DMVPN: الـ Phase 3 والحماية بـ IPsec

حيّاك الله. تخيّل خمسمية فرع على DMVPN. في Phase two، كل فرع لازم يعرف مسار كل فرع ثاني بالتفصيل: خمسمية مسار في كل راوتر صغير. الحل الطبيعي: الـ hub يرسل للفروع summary واحد، one ninety two dot one sixty eight dot zero dot zero slash sixteen. لكن مع الـ summary، الـ next hop يصير الـ hub، فنرجع لـ Phase one. والحل: Phase three. المعمل: نفس الـ hub والفرعين، والنفق و EIGRP شغّالين. نبدأ بالـ summary على نفق الـ hub.

configure terminal
interface tunnel0
ip summary-address eigrp 100 192.168.0.0 255.255.0.0
end

show ip route eigrp | include 192.168

S1 يشوف one ninety two dot one sixty eight dot zero dot zero slash sixteen بس، عن طريق الـ hub. ومسار one ninety two dot one sixty eight dot two dot zero حق S2 اختفى. يعني ترافيك الفروع كله يمر على المركز. Phase three أمرين. على الـ hub: ip nhrp redirect. يعني لما يشوف packet داخلة من النفق وطالعة من نفس النفق، يرسل للفرع رسالة: فيه طريق أقصر. وعلى الفروع: ip nhrp shortcut. يعني الفرع يقبل الرسالة، ويسأل عن العنوان العام، ويضيف مسار مباشر. نطبّق على الثلاثة، ونرسل ping من PC1 لـ PC2 عشان نبدأ الترافيك، وبعدها نشوف جدول S1.

configure terminal
interface tunnel0
ip nhrp redirect
end

configure terminal
interface tunnel0
ip nhrp shortcut
end
show ip route | include H|192.168

configure terminal
interface tunnel0
ip nhrp shortcut
end

ping 192.168.2.10

في جدول S1 مسار جديد بالـ code H، يعني NHRP، لـ one ninety two dot one sixty eight dot two dot zero، والـ next hop one seventy two dot sixteen dot zero dot three. والـ summary للحين موجود. يعني الفرع عنده جدول صغير، ويتعلم المسارات المباشرة بس لما يحتاجها، وتنحذف لما ما تنستخدم. وهذا ليش Phase three هي المعتمدة في الشبكات الكبيرة.

الحين الحماية. GRE ما يشفّر أبداً. الترافيك يمشي على الإنترنت مكشوف. والحل في DMVPN: IPsec profile. ISAKMP policy: التشفير، والـ hash، وطريقة التحقق، والـ DH group. والمفتاح المشترك: crypto isakmp key، لأي عنوان، لأن عناوين الفروع متغيرة. والـ transform set بـ mode transport، لأن GRE أصلاً فيه header. والـ profile، وبعدها tunnel protection ipsec profile على النفق. نطبّق على الـ hub أول. وانتبه: لما تفعّل الحماية على الـ hub بس، الفروع تنقطع عنه، لأن واحد يشفّر والثاني لا. فعلى شبكة حقيقية، تسويها في وقت صيانة، وعلى الكل.

configure terminal
crypto isakmp policy 10
encr aes 256
hash sha256
authentication pre-share
group 14
crypto isakmp key Dmvpn@1 address 0.0.0.0
crypto ipsec transform-set TS esp-aes esp-sha-hmac
mode transport
crypto ipsec profile DMVPN
set transform-set TS
interface tunnel0
tunnel protection ipsec profile DMVPN
end

الحين دورك. طبّق نفس إعدادات IPsec على S1 و S2، وتأكد إن الفرعين رجعوا متسجلين عند الـ hub، وإن فيه جلسات ISAKMP. وقّف الفيديو، وجرّب.

تمرين: على S1 و S2: نفس crypto isakmp policy 10، و crypto isakmp key Dmvpn@1 address 0.0.0.0، و transform-set TS mode transport، و profile DMVPN، و tunnel protection ipsec profile DMVPN على tunnel0. بعدها show dmvpn و show crypto isakmp sa على الـ HUB.

الحل.

configure terminal
crypto isakmp policy 10
encr aes 256
hash sha256
authentication pre-share
group 14
crypto isakmp key Dmvpn@1 address 0.0.0.0
crypto ipsec transform-set TS esp-aes esp-sha-hmac
mode transport
crypto ipsec profile DMVPN
set transform-set TS
interface tunnel0
tunnel protection ipsec profile DMVPN
end

configure terminal
crypto isakmp policy 10
encr aes 256
hash sha256
authentication pre-share
group 14
crypto isakmp key Dmvpn@1 address 0.0.0.0
crypto ipsec transform-set TS esp-aes esp-sha-hmac
mode transport
crypto ipsec profile DMVPN
set transform-set TS
interface tunnel0
tunnel protection ipsec profile DMVPN
end

show crypto isakmp sa
show dmvpn | include UP

جلسات ISAKMP مع الفرعين بالحالة QM_IDLE، يعني المرحلة الأولى خلصت والنفق محمي، والفرعين UP في show dmvpn. الخلاصة: Phase three تجمع التلخيص على الـ hub مع الطريق المباشر بين الفروع، بـ redirect و shortcut، و IPsec profile يحمي النفق. وبهذا نختم محور الـ VPN. والدرس الجاي نبدأ المحور الثالث: Infrastructure Security.