281: NHRP-DETAIL: NHRP traffic indication for afn 1 received on interface Tunnel1 , for vrf: B(0x4) label: 0

• 兩個輻條都觸發了通過tunnel1的解析度請求：

*Feb 3 16:15:35.295: NHRP: Sending NHRP Resolution Request for dest: 198.51.100.9 to nexthop: 198.51.100.9 using our src: 192.0.2.130 vrf: B(0x4)
*Feb 3 16:15:35.295: NHRP: Attempting to send packet through interface Tunnel1 via DEST dst 198.51.100.9
*Feb 3 16:15:35.295: NHRP-DETAIL: First hop route lookup for 198.51.100.9 yielded 192.0.2.1, Tunnel1
*Feb 3 16:15:35.295: NHRP: Send Resolution Request via Tunnel1 vrf: B(0x4), packet size: 72
*Feb 3 16:15:35.295: src: 192.0.2.130, dst: 198.51.100.9
.
*Feb 3 16:15:35.296: src NBMA: 203.0.113.6
*Feb 3 16:15:35.296: src protocol: 192.0.2.130, dst protocol: 198.51.100.9

• 兩個輻條均通過Tunnel1收到解析請求：

*Feb 3 16:15:35.392: NHRP: Receive Resolution Request via Tunnel1 vrf: B(0x4), packet size: 92
.
*Feb 3 16:15:35.392: src NBMA: 203.0.113.10
*Feb 3 16:15:35.392: src protocol: 192.0.2.129, dst protocol: 198.51.100.1
*Feb 3 16:15:35.392: (C-1) code: no error(0), flags: none
.
*Feb 3 16:15:35.392: NHRP-DETAIL: Resolution request for afn 1 received on interface Tunnel1 , for vrf: B(0x4) label: 0

• 兩個分支都對其本地網路198.51.100.0/29/24和198.51.100.8/29執行了路由查詢：

*Feb 3 16:15:35.392: NHRP-DETAIL: Multipath IP route lookup for 198.51.100.1 in vrf: B(0x4) yielded Loopback1, pfx:198.51.100.0/29 (netid_in:1 if_in:Tunnel1)
*Feb 3 16:15:35.392: NHRP: Route lookup for destination 198.51.100.1 in vrf: B(0x4) yielded interface Loopback1, prefixlen 29
.
*Feb 3 16:15:35.392: NHRP: We are egress router. Process the NHRP Resolution Request.
.
*Feb 3 16:15:35.393: NHRP-DETAIL: Multipath IP route lookup for 198.51.100.1 in vrf: B(0x4) yielded Loopback1, pfx:198.51.100.0/29 (netid_in:1 if_in:Tunnel1)
*Feb 3 16:15:35.393: NHRP: nhrp_rtlookup for 198.51.100.1 in vrf: B(0x4) yielded interface Loopback1, prefixlen 29, label none(0)
*Feb 3 16:15:35.393: NHRP-DETAIL: netid_out 0, netid_in 1
*Feb 3 16:15:35.393: NHRP: We are egress router for target 198.51.100.1, recevied via Tunnel1 vrf: B(0x4)

