DMVPN: الـ mGRE و NHRP

enable
configure terminal
hostname NET
no ip domain-lookup
interface g0/0/0
ip address 198.51.100.2 255.255.255.252
no shutdown
interface g0/0/1
ip address 203.0.113.2 255.255.255.252
no shutdown
interface g0/0/2
ip address 192.0.2.2 255.255.255.252
no shutdown
end

enable
configure terminal
hostname HUB
no ip domain-lookup
interface g0/0/0
ip address 198.51.100.1 255.255.255.252
no shutdown
interface lo0
ip address 10.0.0.1 255.255.255.0
ip route 0.0.0.0 0.0.0.0 198.51.100.2
end

enable
configure terminal
hostname S1
no ip domain-lookup
interface g0/0/0
ip address 203.0.113.1 255.255.255.252
no shutdown
interface g0/0/1
ip address 192.168.1.1 255.255.255.0
no shutdown
ip route 0.0.0.0 0.0.0.0 203.0.113.2
end

enable
configure terminal
hostname S2
no ip domain-lookup
interface g0/0/0
ip address 192.0.2.1 255.255.255.252
no shutdown
interface g0/0/1
ip address 192.168.2.1 255.255.255.0
no shutdown
ip route 0.0.0.0 0.0.0.0 192.0.2.2
end

حيّاك الله. الـ MPLS VPN خدمة تشتريها من شركة الاتصالات. لكن كثير شركات تبغى تبني الـ VPN بنفسها، على الإنترنت العادي، لأنه أرخص. والحل القديم: نفق GRE من المركز لكل فرع. مِيّة فرع يعني مِيّة نفق في المركز، وأي فرع يكلم فرع ثاني يمر على المركز. والحل الحديث: Dynamic Multipoint VPN، أو DMVPN.

DMVPN من أربع قطع. mGRE: نفق multipoint واحد على كل راوتر، يوصل لأي عدد. NHRP: زي ARP بس للأنفاق. يربط عنوان النفق، مثل one seventy two dot sixteen dot zero dot two، بالعنوان العام حق الراوتر على الإنترنت، واسمه NBMA address. الـ hub هو الـ NHS، يعني الـ server اللي الفروع تسجّل عنده. وفوقها بروتوكول توجيه، و IPsec للتشفير. المعمل: المركز HUB، وفرعين S1 و S2، وكلهم على الإنترنت، اللي يمثله الراوتر NET. وكل راوتر عنده default route للإنترنت بس. نبني نفق الـ hub: عنوانه one seventy two dot sixteen dot zero dot one، و tunnel source الواجهة العامة، و tunnel mode gre multipoint. و NHRP: network-id واحد، و authentication، و map multicast dynamic، يعني أي spoke يسجّل، يستقبل منه multicast، عشان بروتوكول التوجيه يشتغل.

configure terminal
interface tunnel0
ip address 172.16.0.1 255.255.255.0
tunnel source g0/0/0
tunnel mode gre multipoint
ip nhrp network-id 1
ip nhrp authentication BASMA
ip nhrp map multicast dynamic
end

والـ spoke نفس الشي، وزيادة سطر مهم: ip nhrp nhs، يعني عنوان الـ hub في النفق، و nbma، يعني عنوانه العام، و multicast. نبني S1.

configure terminal
interface tunnel0
ip address 172.16.0.2 255.255.255.0
tunnel source g0/0/0
tunnel mode gre multipoint
ip nhrp network-id 1
ip nhrp authentication BASMA
ip nhrp nhs 172.16.0.1 nbma 198.51.100.1 multicast
end

show dmvpn

في الـ hub، show dmvpn يعرض peer واحد: NBMA address two oh three dot zero dot one thirteen dot one، يعني العنوان العام حق S1، وعنوان النفق one seventy two dot sixteen dot zero dot two، والحالة UP، والنوع D، يعني dynamic: تعلّمه من التسجيل، مو مكتوب بيدنا. وهذي قوة DMVPN: الـ hub ما يعرف عناوين الفروع مسبقاً. أي فرع جديد يسجّل نفسه، حتى لو عنوانه العام يتغير كل يوم من المزوّد. الحين دورك. ابنِ نفق S2: عنوانه one seventy two dot sixteen dot zero dot three، وباقي الإعدادات زي S1. وتأكد إن الـ hub يشوف الفرعين. وقّف الفيديو، وجرّب.

تمرين: على S2: interface tunnel0، ip address 172.16.0.3 255.255.255.0، tunnel source g0/0/0، tunnel mode gre multipoint، ip nhrp network-id 1، ip nhrp authentication BASMA، ip nhrp nhs 172.16.0.1 nbma 198.51.100.1 multicast. بعدها show dmvpn على الـ HUB.

الحل.

configure terminal
interface tunnel0
ip address 172.16.0.3 255.255.255.0
tunnel source g0/0/0
tunnel mode gre multipoint
ip nhrp network-id 1
ip nhrp authentication BASMA
ip nhrp nhs 172.16.0.1 nbma 198.51.100.1 multicast
end

show dmvpn

ping 172.16.0.3

الـ hub يشوف الفرعين. وجرّبنا ping من S1 لعنوان النفق حق S2، ونجح. وانتبه: S1 ما كان يعرف العنوان العام حق S2. سأل الـ hub بـ NHRP resolution، والـ hub جاوبه، وبعدها S1 كلّم S2 مباشرة. والغلطات الشائعة: network-id أو authentication مختلف، أو nbma غلط في الـ nhs، أو الـ tunnel source على واجهة ما توصل للـ hub. الخلاصة: mGRE نفق واحد، و NHRP يربط النفق بالعنوان العام، والـ spokes تسجّل عند الـ hub. والدرس الجاي: التوجيه فوق DMVPN، والـ phases.