Dynamic Multipoint VPN

TRƯỜNG ĐH CƠNG NGHỆ THƠNG TIN -KHOA MẠNG MÁY TÍNH & TRUYỀN THƠNG Dynamic Multipoint VPN Đề tài mơn: Cơng nghệ mạng viễn thông Thực Nguyễn Tấn Thành – 08520357 Nguyễn Đức Trung – 08520432 Mẫn Văn Thắng – 08520370 Chắc hẳn bạn nghe qua khái niệm VPN Đó giải pháp đ ể k ết n ối mạng doanh nghiệp người dùng cá nhân, với văn phòng, chi nhánh VPN cho phép thông qua mạng internet, đ ể thi ết l ập m ột m ạng LAN ảo, cá nhân (host) xem host m ạng LAN D ữ li ệu truyền tải thông qua internet đóng gói mã hóa Có nhi ều giao thức để mã hóa liệu này, phồ biến IPSec Trong viết này, xin giới thiệu đến bạn kỹ thuật có liên quan đến VPN Dynamic Multipoint VPN Multipoint có nghĩa đa ểm, bạn hình dung gi ống v ới VNP dạng site-to-site, tức kết nối gi ữa chi nhánh (branch) trung tâm (central) Dynamic động, có nghĩa kết n ối hoàn toàn t ự đ ộng Đ ể hi ểu rỏ DMVPN, vào việc nghiên cứu tri ển khai hệ th ống mạng DMVPN Phần 1: Tổng quan Để triển khai mạng DMVPN, có hai cách thức triển khai Đó hub-and-spoke spoke-and-spoke Để hiểu hai khái ni ệm này, tr ước tiên b ạn nên hi ểu hub gì, spoke Hub trung tâm (central), t ức h ệ th ống m ạng WAN đ ặt trung tâm cơng ty Cịn Spoke chi nhánh, văn phịng Nhìn vào hình 1.1 minh h ọa cho điều đó, Hub phần Central Site, cịn Spoke phần Branches Hình 1: Mơ hình triển khai DMVPN Cũng hình 1.1, thấy rõ đường màu xanh k ết nối gi ữa Spoke-andSpoke, cịn màu đỏ kết nối Hub-and-Spoke Nh v ậy, Hub-and-Spoke kết nối từ trung tâm đến chi nhánh, tương tự khái niệm Site-to-Site Khái niệm chổ Spoke-and-Spoke, kết nối chinh nhánh với Nếu VPN, bạn nghe nhắc đến kết nối Client đến m ột Site, ho ặc m ột Site đến Site, DMVPN, bạn tiếp t ục có m ột khái ni ệm m ới h ơn, kết nối giữ nhiều Hub đến nhiều Spoke, điều lý gi ải có thêm ch ữ Multipoint Có vài tên gọi mà bạn nên lưu tâm đến để tránh nh ầm l ẫn Khi nói đ ến Hub Spoke ý nói đến router thực chức DMVPN trung tâm chi nhánh Cịn nói đến Site Central Site Branch (hay gọi tắc Central Branch) nói đ ến nhiều thiết bị có đó, Hub Spoke nằm Central Branch Các thành phần DMVPN Chúng ta thảo luận thành phần cần thi ết để tri ển khai m ột h ệ th ống mạng doanh nghiệp, sử dụng DMVPN để kết nối văn phòng chi nhánh Đầu tiên, khơng cần phải tính tốn, hệ thống Hub Spoke Ở hai phía ph ải có thiết bị hổ trợ tốt việc tạo kết nối DMVPN Có nhi ều gi ải pháp để lựa chọn, phổ biến Router Cisco Nhìn vào mơ hình hình 1.1, nhận thấy r ằng, để k ết nối đ ược gi ữa Hub Spoke phải kết nối thông qua Cloud Cloud ám ch ỉ nhà cung c ấp d ịch v ụ internet (ISP) Có nhiều giải pháp cho bạn sử dụng dịch ISP cung cấp Cloud Frame-Reply, ATM, Leased Lines Kỹ thuật thiết kế Trong thiết kế DMVPN, có hai topology đưa bàn luận:   Dual hub-dual DMVPN cloud Dual hub-single DMVPN cloud Trước tiên bạn cần hiểu DMVPN cloud gì, t ập h ợp router đ ược c ầu hình định tuyến để giao tiếp với Bạn dùng giao thức mGRE PPP c ả hai để cấu hình giao tiếp với router này, chúng phải có subnet Như hai kỹ thuật đề cập hiểu đa hub đa DMVPN cloud đa hub DMVPN cloud Nó minh họa hình 1.2 1.3 Hình 