• 由於兩個分支現在知道彼此的NBMA地址，因此解析應答入隊並開始IPsec建立：

*Feb 3 16:15:35.393: NHRP: Checking for delayed event 192.0.2.129/198.51.100.1 on list (Tunnel1 vrf: B(0x4))
*Feb 3 16:15:35.393: NHRP: No delayed event node found.
*Feb 3 16:15:35.394: NHRP-DETAIL: Updated delayed event with ep src:203.0.113.6 dst:203.0.113.10 ivrf:B
*Feb 3 16:15:35.394: NHRP: Enqueued Delaying resolution request nbma src:203.0.113.6 nbma dst:203.0.113.10 reason:IPSEC-IFC: need to wait for IPsec SAs.
*Feb 3 16:15:35.394: NHRP: Interface: Tunnel1 configured with FlexVPN. Deferring cache creation for nhop 192.0.2.129
*Feb 3 16:15:35.406: %LINEPROTO-5-UPDOWN: Line protocol on Interface Virtual-Access1, changed state to down
*Feb 3 16:15:35.456: NHRP: Virtual-Access1: Tunnel mode changed from 
'Uninitialized tunnel mode' to 'GRE over point to point IPV4 tunnel mode'
*Feb 3 16:15:35.456: NHRP: Virtual-Access1: NHRP not enabled in delay_if_up
*Feb 3 16:15:35.511: NHRP: Registration with Tunnels Decap Module succeeded
*Feb 3 16:15:35.511: NHRP: Rejecting addr type 1
*Feb 3 16:15:35.511: NHRP: Adding all static maps to cache
*Feb 3 16:15:35.511: NHRP-DETAIL: Adding summary-prefix entry: nhrp router block not configured
*Feb 3 16:15:35.512: NHRP: 
*Feb 3 16:15:35.512: Instructing NHRP to create Virtual-Access from Virtual template 1 for interface Virtual-Access1
*Feb 3 16:15:35.537: %SYS-5-CONFIG_P: Configured programmatically by process Crypto INT from console as console
*Feb 3 16:15:35.539: NHRP-CACHE: Virtual-Access1: Cache add for target 192.0.2.130/32 vrf: B(0x4) label none next-hop 192.0.2.130
*Feb 3 16:15:35.540: 203.0.113.6 (flags:0x20)
.
*Feb 3 16:15:35.548: NHRP: Updating delayed event with destination 203.0.113.10 on interfaceTunnel1 with the new interface Virtual-Access1 
*Feb 3 16:15:35.788: NHRP: 
*Feb 3 16:15:35.788: Fetched address from underlying IKEv2 for interfaceVirtual-Access1. Pre-NATed = 203.0.113.6, Post-NATed = UNKNOWN
*Feb 3 16:15:35.788: %DMVPN-5-CRYPTO_SS: Virtual-Access1: local address : 203.0.113.6 remote address : 203.0.113.10 socket is UP

• 在IPSEC建立和NHRP快捷方式建立過程中，兩個分支都相互學習並安裝了將各自路由表中的IP地址作為IPSEC路由並探測下一跳可達性：

*Feb 3 16:15:35.788: NHRP: Processing delayed event on interface Tunnel1 with NBMA 203.0.113.10
.
*Feb 3 16:15:35.789: NHRP-CACHE: Virtual-Access1: Cache add for target 192.0.2.129/32 vrf: B(0x4) label none next-hop 192.0.2.129
*Feb 3 16:15:35.789: 203.0.113.10 (flags:0x2080)
*Feb 3 16:15:35.789: NHRP-RT: Adding route entry for 192.0.2.129/32 via 192.0.2.129, Virtual-Access1 vrf: B(0x4)) to RIB
*Feb 3 16:15:35.791: NHRP-RT: Route addition to RIB Successful 
*Feb 3 16:15:35.791: NHRP-EVE: NHP-UP: 192.0.2.129, NBMA: 203.0.113.10
*Feb 3 16:15:35.791: %DMVPN-5-NHRP_NHP_UP: Virtual-Access1: Next Hop NHP : (Tunnel: 192.0.2.129 NBMA: 203.0.113.10) for (Tunnel: 192.0.2.130 NBMA: 203.0.113.6) is UP
*Feb 3 16:15:35.791: NHRP-CACHE: 
*Feb 3 16:15:35.791: Next-hop not reachable for 192.0.2.129
*Feb 3 16:15:35.791: %NHRP-5-NHOP_UNREACHABLE: Nexthop address 192.0.2.129 for 192.0.2.129/32 is not routable

• 在完成快捷方式安裝和NHO之前，分支A執行分支B虛擬訪問IP地址的下一跳查詢，反之亦然，但是下一希望查詢返回「產生N/A」，因為分支A向分支B傳送了錯誤指示，確認下一跳無法訪問。特定查詢可以稱為多路徑查詢：

