理论视频hcp-hcie hcnp4.7ds技术

1、GREOverIPSec原理介NHRPGREOverIPSec原理介NHRP协议原IPSec安全封应用场景配置细第2IPSec隧道集中在Hub点，所有流量都穿越Hub第3GREOverIPSec原理NHRP协议GREOverIPSec原理NHRP协议原IPSec安全封应用场景配置细第4（DynamicSmarts），动态。GRE），多点GRE（DynamicSmarts），动态。GRE），多点GRENHRP协议（Next Hop Resolution Protocol ），下一跳地。协可选的IPSec封装，实现数据的安全传输与特性相关的参考标准与协议如下RFC2332：TheNextHopRe

2、solutionRFC1701：GenericRouting第5GRE隧Generic Routing Encapsulation）点到多点静态隧GRE隧Generic Routing Encapsulation）点到多点静态隧动态隧第6GREOverIPSec原理NHRP协GREOverIPSec原理NHRP协议原IPSec安全封应用场景配置细第7NHRP（Next Hop Resolution Protocol）即下一跳地协议NHRP（Next Hop Resolution Protocol）即下一跳地协议基本原理源Spoke（隧道发起方）以到目的Spoke（隧道响应方）引，向目的Spok

3、e发送NHRP地请求，目的Spoke收到该地址请求后将源Spoke返回其公网地址。源Spoke获取到目的Spoke的公网地址后，两者之将建立动态的MGRE隧道主要功能解决非点到点直连网络跨互联在中网络中，源Spoke利用NHRP协议获取对端Spoke的公网地址，类似于MAC或IPDHCI号的对应关系解决动态IP第8第9第9表表是有关Tunnel地址和公网地址关系表表表是有关Tunnel地址和公网地址关系表中的表项按照生成方式的不同，分为静态表和动态表项两种新到第10下一目的地公网接口（静态公网接口（动态公网地Tunnel表公网静态MGRE请下一目的地公网接口（静态公网接口（动态公网地Tunne

4、l表公网静态MGRE请请求应1122公网公网路由路由表表第11Tunnel公网地Tunnel公网目的下一目的地Spoke与Hub之间的MGRE隧道Spoke与Hub之间的MGRE隧道建立完成后，Spoke与之间将通过该隧道，发送NHRP地址对端的公网地址，并生成NHRP 请求给对方，获取表，然后建立SpokeSpoke与Spoke之间建立MGRE隧道的方式按照路由部署方的不同，分为如下两种方式Normal第12表24315表243156表表第13MGRE隧道报文封装过15表3第14MGRE隧道报文封装过15表3第1424dst:192.168.2.1 NHRP重定向消Tunnel表请24351

5、6NHRP重定向消Tunnel表请243516Tunnel7表表第15MGRE隧道报文封装过14表2第16MGRE隧道报文封装过14表2第163dst:192.168.2.1 GREOverIPSec原理NHRP协GREOverIPSec原理NHRP协议原IPSec安全封应用场景配置细第17保护的时候，可以在部署的同时绑定IPSec安全框架分支间同时动态建立起MGRE隧道保护的时候，可以在部署的同时绑定IPSec安全框架分支间同时动态建立起MGRE隧道和IPSec隧道如第16页中，Spoke与Spoke间建立MGRE隧道并启用IPSec后的报文第18srcdst srcdst GREOverI

6、PSec原理介NHRPGREOverIPSec原理介NHRP协议原IPSec安全封应用场景分配置细第19基本场适于中小型企业网络，配置基本场适于中小型企业网络，配置简单，易于管理，但存在单点故障Hub主备备份场支持部署多台Hub设备，用以提高总部的可靠Hub负载分担场ub设备受性能制约，其下所能连接的Spoke数量有限，当网络中Spokeb级联场Spokeb（总部）设备处理性能要第20基本场景总基本场景总隧道IP公网IP公网接口隧道IP公网IP公网接口第21Hub主备备份场景总Hub1（主HubHub主备备份场景总Hub1（主Hub（备隧道IP公网公网接分支分支机第22Hub负载分担场景总Hu

7、b负载分担场景总第23级联场景（总部 隧道公网公网接口级部级联场景（总部 隧道公网公网接口级部公网公网接口隧道公网公网接口 部 （部）（级部级部公网公网接口隧道公网公网接口 分支机 分支机公网公网接口 隧道公网公网接口 分支机分支机第24GREOverIPSec原理介NHRPGREOverIPSec原理介NHRP协议原IPSec安全封应用场景配置第25配置Hub节点配置Hub节点架第26配置Spoke节点的MGRE隧道参数system-erface配置Spoke节点的MGRE隧道参数system-erfaceerface-tunnel-protocolgreipaddressip-addres

8、smask|mask-配置静态nhrpentryprotocol-bma-addressnhrpentrymulticastnhrp第27配置Hub节点的MGRE隧道参数配置Hub节点的MGRE隧道参数system-erfaceerface-tunnel-protocolgrenhrpentrymulticastnhrp第28分支节点相互学习路由iproute-icip-addressmask分支节点相互学习路由iproute-icip-addressmask|mask-lengthnexthop-|erface-erface-numbernexthop-address ospfs-idnet

9、workaddresswildcard-erfaceerface-ospfnetwork-type第29分支节点路由汇聚到总iproute-icip-addressmask分支节点路由汇聚到总iproute-icip-addressmask|mask-lengthnexthop-|erface-erface-numbernexthop-address ospfs-idnetworkaddresswildcard-erfaceerface-ospfnetwork-type第30ipsecprofileprofile-在IPSec安全框架下绑定IKE对等体（对等体中无需配置本端和对端地址ike-i

10、psecprofileprofile-在IPSec安全框架下绑定IKE对等体（对等体中无需配置本端和对端地址ike-eer-alal-name1al-&1-erfaceerface-ipsecprofileprofile-第31第一步：定义ike ikealauthentication-algorithm sha2-egrity-algorithm hmac-sha2-第二步 定义ikeikepeerike-al第三步：定义ipsec ipsecal第一步：定义ike ikealauthentication-algorithm sha2-egrity-algorithm hmac-sha2-第二步 定义ikeikepeerike-al第三步：定义ipsec ipsecalesp authentication-algorithm sha2-第四步 定义ipsec ipsecprofile10 ike-peer fw2al第32erface 第33