2: Dual DMVPN Cloud Topology Trong mơ hình Dual hub dual DMVPN cloud, Hub trung tâm chính, k ết n ối v ới Branch qua DMVPN cloud 1, dĩ nhiên chúng có subnet Nó trì k ết n ối thường xun Trong đó, Hub khuyến cáo để d ự phòng tr ường hợp Hub gặp chút trục trặc Giữa Hub1 Hub khuy ến cáo k ết n ối v ới mạng campus không subnet (cùng m ột net, t ức net đ ược chia m ạng con) Điều tất nhiên phải đảm bảo hub hub đ ều ph ải giao ti ếp đ ược v ới h ệ thống mạng bên Giải pháp biết đến với khả Failover, tức hạn chế cố, ln trì kết nối Hình 3: Single DMVPN Cloud Topology Mơ hình thứ hai, dual hub singel DMVPN cloud, bạn ch ỉ có m ột đ ường m ạng đ ể k ết n ối tất hub branch Từ DMVPN Cloud bạn thấy có hai kết n ối v ề hai hub Giải pháp biết đến với khả load balanced DMVPN cloud hổ trợ cho hai mơ hình triển khai hub-and-spoke spoke-and-spoke Trong hub-and-spoke, headend chứa interface mGRE m ỗi branch có ch ứ c ả p2p mGRE interface Trong mơ hình spoke-and-spoke c ả hai đ ầu headend branch có mGRE interface Dual DMVPN Cloud Topology Với Dual Cloud thảo luận cho hai model triển khai:   Hub-and-spoke Spoke-to-spoke Hub-and-Spoke Với Dual DMVPN cloud model hub-and-spoke, có ch ứa hai headend (hub1 hub2), có nhiều tunnel mGRE kết nối đến t ất c ả branch Hình 1.4 minh họa cho điều Hình 4: Dual DMVPN Cloud Topology—Hub-and-Spoke Deployment Model Mỗi DMVPN cloud đại diện IP subnet M ột DMVPN cloud gọi primary (cloud chính), chịu trách nhi ệm cho l ượng mạng c Branch qua Mỗi branch có chứa hai interface p2p GRE kết n ối đến m ỗi Hub riêng lẽ Trong model triển khai khơng có tunnel gi ữa branch Giao ti ếp n ội b ộ gi ữa branch cung cấp thông qua hub Thông số metric c giao th ức đ ịnh ến mà h ệ thống sử dụng, sử dụng để xác định đâu primary hub Kiến trúc hệ thống trung tâm (system headend) Có hai kiến trúc dành cho hệ thống trung tâm đưa triển khai là:   Single Tier Dual Tier Single Tier Trong kiến trúc Single Tier, mặt chức mGRE Crypto t ồn t ại CPU router Hình 5: Single Tier Headend Architecture Hình 1.5 giải pháp dual cloud với model hud-and-spoke T ất c ả Headend đ ều có tunnel mGRE Crypto gộp chung lại multiple GRE tunnel, đ ể ph ục v ụ cho luồng liệu branch Mặt khác, để kết thúc tunnel VPN t ại trung tâm, headend gửi thơng điệp để báo cho giao thức định ến đ ược s dụng branch EIGRP, OSPF, đường chọn cloud (cloud path – đường kết nối router cloud) Dual Tier Với kiến trúc dual tier, mGRE Crypto không tồn CPU router Hình 6: Dual Tier Headend Architecture Hình 1.6 giải pháp dual DMVPN cloud với model hub-and-spoke Ở mGRE Crypto headend nằm riêng lẽ nhau, chúng phục vụ cho cho multiple mGRE tunnel để chuyển luồng lưu lượng mạng cho branch Đ ầu cu ối c VPN tunnel, Crypto nhận liệu gửi từ branch sau chuyển tiếp cho mGRE, để mGRE qu ảng bá cho giao thức định tuyến branch EIGRP OSPF Router tất mơ hình DMVPN đóng vai trị ểm k ết th ức c tunnel Đồng thời cịn kiêm theo nhiều chức khác Firewall Địa ch ỉ ip m ặt ngồi router tĩnh động, phải “map” đồ c router Hành động có nghĩa là: Một inteface mặt ngồi c router có đ ịa ch ỉ ip