理論視頻hcp-hcie hcnp4.7ds技術(shù)

1、GREOverIPSec原理介NHRPGREOverIPSec原理介NHRP協(xié)議原IPSec安全封應(yīng)用場(chǎng)景配置細(xì)第2IPSec隧道集中在Hub點(diǎn)，所有流量都穿越Hub第3GREOverIPSec原理NHRP協(xié)議GREOverIPSec原理NHRP協(xié)議原IPSec安全封應(yīng)用場(chǎng)景配置細(xì)第4（DynamicSmarts），動(dòng)態(tài)。GRE），多點(diǎn)GRE（DynamicSmarts），動(dòng)態(tài)。GRE），多點(diǎn)GRENHRP協(xié)議（Next Hop Resolution Protocol ），下一跳地。協(xié)可選的IPSec封裝，實(shí)現(xiàn)數(shù)據(jù)的安全傳輸與特性相關(guān)的參考標(biāo)準(zhǔn)與協(xié)議如下RFC2332：TheNextHopRe

2、solutionRFC1701：GenericRouting第5GRE隧Generic Routing Encapsulation）點(diǎn)到多點(diǎn)靜態(tài)隧GRE隧Generic Routing Encapsulation）點(diǎn)到多點(diǎn)靜態(tài)隧動(dòng)態(tài)隧第6GREOverIPSec原理NHRP協(xié)GREOverIPSec原理NHRP協(xié)議原IPSec安全封應(yīng)用場(chǎng)景配置細(xì)第7NHRP（Next Hop Resolution Protocol）即下一跳地協(xié)議NHRP（Next Hop Resolution Protocol）即下一跳地協(xié)議基本原理源Spoke（隧道發(fā)起方）以到目的Spoke（隧道響應(yīng)方）引，向目的Spok

3、e發(fā)送NHRP地請(qǐng)求，目的Spoke收到該地址請(qǐng)求后將源Spoke返回其公網(wǎng)地址。源Spoke獲取到目的Spoke的公網(wǎng)地址后，兩者之將建立動(dòng)態(tài)的MGRE隧道主要功能解決非點(diǎn)到點(diǎn)直連網(wǎng)絡(luò)跨互聯(lián)在中網(wǎng)絡(luò)中，源Spoke利用NHRP協(xié)議獲取對(duì)端Spoke的公網(wǎng)地址，類似于MAC或IPDHCI號(hào)的對(duì)應(yīng)關(guān)系解決動(dòng)態(tài)IP第8第9第9表表是有關(guān)Tunnel地址和公網(wǎng)地址關(guān)系表表表是有關(guān)Tunnel地址和公網(wǎng)地址關(guān)系表中的表項(xiàng)按照生成方式的不同，分為靜態(tài)表和動(dòng)態(tài)表項(xiàng)兩種新到第10下一目的地公網(wǎng)接口（靜態(tài)公網(wǎng)接口（動(dòng)態(tài)公網(wǎng)地Tunnel表公網(wǎng)靜態(tài)MGRE請(qǐng)下一目的地公網(wǎng)接口（靜態(tài)公網(wǎng)接口（動(dòng)態(tài)公網(wǎng)地Tunne

4、l表公網(wǎng)靜態(tài)MGRE請(qǐng)請(qǐng)求應(yīng)1122公網(wǎng)公網(wǎng)路由路由表表第11Tunnel公網(wǎng)地Tunnel公網(wǎng)目的下一目的地Spoke與Hub之間的MGRE隧道Spoke與Hub之間的MGRE隧道建立完成后，Spoke與之間將通過該隧道，發(fā)送NHRP地址對(duì)端的公網(wǎng)地址，并生成NHRP 請(qǐng)求給對(duì)方，獲取表，然后建立SpokeSpoke與Spoke之間建立MGRE隧道的方式按照路由部署方的不同，分為如下兩種方式Normal第12表24315表243156表表第13MGRE隧道報(bào)文封裝過15表3第14MGRE隧道報(bào)文封裝過15表3第1424dst:192.168.2.1 NHRP重定向消Tunnel表請(qǐng)24351

5、6NHRP重定向消Tunnel表請(qǐng)243516Tunnel7表表第15MGRE隧道報(bào)文封裝過14表2第16MGRE隧道報(bào)文封裝過14表2第163dst:192.168.2.1 GREOverIPSec原理NHRP協(xié)GREOverIPSec原理NHRP協(xié)議原IPSec安全封應(yīng)用場(chǎng)景配置細(xì)第17保護(hù)的時(shí)候，可以在部署的同時(shí)綁定IPSec安全框架分支間同時(shí)動(dòng)態(tài)建立起MGRE隧道保護(hù)的時(shí)候，可以在部署的同時(shí)綁定IPSec安全框架分支間同時(shí)動(dòng)態(tài)建立起MGRE隧道和IPSec隧道如第16頁中，Spoke與Spoke間建立MGRE隧道并啟用IPSec后的報(bào)文第18srcdst srcdst GREOverI