*Feb 3 16:15:35.791: NHRP-DETAIL: Multipath recursive nexthop lookup(if_in:, netid:1) for 192.0.2.129 in vrf: B(0x4) yielded N/A, Virtual-Access1
*Feb 3 16:15:35.791: NHRP: Sending error indication. Reason: 'Cache pak failure' LINE: 13798
*Feb 3 16:15:35.791: NHRP: Attempting to send packet through interface Virtual-Access1 via DEST dst 192.0.2.129
*Feb 3 16:15:35.791: NHRP-DETAIL: Multipath recursive nexthop lookup(if_in:, netid:1) for 192.0.2.129 in vrf: B(0x4) yielded 192.0.2.129, Virtual-Access1
*Feb 3 16:15:35.791: NHRP: Send Error Indication via Virtual-Access1 vrf: B(0x4), packet size: 132
*Feb 3 16:15:35.791: src: 192.0.2.130, dst: 192.0.2.129
.
*Feb 3 16:15:35.791: (M) error code: protocol address unreachable(6), offset: 0 
*Feb 3 16:15:35.791: src NBMA: 203.0.113.6
*Feb 3 16:15:35.791: src protocol: 192.0.2.130, dst protocol: 192.0.2.129

• 在NHO啟動下一跳並建立快捷方式後，兩個分支都會再次發出每個網路的解析請求：

*Feb 3 16:15:35.813: NHRP: No need to delay processing of resolution event nbma src:203.0.113.6 nbma dst:203.0.113.10
*Feb 3 16:15:35.813: NHRP-CACHE: Virtual-Access1: Cache update for target 192.0.2.129/32 vrf: B(0x4) label none next-hop 192.0.2.129
*Feb 3 16:15:35.813: 203.0.113.10 (flags:0x2280)
*Feb 3 16:15:35.813: NHRP-RT: Adding route entry for 192.0.2.129/32 via 192.0.2.129, Virtual-Access1 vrf: B(0x4)) to RIB
*Feb 3 16:15:35.814: NHRP-RT: Route addition to RIB Successful 
.
*Feb 3 16:15:35.841: NHRP-RT: Route entry 192.0.2.129/32 via 192.0.2.129 (Vi1) clobbered by distance
*Feb 3 16:15:35.847: NHRP-RT: Unable to stop route watch for 192.0.2.129/32 interface Virtual-Access1 . No handle
*Feb 3 16:15:35.847: NHRP-RT: Adding route entry for 192.0.2.129/32 via 192.0.2.129, Virtual-Access1 vrf: B(0x4)) to RIB
*Feb 3 16:15:35.847: NHRP-RT: Route addition failed (admin-distance) 
*Feb 3 16:15:35.847: NHRP-RT: nexthop-override added to RIB 
.
*Feb 3 16:15:37.167: NHRP: Sending NHRP Resolution Request for dest: 198.51.100.9 to nexthop: 198.51.100.9 using our src: 192.0.2.130 vrf: B(0x4)
*Feb 3 16:15:37.167: NHRP: Attempting to send packet through interface Tunnel1 via DEST dst 198.51.100.9
*Feb 3 16:15:37.167: NHRP-DETAIL: First hop route lookup for 198.51.100.9 yielded 192.0.2.1, Tunnel1
*Feb 3 16:15:37.167: NHRP: Send Resolution Request via Tunnel1 vrf: B(0x4), packet size: 72
*Feb 3 16:15:37.167: src: 192.0.2.130, dst: 198.51.100.9
.
*Feb 3 16:15:37.167: src NBMA: 203.0.113.6
*Feb 3 16:15:37.167: src protocol: 192.0.2.130, dst protocol: 198.51.100.9