public c riêng nó, tunnel có ip (public private), ph ải ảnh x đ ể bi ết tunnel chuyển interface tương ứng Spoke-and-Spoke Cũng giống Hub-and-spoke, model có hai Hub trung tâm, m ỗi hub có nhiều tunnel kết nối đến tất chi nhánh Giao ti ếp gi ữa Branch thực thông qua Hub, trừ có đường kết nối t ạo gi ữa hai Spoke Đó khác biệt trường hợp Tunnel gi ữa Spoke and Spoke đ ược gọi dynamic, phải nằm single DMVPN cloud ho ặc m ột subnet Tunnel spoke-and-spoke khơng hai DMVPN cloud Hình 7: Dual DMVPN Cloud Topology—Spoke-to-Spoke Deployment Model Kiến trúc hệ thống trung tâm Các Branch kiểu triển khai kết nối với thông qua tunnel riêng, ph ải qua DMVPN Cloud Giao thức thường xuyên thấy tunnel IPSec Đ ể giao tiếp với hệ thống trung tâm, có giao thức Single Tier, ch ức mGRE Crypto gói gọn router Single DMVPN Cloud Topology Trong mơ hình này, có hai headend sử dụng, chúng có subnet Các văn phòng chi nhánh kết nối với trung tâm thông qua giao di ện mGRE Và chúng phải có subnet để thực giao ti ếp nội Mơ hình khơng đ ược khuyến cáo chúng khơng khả dụng khơng chống lỗi V ới ki ểu tri ển khai Spoke-and-Spoke việc triển khai theo Single DMVPN cần đ ược cân nhắc kỹ Hai headend phải cấu hình DMVPN giống nhau, có địa IP subnet Khi chúng hổ trợ cho chức load balanced hai trung tâm Hình Single DMVPN Cloud Topology Tóm tắt Như nhắc đến topology để triển khai cho giải pháp DMVPN, có s ự tóm tắt sau: - Mơ hình triển khai dành cho:  Hub-and-Spoke: Giữa trung tâm chi nhánh Trong Hub-and-Spoke có hai ki ến trúc dành cho cloud o Dual Cloud: Có nhiều subnet o Single Cloud: Có subnet Trong hai kiến trúc trung tâm (header) triển khai theo hai gi ải pháp:  o Single Tier: hai giao thức mGRE Crypto router o Dual Tier: hai giao thức mGRE Crypto hai router khác Spoke-and-Spoke: chi nhánh với ip nhrp nhs 10.0.0.1 ip ospf network broadcast ip ospf priority delay 1000 tunnel source Ethernet0 tunnel mode gre multipoint tunnel key 100000 tunnel protection ipsec profile vpnprof ! interface Ethernet0 ip address dhcp hostname Spoke1 ! interface Ethernet1 ip address 192.168.3.1 255.255.255.0 ! router ospf network 10.0.0.0 0.0.0.255 area network 192.168.2.0 0.0.0.255 area Kiểm tra Kiểm tra tên Hub lệnh show ip nhrp thấy ánh xạ địa tương ứng Trên Spoke, kiểm tra lệnh show ip nhrp, show cryto angine connection active Lab 4: Dual Hub − Single DMVPN Layout Cấu hình Hub hostname Hub1 ! crypto isakmp policy authentication pre−share crypto isakmp key cisco47 address 0.0.0.0 ! crypto ipsec transform−set trans2 esp−des esp−md5−hmac mode transport ! crypto ipsec profile vpnprof set transform−set trans2 ! interface Tunnel0 bandwidth 1000 ip address 10.0.0.1 255.255.255.0 ip mtu 1400 ip nhrp authentication test ip nhrp map multicast dynamic ip nhrp network−id 100000 ip nhrp holdtime 600 ip ospf network broadcast ip ospf priority delay 1000 tunnel source Ethernet0 tunnel mode gre multipoint tunnel key 100000 tunnel protection ipsec profile vpnprof ! interface Ethernet0 ip address 172.17.0.1 255.255.255.0 interface Ethernet1 ip address 192.168.0.1 255.255.255.0 ! router ospf network 10.0.0.0 0.0.0.255 area network 192.168.0.0 0.0.0.255 area Hub hostname Hub2 ! crypto isakmp policy authentication pre−share crypto isakmp key cisco47 address 0.0.0.0 ! crypto ipsec transform−set trans2 esp−des esp−md5−hmac mode transport ! crypto ipsec profile vpnprof set transform−set trans2 ! interface Tunnel0 bandwidth 900 ip address 10.0.0.2 255.255.255.0 ip mtu 1400 ip nhrp authentication test ip nhrp map 10.0.0.1 172.17.0.1 ip nhrp map multicast 172.17.0.1 ip nhrp map multicast dynamic ip nhrp network−id 100000 ip nhrp holdtime 600 ip nhrp nhs 10.0.0.1 ip ospf network broadcast ip ospf priority delay 1000 tunnel source Ethernet0 tunnel mode gre multipoint tunnel key 100000 tunnel protection ipsec profile vpnprof ! interface Ethernet0 ip address 172.17.0.5 255.255.255.0 ! interface Ethernet1 ip address 192.168.0.2 255.255.255.0 ! router ospf network 10.0.0.0 0.0.0.255 area network 192.168.0.0 0.0.0.255 area ! Spoke hostname Spoke1 ! crypto isakmp policy authentication pre−share crypto isakmp key cisco47 address 0.0.0.0 0.0.0.0 ! crypto ipsec transform−set trans2 esp−des esp−md5−hmac mode transport ! crypto ipsec profile vpnprof set transform−set trans2 ! interface Tunnel0 bandwidth 1000 ip address 10.0.0.11 255.255.255.0 ip mtu 1400 ip nhrp authentication test ip nhrp map multicast 172.17.0.1 ip nhrp map 10.0.0.1 172.17.0.1 ip nhrp map multicast 172.17.0.5 ip nhrp map 10.0.0.2 172.17.0.5 ip nhrp network−id 100000 ip nhrp holdtime 300 ip nhrp nhs 10.0.0.1 ip nhrp nhs 10.0.0.2 ip ospf network broadcast ip ospf priority delay 1000 tunnel source Ethernet0 tunnel mode gre multipoint tunnel key 100000 tunnel protection ipsec profile vpnprof ! interface Ethernet0 ip address dhcp hostname Spoke1 ! interface Ethernet1 ip address 192.168.1.1 255.255.255.0 ! router ospf network 10.0.0.0 0.0.0.255 area network 192.168.1.0 0.0.0.255 area Spoke hostname Spoke2 ! crypto isakmp policy authentication pre−share crypto isakmp key cisco47 address 0.0.0.0 0.0.0.0 ! crypto ipsec transform−set trans2 esp−des esp−md5−hmac mode transport ! crypto ipsec profile vpnprof set transform−set trans2 ! interface Tunnel0 bandwidth 1000 ip address 10.0.0.12 255.255.255.0 ip mtu 1400 ip nhrp authentication test ip nhrp map multicast 172.17.0.1 ip nhrp map 10.0.0.1 172.17.0.1 ip nhrp map multicast 172.17.0.5 ip nhrp map 10.0.0.2 172.17.0.5 ip nhrp network−id 100000 ip nhrp holdtime 300 ip nhrp nhs 10.0.0.1 ip nhrp nhs 10.0.0.2 ip ospf network broadcast ip ospf priority delay 1000 tunnel source Ethernet0 tunnel mode gre multipoint tunnel key 100000 tunnel protection ipsec profile vpnprof ! interface Ethernet0 ip address dhcp hostname Spoke1 ! interface Ethernet1 ip address 192.168.2.1 255.255.255.0 ! router ospf network 10.0.0.0 0.0.0.255 area network 192.168.2.0 0.0.0.255 area ! Kiểm tra Kiểm tra Hub1, ta nhận kết sau Kết kiểm tra Hub2, ta có kết tương tự Cuối kết kiểm tra spoke1 spoke2 Lab 5: Dual Hub − Dual DMVPN Layout Cấu hình Hub hostname Hub1 ! crypto isakmp policy authentication pre−share crypto