6、PSec原理介NHRPGREOverIPSec原理介NHRP協(xié)議原IPSec安全封應(yīng)用場(chǎng)景分配置細(xì)第19基本場(chǎng)適于中小型企業(yè)網(wǎng)絡(luò)，配置基本場(chǎng)適于中小型企業(yè)網(wǎng)絡(luò)，配置簡單，易于管理，但存在單點(diǎn)故障Hub主備備份場(chǎng)支持部署多臺(tái)Hub設(shè)備，用以提高總部的可靠Hub負(fù)載分擔(dān)場(chǎng)ub設(shè)備受性能制約，其下所能連接的Spoke數(shù)量有限，當(dāng)網(wǎng)絡(luò)中Spokeb級(jí)聯(lián)場(chǎng)Spokeb（總部）設(shè)備處理性能要第20基本場(chǎng)景總基本場(chǎng)景總隧道IP公網(wǎng)IP公網(wǎng)接口隧道IP公網(wǎng)IP公網(wǎng)接口第21Hub主備備份場(chǎng)景總Hub1（主HubHub主備備份場(chǎng)景總Hub1（主Hub（備隧道IP公網(wǎng)公網(wǎng)接分支分支機(jī)第22Hub負(fù)載分擔(dān)場(chǎng)景總Hu

7、b負(fù)載分擔(dān)場(chǎng)景總第23級(jí)聯(lián)場(chǎng)景（總部 隧道公網(wǎng)公網(wǎng)接口級(jí)部級(jí)聯(lián)場(chǎng)景（總部 隧道公網(wǎng)公網(wǎng)接口級(jí)部公網(wǎng)公網(wǎng)接口隧道公網(wǎng)公網(wǎng)接口 部 （部）（級(jí)部級(jí)部公網(wǎng)公網(wǎng)接口隧道公網(wǎng)公網(wǎng)接口 分支機(jī) 分支機(jī)公網(wǎng)公網(wǎng)接口 隧道公網(wǎng)公網(wǎng)接口 分支機(jī)分支機(jī)第24GREOverIPSec原理介NHRPGREOverIPSec原理介NHRP協(xié)議原IPSec安全封應(yīng)用場(chǎng)景配置第25配置Hub節(jié)點(diǎn)配置Hub節(jié)點(diǎn)架第26配置Spoke節(jié)點(diǎn)的MGRE隧道參數(shù)system-erface配置Spoke節(jié)點(diǎn)的MGRE隧道參數(shù)system-erfaceerface-tunnel-protocolgreipaddressip-addres

8、smask|mask-配置靜態(tài)nhrpentryprotocol-bma-addressnhrpentrymulticastnhrp第27配置Hub節(jié)點(diǎn)的MGRE隧道參數(shù)配置Hub節(jié)點(diǎn)的MGRE隧道參數(shù)system-erfaceerface-tunnel-protocolgrenhrpentrymulticastnhrp第28分支節(jié)點(diǎn)相互學(xué)習(xí)路由iproute-icip-addressmask分支節(jié)點(diǎn)相互學(xué)習(xí)路由iproute-icip-addressmask|mask-lengthnexthop-|erface-erface-numbernexthop-address ospfs-idnet

9、workaddresswildcard-erfaceerface-ospfnetwork-type第29分支節(jié)點(diǎn)路由匯聚到總iproute-icip-addressmask分支節(jié)點(diǎn)路由匯聚到總iproute-icip-addressmask|mask-lengthnexthop-|erface-erface-numbernexthop-address ospfs-idnetworkaddresswildcard-erfaceerface-ospfnetwork-type第30ipsecprofileprofile-在IPSec安全框架下綁定IKE對(duì)等體（對(duì)等體中無需配置本端和對(duì)端地址ike-i

10、psecprofileprofile-在IPSec安全框架下綁定IKE對(duì)等體（對(duì)等體中無需配置本端和對(duì)端地址ike-eer-alal-name1al-&1-erfaceerface-ipsecprofileprofile-第31第一步：定義ike ikealauthentication-algorithm sha2-egrity-algorithm hmac-sha2-第二步 定義ikeikepeerike-al第三步：定義ipsec ipsecal第一步：定義ike ikealauthentication-algorithm sha2-egrity-algorithm hmac-sha2-第二步 定義ikeikepeerike-al第三步：定義ipsec ipsecalesp authentication-algorithm sha2-第四步 定義ipsec ipsecprofile10 ike-peer fw2al第32erface 第33