• 當兩個分支收到各自網路的解析請求後，NHO將經由隧道(HUB)的EIGRP路由替換為虛擬訪問：

*Feb 3 16:30:57.768: NHRP-CACHE: Virtual-Access1: Cache add for target 198.51.100.8/29 vrf: B(0x4) label none next-hop 192.0.2.129
*Feb 3 16:30:57.768: 203.0.113.10 (flags:0x1000)
*Feb 3 16:30:57.768: NHRP-RT: Adding route entry for 198.51.100.8/29 via 192.0.2.129, Virtual-Access1 vrf: B(0x4)) to RIB
*Feb 3 16:30:57.769: NHRP-RT: Route addition failed (admin-distance) 
*Feb 3 16:30:57.769: NHRP-RT: nexthop-override added to RIB 
*Feb 3 16:30:57.769: NHRP-EVE: NHP-UP: 192.0.2.129, NBMA: 203.0.113.10
*Feb 3 16:30:57.769: %DMVPN-5-NHRP_NHP_UP: Virtual-Access1: Next Hop NHP : (Tunnel: 192.0.2.129 NBMA: 203.0.113.10) for (Tunnel: 192.0.2.130 NBMA: 203.0.113.6) is UP
*Feb 3 16:30:57.769: NHRP-CACHE: Deleting incomplete entry for 198.51.100.9/32 interface Tunnel1 vrf: B(0x4)
*Feb 3 16:30:57.769: NHRP-EVE: NHP-DOWN: 198.51.100.9, NBMA: 198.51.100.9

• 之後，兩個分支都通過虛擬訪問介面發出解析回覆：

*Feb 3 16:30:57.436: NHRP-CACHE: Virtual-Access1: Internal Cache add for target 198.51.100.0/29 vrf: B(0x4) label none next-hop 192.0.2.130
*Feb 3 16:30:57.436: 203.0.113.6 (flags:0x20)
*Feb 3 16:30:57.436: NHRP: Attempting to send packet through interface Virtual-Access1 via DEST dst 192.0.2.129
*Feb 3 16:30:57.436: NHRP-DETAIL: Multipath recursive nexthop lookup(if_in:, netid:1) for 192.0.2.129 in vrf: B(0x4) yielded 192.0.2.129, Virtual-Access1
*Feb 3 16:30:57.436: NHRP: Send Resolution Reply via Virtual-Access1 vrf: B(0x4), packet size: 120
*Feb 3 16:30:57.436: src: 192.0.2.130, dst: 192.0.2.129
.
*Feb 3 16:30:57.437: src NBMA: 203.0.113.10
*Feb 3 16:30:57.437: src protocol: 192.0.2.129, dst protocol: 198.51.100.1
.
*Feb 3 16:30:57.437: client NBMA: 203.0.113.6
*Feb 3 16:30:57.437: client protocol: 192.0.2.130
*Feb 3 16:30:57.437: NHRP: 144 bytes out Virtual-Access1 

示例2 — 利用NHRP安裝的路由進行分支到分支通訊

FlexVPN伺服器

檢驗引入的總結路由的EIGRP拓撲：

FlexVPN使用者端

驗證是否存在總結路由：

嘗試通過發起流量來建立分支到分支隧道：

再次驗證：

輻條網路安裝的調試輸出有一個很小的變化，其中顯示路由安裝成功，而不是RIB失敗和新增NHO:

*Feb 3 16:43:38.957: NHRP-CACHE: Virtual-Access1: Cache add for target 198.51.100.8/29 vrf: B(0x4) label none next-hop 192.0.2.131
*Feb 3 16:43:38.957: 203.0.113.10 (flags:0x1000)
*Feb 3 16:43:38.957: NHRP-RT: Adding route entry for 198.51.100.8/29 via 192.0.2.131, Virtual-Access1 vrf: B(0x4)) to RIB
*Feb 3 16:43:38.957: NHRP-RT: Route addition to RIB Successful 
*Feb 3 16:43:38.957: NHRP-EVE: NHP-UP: 192.0.2.131, NBMA: 203.0.113.10

相關資訊

• 配置FlexVPN分支到分支
• 採用FlexVPN客戶端塊配置的冗餘中心設計中的FlexVPN分支配置示例