isakmp key cisco47 address 0.0.0.0 0.0.0.0 ! crypto ipsec transform−set trans2 esp−des esp−md5−hmac mode transport ! crypto ipsec profile vpnprof set transform−set trans2 ! interface Tunnel0 bandwidth 1000 ip address 10.0.0.1 255.255.255.0 ip mtu 1400 ip nhrp authentication test ip nhrp map multicast dynamic ip nhrp network−id 100000 ip nhrp holdtime 600 no ip split−horizon eigrp delay 1000 tunnel source Ethernet0 tunnel mode gre multipoint tunnel key 100000 tunnel protection ipsec profile vpnprof ! interface Ethernet0 ip address 172.17.0.1 255.255.255.252 ! interface Ethernet1 ip address 192.168.0.1 255.255.255.0 ! router eigrp network 10.0.0.0 0.0.0.255 network 192.168.0.0 0.0.0.255 no auto−summary ! Hub hostname Hub2 ! crypto isakmp policy authentication pre−share crypto isakmp key cisco47 address 0.0.0.0 0.0.0.0 ! crypto ipsec transform−set trans2 esp−des esp−md5−hmac mode transport ! crypto ipsec profile vpnprof set transform−set trans2 ! interface Tunnel0 bandwidth 1000 ip address 10.0.1.1 255.255.255.0 ip mtu 1400 ip nhrp authentication test ip nhrp map multicast dynamic ip nhrp network−id 100001 ip nhrp holdtime 600 no ip split−horizon eigrp delay 1000 tunnel source Ethernet0 tunnel mode gre multipoint tunnel key 100001 tunnel protection ipsec profile vpnprof ! interface Ethernet0 ip address 172.17.0.5 255.255.255.252 ! interface Ethernet1 ip address 192.168.0.2 255.255.255.0 ! router eigrp network 10.0.1.0 0.0.0.255 network 192.168.0.0 0.0.0.255 no auto−summary ! Spoke hostname Spoke1 ! crypto isakmp policy authentication pre−share crypto isakmp key cisco47 address 0.0.0.0 0.0.0.0 ! crypto ipsec transform−set trans2 esp−des esp−md5−hmac mode transport ! crypto ipsec profile vpnprof set transform−set trans2 ! interface Tunnel0 bandwidth 1000 ip address 10.0.0.11 255.255.255.0 ip mtu 1400 ip nhrp authentication test ip nhrp map 10.0.0.1 172.17.0.1 ip nhrp network−id 100000 ip nhrp holdtime 300 ip nhrp nhs 10.0.0.1 delay 1000 tunnel source Ethernet0 tunnel destination 172.17.0.1 tunnel key 100000 tunnel protection ipsec profile vpnprof ! interface Tunnel1 bandwidth 1000 ip address 10.0.1.11 255.255.255.0 ip mtu 1400 ip nhrp authentication test ip nhrp map 10.0.1.1 172.17.0.5 ip nhrp network−id 100001 ip nhrp holdtime 300 ip nhrp nhs 10.0.1.1 delay 1000 tunnel source Ethernet0 tunnel destination 172.17.0.5 tunnel key 100001 tunnel protection ipsec profile vpnprof ! interface Ethernet0 ip address dhcp hostname Spoke1 ! interface Ethernet1 ip address 192.168.1.1 255.255.255.0 ! router eigrp network 10.0.0.0 0.0.0.255 network 10.0.1.0 0.0.0.255 network 192.168.1.0 0.0.0.255 no auto−summary ! Spoke hostname Spoke2 ! crypto isakmp policy authentication pre−share crypto isakmp key cisco47 address 0.0.0.0 0.0.0.0 ! crypto ipsec transform−set trans2 esp−des esp−md5−hmac mode transport ! crypto ipsec profile vpnprof set transform−set trans2 ! interface Tunnel0 bandwidth 1000 ip address 10.0.0.12 255.255.255.0 ip mtu 1400 ip nhrp authentication test ip nhrp map 10.0.0.1 172.17.0.1 ip nhrp network−id 100000 ip nhrp holdtime 300 ip nhrp nhs 10.0.0.1 delay 1000 tunnel source Ethernet0 tunnel destination 172.17.0.1 tunnel key 100000 tunnel protection ipsec profile vpnprof ! interface Tunnel1 bandwidth 1000 ip address 10.0.1.12 255.255.255.0 ip mtu 1400 ip nhrp authentication test ip nhrp map 10.0.1.1 172.17.0.5 ip nhrp network−id 100001 ip nhrp holdtime 300 ip nhrp nhs 10.0.1.1 delay 1000 tunnel source Ethernet0 tunnel destination 172.17.0.5 tunnel key 100001 tunnel protection ipsec profile vpnprof ! interface Ethernet0 ip address dhcp hostname Spoke2 ! interface Ethernet1 ip address 192.168.2.1 255.255.255.0 ! router eigrp network 10.0.0.0 0.0.0.255 network 10.0.1.0 0.0.0.255 network 192.168.2.0 0.0.0.255 no auto−summary ! Phần 4: Tổng kết Giải pháp DMVPN cung cấp cho chức tiện lợi để kết nối mạng lớn với mạng nhỏ thông qua IPSec VPN Chúng ta dễ dàng mở rộng phạm vi hoạt động mạng có IPSec VPN thơng thường DMVPN cho phép giao tiếp trực tiếp spoke với Trong hầu hết mạng, việc giao tiếp spoke spoke diễn khơng thường xun cho Chính việc dành tài nguyên cho kết nỗi hai spoke không thường xuyên việc vô lãng phí Giải pháp DMVPN khởi tạo kết nối động, trực tiếp, spoke với chúng có nhu cầu giao tiếp Việc sử mạng qua ISP cung cấp ip động để kết nối chi nhánh lại với tưởng chừng Giải pháp DMVPN giải cho chúng trở ngại Nó u cầu phía Hub ln sẵn sàng lắng nghe kết nối có ip tĩnh, cịn lại tất spoke phép sử dụng ip động để giao tiếp NHRP chịu trách nhiệm ánh xạ địa thường xuyên DMVPN cho phép dễ dàng bổ sung Spoke vào mạng Khi cần bổ sung spoke mới, bạn việc gắn router spoke vào, hệ thống tự nhận biết spoke bổ sung định tuyến cho cho spoke khác mạng DMVPN làm giảm kích thước tập tinh cấu hình lưu router Điều bạn thấy rõ cấu hình mGRE, chí IPSec + GRE dành cho hub-spoke tối ưu DMVPN sử dụng GRE, áp dụng định tuyến động thông qua mạng VPN sử dụng địa Ip multicast Điều có nghĩa giao thức định tuyến động sử dụng, trung tâm dự phịng hỗ trợ giao thức Ứng dụng Multicast hỗ trợ Cuối cùng, bạn đừng quên DMVPN sử dụng tunnel cho tất kết nối Tài liệu tham khảo Dynamic Multipoint IPsec VPNs (Using Multipoint GRE/NHRP to Scale IPsec VPNs), Document ID: 41940, by Cisco Press,2008 Dynamic Multipoint VPN (DMVPN) Design Guide, Document ID: OL9024-01, by Cisco System,2006 Presentation Dynamic Multipoint Vpn, By Cisco System, 2004 ... bị d? ?ng chung m ột cáp m ? ?ng hay thiết bị truy? ? ?n th? ?ng khác Khi m? ?y tính truy? ? ?n frame th? ?ng tin, t ất c ả n? ?t m? ? ?ng “l? ?ng nghe “ frame, n? ?t m? ? đ ịa ch ỉ c đ ược định frame thật nh? ?n frame n? ??y B... tạo ra, ng? ?n ch? ?n kh? ?ng cho router bị tr? ?n ng? ? ?m yêu cầu ISAKMP tạo Việc gi ới h? ?n ph ụ thuộc vào t? ?n c? ?ng nghệ, m? ? hình m? ? ?ng, ? ?ng d? ?ng lu? ?ng li ệu truy? ? ?n t ải qua m ? ?ng N? ??u b? ?n định giới h? ?n IKE... no auto−summary ! Ph? ?n 4: T? ?ng kết Giải pháp DMVPN cung cấp cho chức ti? ?n lợi để kết n? ??i m? ? ?ng l? ?n với m? ? ?ng nhỏ th? ?ng qua IPSec VPN Ch? ?ng ta dễ d? ?ng m? ?? r? ?ng ph? ?m vi hoạt đ? ?ng m? ? ?ng có IPSec VPN